- 朝鲜黑客设立两家美国空壳公司，伪装成加密货币行业招聘方，向开发者发送携带恶意软件的“工作”文件。
- FBI已查封Blocknovas的域名，并表示该计划与拉撒路集团有关，是持续最严重的网络威胁之一，违反了美国财政部和联合国的制裁规定。
- Silent Push发现这些恶意文件会窃取钱包密钥和密码、打开后门，并已造成多名受害者；官员警告新的伪装身份可能迅速出现。
根据美国法律文件以及与路透社分享的研究，朝鲜网络行动者在美国悄悄成立了两个有限责任公司，并利用它们向加密货币领域的求职软件工程师投放有害代码。
网络安全公司Silent Push表示，位于新墨西哥州的Blocknovas LLC和位于纽约州的Softglide LLC是使用虚假姓名和租赁地址建立的，以便黑客在发送恶意软件给申请人时看起来像合法雇主。第三家公司Angeloper Agency具有相同的恶意网络指纹，但未出现在任何美国公司登记册中。
“这是一个罕见的例子，朝鲜黑客实际上设法在美国建立了合法的公司实体，以创建用于攻击无辜求职者的公司前台，”Silent Push的情报总监Kasey Best告诉路透社。
美国联邦调查局（FBI）没有直接讨论这两家公司。然而，周四，该局在Blocknovas的网站上发布了一份扣押通知，称该域名已被“作为针对利用该域名通过虚假职位发布欺骗个人并分发恶意软件的朝鲜网络行动者的执法行动的一部分”而接管。
在域名被接管之前，FBI高级官员告诉该机构，其目标是“不仅对朝鲜行动者本身，而且对任何协助他们实施这些计划的人施加风险和后果”。
一位官员称朝鲜的黑客单位“可能是当今美国面临的最先进的持久威胁之一”。
Silent Push表示攻击者伪装成招聘人员，并提供需要目标打开恶意文件的面试。
Blocknovas和Softglide利用招聘广告向加密货币开发人员投放恶意软件
一旦启动，这些文件试图窃取加密货币钱包密钥、密码和其他凭证，这些凭证稍后可能有助于入侵交易所或科技公司。
该公司未发表的报告证实了“多名受害者”，其中大多数是通过Blocknovas接触的，研究人员将其描述为“三个前台中最为活跃的”。
州记录显示，Blocknovas于2023年9月27日在新墨西哥州注册。其文件列出的南卡罗来纳州Warrenville的邮政地址在Google Maps上显示为一片空地。
Softglide在纽约州的成立可追溯至布法罗的一家小型税务准备办公室。没有发现出现在任何文件上的人员的踪迹。
美国官员表示，这种模式符合朝鲜更广泛的筹集硬通货的推动。华盛顿、首尔和联合国专家长期以来一直指责平壤窃取加密货币，并派遣数千名信息技术工人在国外为国家核导弹计划提供资金。
在美国境内运营由朝鲜控制的公司违反了财政部外国资产控制办公室（OFAC）实施的制裁。它违反了禁止有利于朝鲜国家或军事的商业活动的联合国安理会措施。
带有恶意软件的招聘文件与Lazarus Group有关
新墨西哥州州务卿在电子邮件中表示，Blocknovas是通过在线国内LLC系统提交的，使用注册代理人，并且似乎符合州法规。“我们的办公室不可能知道它与朝鲜的联系，”一位代表写道。
调查人员将该活动与 Lazarus Group的一个子组联系起来，这是一个精英黑客团队，隶属于平壤主要外国情报机构侦察总局。
Silent Push在恶意招聘文件中确定了至少三个以前已知的恶意软件家族。这些工具可以从受感染的机器中提取数据，打开后门以进行进一步入侵，并下载额外的攻击代码，这是在过去的Lazarus活动中经常看到的剧本。
目前，Blocknovas的域名处于联邦扣押状态，Softglide的网站已离线，Angeloper Agency的页面返回错误。但调查人员警告说，新的别名可能会迅速出现。
“这一行动说明了朝鲜网络行动者构成的不断演变的威胁，”FBI在其声明中说，敦促技术专业人员仔细审查未经请求的工作机会，并报告任何可疑的接触。
最聪明的加密领域人士已经在阅读我们的通讯。想加入吗？加入他们。
免责声明。 本文提供的信息不构成交易建议。 Cryptopolitan.com 对于基于本页信息进行的任何投资，我们不承担任何责任。我们强烈建议在进行任何投资决策之前，进行独立研究或咨询合格的专业人士。
Noor Bazmi
Noor Bazmi 是 Cryptopolitan 新闻团队的成员，拥有媒体研究学位。她专注于报道区块链、加密货币、人工智能、大型科技公司、电动汽车市场、全球经济以及政府政策变化等新闻。她目前正在修读市场营销课程，以便更好地与全球受众建立联系。
