Gli hacker nordcoreani hanno colpito oltre 3.100 indirizzi IP collegati ad AI, criptovalute e finanza utilizzando falsi colloqui di lavoro

Dopo aver sottratto oltre 2 miliardi di dollari dal mercato delle criptovalute nel 2025, gli hacker nordcoreani sono tornati con una campagna di reclutamento falsa eseguita da un gruppo noto come PurpleBravo.

Secondo i nuovi risultati di intelligence sulle minacce di Insikt Group di Recorded Future, gli hacker collegati alla Corea del Nord hanno lanciato un'operazione di spionaggio informatico su oltre 3.100 indirizzi internet legati ad aziende di intelligenza artificiale, criptovalute e servizi finanziari. 

PurpleBravo è stato visto utilizzare processi di reclutamento fraudolenti e strumenti per sviluppatori incorporati con software dannoso. Secondo la valutazione di Insikt Group, sono state identificate finora 20 organizzazioni vittime provenienti dall'Asia meridionale, Nord America, Europa, Medio Oriente e America Centrale. 

La Corea del Nord lancia una campagna malware di falsi colloqui di reclutamento 

Mentre spiegate da parte di Insikt Group, la campagna “Contagious Interview” vede attori malintenzionati che si fingono recruiter o sviluppatori e si avvicinano ai candidati al lavoro con esercizi di colloquio tecnici. Gli analisti di sicurezza hanno dichiarato che almeno 3.136 indirizzi IP individuali sono stati presi di mira durante il periodo di monitoraggio.

Gli attaccanti si sono presentati come rappresentanti di aziende di criptovalute e tecnologia, chiedendo ai candidati di revisionare il codice, clonare repository o completare compiti di programmazione. 

“In diversi casi, è probabile che i candidati in cerca di lavoro abbiano eseguito codice dannoso sui dispositivi aziendali, creando una esposizione organizzativa oltre il singolo bersaglio”, ha scritto l'azienda di intelligence sulle minacce nel suo rapporto.

L'operazione ha diversi alias sia nelle informazioni private che in quelle open-source sugli hacker nordcoreani, tra cui CL-STA-0240, DeceptiveDevelopment, DEV#POPPER, Famous Chollima, Gwisin Gang, Tenacious Pungsan, UNC5342, Void Dokkaebi e WaterPlum. 

Il gruppo di cybersecurity ha anche menzionato che gli hacker hanno utilizzato Astrill VPN e intervalli di IP per amministrare server di comando e controllo basati in Cina. Nel frattempo, 17 provider di servizi hanno ospitato malware come BeaverTail e server GolangGhost per loro.

Attirare le vittime con personaggi, GitHub e storie coperte ucraine

Insikt Group ha individuato quattro personaggi online collegati a PurpleBravo, seguendo un'indagine su repository GitHub dannosi, chiacchiere sui social media sulle truffe crypto e un servizio di intelligence sulla rete di hacking.

Secondo il rapporto, questi profili si sono presentati costantemente come basati a Odessa, in Ucraina, prendendo di mira i candidati al lavoro dall'Asia meridionale. Insikt ha dichiarato di non essere in grado di determinare perché le identità ucraine fossero utilizzate nell'inganno. 

In uno dei programmi falsi, gli hacker hanno utilizzato un sito web che pubblicizzava un token basato su un marchio di cibo. Tuttavia, i ricercatori non sono riusciti a stabilire un verificato connessione tra la moneta e l'azienda a cui faceva riferimento. Truffatori, bot automatizzati e link dannosi popolano il canale Telegram ufficiale del progetto. 

Inoltre, l'operazione presentava anche due trojan di accesso remoto correlati, PylangGhost e GolangGhost. Le famiglie di malware sono strumenti multipiattaforma che condividono comandi identici e automatizzano il furto di credenziali del browser e cookie.

GolangGhost è compatibile con diversi sistemi operativi, ma PylangGhost funziona solo su sistemi Windows e può bypassare la protezione delle credenziali vincolate all'app di Chrome per la versione 127 e successive.

Insikt Group ha trovato canali Telegram che pubblicizzavano account LinkedIn e Upwork in vendita, con i venditori che utilizzavano servizi proxy come proxy-seller[.]com, powervps[.]net, residentialvps[.]com, lunaproxy[.]com e sms-activate[.]io, e server privati virtuali per nascondere le loro posizioni. L'operatore è stato anche visto interagire con la piattaforma di trading di criptovalute MEXC Exchange.

Backdoor di VS Code su Microsoft Visual Studio

Lunedì, Jamf Threat Labs ha segnalato che attori collegati alla Corea del Nord hanno sviluppato una versione armata di Microsoft Visual Studio Code in grado di trovare backdoor nei sistemi. La tattica è stata identificata per la prima volta nel dicembre 2025 e da allora è stata perfezionata, hanno detto gli analisti di sicurezza.

Secondo il ricercatore di sicurezza di Jamf Thijs Xhaflaire, gli attaccanti possono impiantare malware che concede l'esecuzione remota di codice sulle macchine. La catena di infezione inizia quando un bersaglio clona un repository Git dannoso e lo apre in VS Code.

“Quando il progetto viene aperto, Visual Studio Code chiede all'utente di fidarsi dell'autore del repository. Se tale fiducia viene concessa, l'applicazione elabora automaticamente il file di configurazione tasks.json del repository, il che può comportare l'esecuzione di comandi arbitrari incorporati sul sistema”, Thijs Xhaflaire scritto.