朝鲜黑客以恶意软件针对加密货币求职者

朝鲜黑客 Famous Chollima 针对加密货币专家，设计了虚假的面试以窃取他们的数据并在其设备上部署恶意软件。该恶意软件窃取了超过 80 个浏览器扩展的凭据，包括密码管理器和加密货币钱包，如 Metamask、1Password、NordPass、Phantom、Bitski、Initia、TronLink 和 MultiverseX。

周三，威胁情报研究公司 Cisco Talos 在 6 月报道 指出 Famous Chollima 伪装成合法公司，并将毫无戒心的受害者引导至技能测试网站，受害者在这些网站上输入个人详细信息并回答技术问题。

技能测试网站虚假地代表了真实公司，如 Coinbase, Archblock、Robinhood、Parallel Studios、Uniswap 等，这有助于目标定位。 

基于开源情报，只有少数用户（主要是在印度）受到影响。Digital South Belief 的董事 Dileep Kumar H V 建议，为了应对这些骗局，印度应强制要求区块链公司进行网络安全审计，并监控虚假招聘门户。他还呼吁加强跨境网络犯罪和数字意识运动的全球协调。

Talos 跟进调查该骗局，确认与朝鲜有关联

🚨 𝗔𝗟𝗘𝗥𝗧: 朝鲜黑客正利用新型信息窃取恶意软件 targeting 区块链专业人士

𝗗𝗶𝘀𝗴𝘂𝗶𝘀𝗲𝗱 𝗮𝘀 𝗳𝗮𝗸𝗲 𝗰𝗿𝘆𝗽𝘁𝗼 𝗷𝗼𝗯 𝘀𝗶𝘁𝗲𝘀 — 𝗯𝗲 𝗰𝗮𝗿𝗲𝗳𝘂𝗹… pic.twitter.com/wt4pe5o1Zg

— Mayank Dudeja || SPYONGEMS (@imcryptofreak) 2025 年 6 月 20 日

网络安全研究公司 Cisco Talos 声称，这种名为“PylangGhost”的新型基于 Python 的远程访问特洛伊木马将恶意软件与一个名为“Famous Chollima”（又称“Wagemole”）的朝鲜关联黑客组织联系起来。

该公司还披露，PylangGhost 恶意软件在功能上等同于此前记录的 GolangGhost RAT，共享许多相同的功能。Famous Chollima 使用基于 Python 的变体来针对 Windows 系统，而 Golang 版本则针对 macOS 用户。Linux 系统被排除在这些最新攻击之外。

据 Talos 称，该威胁行为者团体自 2024 年以来一直活跃，开展了多项有据可查的活动。这些活动包括使用 Contagious Interview（又名 Deceptive Development）的变体，以及创建虚假招聘广告和技能测试页面。用户被指示复制并粘贴（ClickFix）恶意命令行，以安装进行最终技能测试阶段所需的驱动程序。  

在 5 月揭露的最新骗局中，候选人被指示为视频面试启用摄像头访问权限，并被提示复制和执行伪装成视频驱动程序安装的恶意命令。因此，他们最终在自己的设备上使用了 PylangGhost。执行从文件“nvidia.py”开始，该文件执行了多项任务：它创建了一个注册表值，以便在用户每次登录系统时启动 RAT；为系统生成一个 GUID，用于与命令和控制 (C2) 服务器通信；连接到 C2 服务器；并进入命令循环以与服务器通信。

据 Cisco Talos 称，“下载所谓修复程序的说明因浏览器指纹识别而异，并且以适合操作系统的 shell 语言提供：Windows 使用 PowerShell 或命令提示符，MacOS 使用 Bash。”

Talos 观察到，除了直接从交易所窃取资金外，Famous Chollima 黑客最近专注于加密货币专业人士，以收集信息并可能从内部渗透加密货币公司。今年早些时候，朝鲜黑客 建立了虚假的美国公司 BlockNovas LLC 和 SoftGlide LLC，通过欺诈性面试分发恶意软件，随后 FBI 查封了 BlockNovas 域名。

朝鲜成为臭名昭著的黑客计划中心

在 12 月 2024，Radiant Capital 遭受了价值 50 百万美元的入侵 开始 当时，朝鲜 DPRK 行为者伪装成前承包商，向工程师发送了包含恶意软件的 PDF 文件。冒充者以征求他们正在从事的新项目反馈为借口，分享了一个 zip 文件。

日本、韩国和美国的联合声明也确认，包括 Lazarus 在内的朝鲜支持团体在 2024 年通过多次加密货币盗窃案窃取了至少 6.59 亿美元。使节们指出，朝鲜的海外工人，包括从事“恶意网络活动”的 IT 专家，是该政权能够通过盗窃和洗钱（包括加密货币）为其武器计划提供资金的主要因素。

Chainalysis 调查副总裁 Erin Plante 确认，在过去几年中，与朝鲜有关联的黑客是迄今为止最活跃的加密货币黑客。2022 年，他们打破了自身的盗窃记录，在多次黑客攻击中窃取了价值约 17 亿美元的加密货币，而 2021 年这一数字为 4.288 亿美元。

然而，在 5 月，加密货币交易所 Kraken 透露，它已成功识别并挫败了一名申请 IT 职位的朝鲜特工。Kraken 在面试过程中发现申请人未能通过基本的身份验证测试，从而抓住了该申请人。