در گزارش مشترکی که توسط سازمان پلیس ملی ژاپن، FBI، وزارت دفاع ایالات متحده و سازمان‌های امنیتی استرالیا و آلمان منتشر شده، جزئیات تکان‌دهنده‌ای از فعالیت‌های گروه هکری WaterPlum (معروف به Contagious Interview) فاش شده است. این گروه که ارتباطات نزدیکی با Lazarus Group کره شمالی دارد، از متدهای پیچیده‌ای برای سرقت دارایی‌های دیجیتال و نفوذ به شبکه‌های سازمانی استفاده می‌کند.
سازوکار حملات: تله مصاحبه فنی
استراتژی اصلی WaterPlum، جعل هویت استخدام‌کنندگان (Recruiters) برای هدف قرار دادن متخصصان IT، به‌ویژه توسعه‌دهندگان Web و مهندسان حوزه Blockchain است. روند حمله به شرح زیر است:
- جذب هدف: مهاجمان از طریق شبکه‌های اجتماعی و پلتفرم‌های فریلنسینگ با قربانی تماس گرفته و پیشنهادهای شغیاتی وسوسه‌انگیز از طرف شرکت‌های AI یا پروژه‌های NFT ارائه می‌دهند.
- تله تست فنی: از متقاضی خواسته می‌شود برای یک «مصاحبه فنی» یا «تست برنامه‌نویسی»، یک فایل پروژه را از مخازنی مانند GitHub دانلود کند (مثلاً با بهانه رفع باگ در یک ابزار ویدئو کنفرانس).
- استقرار بدافزار: این فایل‌ها حاوی بدافزارهایی نظیر StoatWaffle، BeaverTail و InvisibleFerret هستند. برای مثال، StoatWaffle از فایل پیکربندی
.vscode/tasks.jsonاستفاده می‌کند تا به محض باز شدن پروژه در VS Code و تایید Trust، کد مخرب را در پس‌زمینه اجرا کند.
سرقت داده‌ها و نفوذ جانبی (Lateral Movement)
این بدافزارها که اغلب در قالب پکیج‌های NPM مخفی شده‌اند، پس از اجرا اقدام به سرقت موارد زیر می‌کنند:
- پسوردهای ذخیره شده در مرورگرها و محتویات Clipboard.
- کلیدهای خصوصی (Private Keys) و Seed Phrase کیف پول‌های کریپتویی.
- تصاویر اسناد شناسایی (پاسپورت و گواهینامه) برای جعل هویت در آینده.
نکته حیاتی این است که این اعتبارنامه‌های سرقتی تنها برای فروش استفاده نمی‌شوند، بلکه مهاجمان از آن‌ها برای نفوذ به شبکه‌های داخلی سازمان‌هایی که قربانیان در آن‌ها مشغول به کار هستند، جهت سرقت مالکیت معنوی (Intellectual Property) و گسترش نفوذ در شبکه استفاده می‌کنند.
مزارع لپ‌تاپ (Laptop Farms): مدل جدید کلاهبرداری
یکی از یافته‌های کلیدی این گزارش، کشف «مزارع لپ‌تاپ» در ژاپن است. در این مدل، کارکنان IT کره شمالی که در خارج از ژاپن هستند، افرادی را در داخل ژاپن (Facilitators) استخدام یا متقاعد می‌کنند تا لپ‌تاپ‌هایی را در منزل خود قرار دهند و دسترسی VPN فراهم کنند. با این روش، به نظر می‌رسد که یک نیروی محلی در حال کار است، در حالی که کنترل دستگاه کاملاً در دست اپراتورهای کره شمالی است. هدف از این کار، دریافت حقوق‌های دلاری و تبدیل آن‌ها به ارزهای دیجیتال برای تامین بودجه برنامه‌های نظامی کره شمالی است.
مورد مطالعه: تلاش برای نفوذ به صرافی bitFlyer
در یک مورد واقعی، فردی با رزومه‌ای بسیار جامع (تسلط بر ده‌ها زبان برنامه‌نویسی و تحصیل در اروپا) برای صرافی bitFlyer درخواست کار داد. با وجود استفاده از ابزارهای تغییر چهره (AI Face-swapping) مانند Magicam در مصاحبه ویدئویی، تردیدهای تیم استخدام (مانند عدم تطابق سطح زبان انگلیسی با رزومه، اصرار بر پرداخت حقوق با کریپتو و رفتارهای مشکوک در حین مصاحبه) منجر به شناسایی و رد درخواست وی شد.
توصیه‌های امنیتی برای متخصصان و سازمان‌ها
برای متخصصان IT:
– هرگز کدهای ناشناس را روی سیستم اصلی اجرا نکنید؛ از Virtual Machine استفاده کنید.
– در VS Code، پروژه‌های ناشناس را حتماً در Restricted Mode باز کنید.
– در صورت مشاهده هشدارهای آنتی‌ویروس، بلافاصله سیستم را از شبکه قطع کنید.
برای تیم‌های HR و استخدام:
– نسبت به رزومه‌هایی که مهارت‌های بیش از حد جامع و غیرواقعی دارند، مشکوک شوید.
– اصرار بر پرداخت حقوق با ارز دیجیتال یا امتناع از حضور فیزیکی را به عنوان Red Flag در نظر بگیرید.
– از پرسش‌های رفتاری و جزئی درباره محل زندگی ادعایی کاندیدا برای شناسایی تناقضات استفاده کنید.
