گزارش مشترک نهادهای امنیتی از جمله FBI، پلیس ملی ژاپن (NPA) و سازمان‌های سایبری استرالیا و آلمان نشان می‌دهد که گروه WaterPlum (معروف به Contagious Interview) با هدف سرقت ارزهای دیجیتال و دسترسی به شبکه‌های سازمانی، حمله‌ای گسترده را علیه متخصصان فناوری اجرا کرده است.
روش‌های نفوذ و مهندسی اجتماعی
اعضای این گروه با جعل هویت شرکت‌های فعال در حوزه هوش مصنوعی (AI)، ارزهای دیجیتال و NFT، از طریق شبکه‌های اجتماعی و پلتفرم‌های استخدامی، توسعه‌دهندگان، طراحان وب و متخصصان Web3 را هدف قرار دادند. این مهاجمان در جریان مصاحبه‌های فنی یا تکالیف کدنویسی، قربانیان را متقاعد می‌کردند تا فایل‌های مخرب را از مخازن کد (Code Repositories) دانلود و اجرا کنند.
ابزارهای مورد استفاده و زنجیره حمله
مهاجمان از بسته‌های مخرب NPM برای توزیع بدافزارهایی نظیر BeaverTail، InvisibleFerret، OtterCookie، OtterCandy و StoatWaffle استفاده کردند. بدافزار StoatWaffle به‌طور خاص در پروژه‌های Visual Studio Code (VSC) با تم بلاکچین جایگذاری شده و به محض اعتماد کاربر به پوشه پروژه، به‌صورت خودکار اجرا می‌شود.
- هدف نهایی: سرقت کلیدهای خصوصی (Private Keys)، عبارت‌های بازیابی (Seed Phrases)، مدارک شناسایی و اطلاعات ورود به مرورگر.
- دسترسی جانبی: استفاده از سیستم‌های آلوده برای نفوذ به شبکه داخلی سازمان‌هایی که قربانیان در آن‌ها استخدام شده بودند.
- زیرساخت: بهره‌گیری از «مزارع لپ‌تاپ» (Laptop Farms) برای مدیریت ریموت سیستم‌ها و پنهان کردن موقعیت جغرافیایی توسط واسطه‌ها.
پیامدهای عملیاتی و توصیه‌های امنیتی
بر اساس تخمین‌ها، حدود ۱.۷ میلیارد ین (معادل ۱۰.۷ میلیون دلار) ارز دیجیتال به کره شمالی منتقل شده است. همچنین گزارش شده که برخی از این کارکنان پس از استخدام، اقدام به اخاذی از شرکت‌ها، انتشار کد منبع (Source Code) یا تخریب وب‌سایت‌های مشتریان کرده‌اند.
توصیه‌های فنی برای سازمان‌ها:
۱. فعال‌سازی Restricted Mode در محیط VSC برای پروژه‌های ناشناس و بررسی دقیق فایل‌های tasks.json.
۲. محدود کردن دسترسی پیمانکاران خارجی به کد منبع و اعتبارنامه‌های حساس.
۳. سخت‌گیرانه کردن فرآیند احراز هویت (Identity Verification) برای متقاضیان استخدام دورکار.
