朝鲜黑客通过虚假面试攻击与人工智能、加密货币和金融相关的3,100多个IP地址

在 2025 年从加密货币市场窃取超过 20 亿美元后，朝鲜黑客卷土重来，通过一个名为 PurpleBravo 的组织实施虚假招聘活动。

根据 Recorded Future 的 Insikt Group 的新威胁情报发现，与朝鲜有关的黑客对与人工智能、加密货币和金融服务公司相关的 3,100 多个互联网地址发起了网络间谍活动。 

PurpleBravo 被发现使用嵌入恶意软件的欺诈性招聘流程和开发人员工具。根据 Insikt Group 的评估，目前已从南亚、北美、欧洲、中东和中美洲确定了 20 个受害组织。 

朝鲜发起虚假招聘面试恶意软件活动 

作为 解释 Insikt Group 的“Contagious Interview”（传染性面试）活动中，不法分子伪装成招聘人员或开发人员，以技术面试练习为由接触求职者。安全分析师表示，在监控期间，至少有 3,136 个独立 IP 地址受到攻击。

攻击者自称是加密货币和科技公司的代表，要求候选人审查代码、克隆存储库或完成编码任务。 

“在某些情况下，求职者很可能在企业设备上执行了恶意代码，从而造成了超出单个目标个体的组织性暴露风险，”该威胁情报公司在其报告中写道。

在有关朝鲜黑客的私有和开源情报中，该行动有多个别名，包括 CL-STA-0240、DeceptiveDevelopment、DEV#POPPER、Famous Chollima、Gwisin Gang、Tenacious Pungsan、UNC5342、Void Dokkaebi 和 WaterPlum。 

该网络安全组织还指出，黑客使用 Astrill VPN 和 IP 段来管理位于中国的命令与控制服务器。同时，有 17 家服务提供商为他们托管了 BeaverTail 和 GolangGhost 等恶意软件服务器。

利用人设、GitHub 和乌克兰掩护故事诱骗受害者

在对恶意 GitHub 存储库、社交媒体上关于加密货币诈骗的讨论以及一个黑客网络情报服务进行调查后，Insikt Group 发现了四个与 PurpleBravo 相关的在线人设。

根据报告，这些个人资料始终声称自己位于乌克兰敖德萨，同时针对来自南亚的求职者。Insikt 表示，无法确定为何在骗局中使用乌克兰身份。 

在一个虚假项目中，黑客使用了一个宣传基于食品品牌代币的网站。然而，研究人员无法建立该代币与其所提及公司之间的已验证 连接 联系。该项目的官方 Telegram 频道充斥着骗子、自动化机器人和恶意链接。 

此外，该行动还涉及两个相关的远程访问特洛伊木马：PylangGhost 和 GolangGhost。这些恶意软件家族是多平台工具，共享相同的命令，并自动化窃取浏览器凭据和 Cookie。

GolangGhost 兼容多种操作系统，但 PylangGhost 仅适用于 Windows 系统，并且可以绕过 Chrome 版本 127 及更高版本的应用绑定凭据保护。

Insikt Group 发现 Telegram 频道正在出售 LinkedIn 和 Upwork 账户，卖家使用 proxy-seller[.]com、powervps[.]net、residentialvps[.]com、lunaproxy[.]com 和 sms-activate[.]io 等代理服务以及虚拟专用服务器来隐藏其位置。该运营商还被发现与加密货币交易平台 MEXC Exchange 进行互动。

Microsoft Visual Studio 中的 VS Code 后门

周一，Jamf Threat Labs 报告称，与朝鲜有关联的行为者开发了一种武器化的 Microsoft Visual Studio Code 版本，可以在系统中查找后门。安全分析师表示，该战术于 2025 年 12 月首次被发现，此后经过完善。

根据 Jamf 安全研究员 Thijs Xhaflaire 的说法，攻击者可以植入允许在机器上远程执行代码的恶意软件。感染链始于目标克隆恶意 Git 存储库并在 VS Code 中打开它。

“当项目打开时，Visual Studio Code 会提示用户信任存储库作者。如果授予信任，应用程序将自动处理存储库的 tasks.json 配置文件，这可能导致在系统上执行嵌入的任意命令，”Thijs Xhaflaire 另一篇帖子中.