گروه Famous Chollima یک عامل تهدید (Threat Actor) وابسته به دولت کره شمالی است که از سال ۲۰۱۸ با انگیزه‌های مالی فعالیت خود را آغاز کرده است. این گروه به‌طور مشخص توسعه‌دهندگان نرم‌افزار و متخصصان حوزه ارزهای دیجیتال (Cryptocurrency) را در ایالات متحده و هند هدف قرار می‌دهد. همچنین، سازمان‌هایی در بخش‌های هوافضا، انرژی، امور مالی، مراقبت‌های بهداشتی، دفاعی و فناوری نیز در معرض خطر این گروه قرار دارند.
تحلیل تکنیک‌ها و روش‌های حمله (TTPs)
این گروه از روش‌های مهندسی اجتماعی (Social Engineering) پیچیده‌ای برای نفوذ استفاده می‌کند. فرآیند حمله معمولاً به شرح زیر است:
- استخدام جعلی: استخدام‌کنندگان فیک، توسعه‌دهندگان را به انجام ارزیابی‌های کدنویسی (Coding Assessments) در پلتفرم‌هایی مانند GitHub، Bitbucket یا GitLab ترغیب می‌کنند.
- بارگذاری مخرب (Malicious Loaders): این ارزیابی‌ها حاوی لودرهای مخربی هستند که در لایه‌های زیرین پنهان شده‌اند.
- اجرای Payload: کدهای مخرب از طریق اسکریپت‌های چرخه حیات npm، وظایف (Tasks) در VS Code، Git hooks و یا فایل‌هایی که در قالب فونت یا SVG جعل شده‌اند، اجرا می‌شوند.
استفاده از هویت‌های جعلی و دسترسی داخلی
علاوه بر حملات مستقیم، این گروه از کارگران IT متقلب استفاده می‌کند که با بهره‌گیری از مزارع لپ‌تاپ (Laptop Farms) در ایالات متحده و هویت‌های جعلی یا سرقت‌شده، سعی در ایجاد دسترسی‌های داخلی (Insider Access) در شرکت‌های غربی دارند.
