Северокорейские хакеры создают фальшивые личности для подачи заявок на ИТ-работу

Северокорейские хакеры регулярно подают заявки в Binance. Расследователи также перехватили ресурсы хакеров, создающих личности для подачи заявок на ключевые ИТ-должности. 

Угроза со стороны хакеров из КНДР, выдающих себя за ИТ-работников, все еще активна. Источники обнаружили недавние данные о методах создания фальшивых личностей и подачи заявок в качестве ИТ-работников. 

ZachXBT, известный отслеживанием хакеров из КНДР, недавно обнаружил информацию с одного из устройств злоумышленников. ZachXBT часто предупреждал о рисках найма работников из КНДР, что ведет к рискам для смарт-контрактов, мультиподписных кошельков или скомпрометированных устройств.

Некий источник указал на записи о пяти хакерах из КНДР, создавших 30 личностей и подавших заявки на ключевые ИТ-задачи в крипто-проектах и других проектах. 

1/ Некий источник недавно скомпрометировал устройство сотрудника ИТ из КНДР, что дало представление о том, как небольшая команда из пяти ИТ-работников использовала более 30 фальшивых личностей с государственными удостоверениями и покупала аккаунты Upwork/LinkedIn для получения разработческих позиций на проектах. pic.twitter.com/DEMv0GNM79

— ZachXBT (@zachxbt) августа 13, 2025

Команды использовали фальшивые локации, местные имена и личности, пересекающиеся с крипто-дружелюбными странами, такими как Украина и Эстония. 

Северокорейские ИТ-работники сканируют доски объявлений о работе 

Утекшие документы показали инструменты и отслеживание, используемые командой, включая попытки создания фальшивых личностей. 

Хакеры использовали общие документы, раскрыв серию покупок кредитов на Upwork. Это открытие совпадает с сообщениями о попытках купить или арендовать аккаунты Upwork и участвовать в торгах на программные работы. Некоторые из самых распространенных работ включали различные блокчейн-роли, разработку смарт-контрактов, а также работу над конкретными проектами, включая Polygon Labs.

Ранее сообщалось, что не все северокорейские ИТ-работники имели в виду хакерство или нацеливались на крипто. Некоторые из работников имели задачу зарабатывать на легальных ИТ-работах, позже передавая свою зарплату северокорейскому режиму. 

Сбежавший ИТ-работник в схему, показав, что присутствие ИТ-работников из КНДР было постоянной угрозой для традиционных компаний и крипто-команд. 

Binance фильтрует заявки из КНДР почти ежедневно

Офицер безопасности Binance Джимми Су заявил биржа постоянно фильтрует кандидатов. Хакеры из КНДР пытаются получить доступ к ключевым крипто-позициям, и Binance перехватывала их как при мониторинге резюме, так и на этапе собеседования. Крипто-пространство также содержит неофициальные списки известных фальшивых личностей, использующих легитимно выглядящие аккаунты LinkedIn и профили в социальных сетях. 

В прошлом Cryptopolitan сообщал случаи, когда хакеры из КНДР создавали ключевую инфраструктуру для Web3-проектов, что приводило к компрометации смарт-контрактов с известными бэкдорами для эксплуатации. Эти хакеры затронули множество проектов, от DeFi до мем-коинов на Solana. Некоторые из команд также запускали мем-токены как способ отмывания средств. 

Помимо публичных фальшивых профилей, хакеры из КНДР также используют зараженные репозитории кода или вредоносные ссылки, чтобы заставить пользователей устанавливать вредоносное ПО. Методы включают фальшивые собеседования со ссылками на вредоносное ПО. Хакеры из КНДР также выдают себя за интервьюеров или менеджеров проектов, организуя фальшивые встречи со ссылкой на скачивание.

В некоторых случаях хакеры также предлагали пользователям Upwork подключиться к их компьютеру удаленно как способ использования новых аккаунтов без раскрытия своей личности. Сообщается, что некоторые лица из США согласились на обмен, позволив предполагаемым ИТ-работникам получить доступ через AnyDesk. Хакеры также использовали крипто-платежи через промежуточный кошелек Ethereum, который был связан с адресами, используемыми в масштабных взломах.