کلاهبرداری در مصاحبه‌های شغلی؛ استراتژی دوگانه کره شمالی برای نفوذ به زنجیره تأمین نرم‌افزار

گروه‌های مهاجم با هدف قرار دادن اعضای پروژه Rust و نگهدارندگان (Maintainers) کتابخانه‌های کد Rust (Crates)، از فرصت‌های شغلی جذاب برای متقاعد کردن اهداف به نصب نرم‌افزارهای مخرب یا اجرای دستورات مشکوک استفاده می‌کنند تا در نهایت دسترسی به حساب‌ها و دستگاه‌های آن‌ها پیدا کرده و بدافزار منتشر کنند.

الگوی حمله: از لینکدین تا اجرای کد

تیم امنیتی crates.io هشدار داده است که مهاجمان با ایجاد پروفایل‌های شرکتی جعلی اما باورپذیر در LinkedIn، اعتماد توسعه‌دهندگان را جلب می‌کنند. در این سناریو، هدف به یک تماس تصویری (Video Call) دعوت شده و سپس تحت بهانه همکاری یا تست فنی، ترغیب می‌شود تا ابزاری را نصب یا دستوری را اجرا کند. این روش منجر به آلودگی دستگاه و در برخی موارد، نفوذ به کتابخانه‌های مورد استفاده گسترده در اکوسیستم Rust شده است.

شناسایی گروه Contagious Interview

این حملات توسط گروه تهدید Contagious Interview (معروف به WaterPlum) انجام می‌شود که تحت حمایت دولت کره شمالی است. اهداف این گروه تنها توسعه‌دهندگان Rust نیستند، بلکه تمامی متخصصان IT، توسعه‌دهندگان وب و متقاضیان کار در حوزه‌های AI، Blockchain و NFT در معرض خطر قرار دارند. اهداف اصلی این گروه عبارتند از:

• سرقت ارزهای دیجیتال و دسترسی به کیف پول‌ها (Wallets)
• به دست آوردن اعتبارنامه‌ها (Credentials) و مالکیت معنوی (IP)
• نفوذ به سازمان‌های هدف از طریق کارکنان آن‌ها

استراتژی دوطرفه: نفوذ و استخدام جعلی

این عملیات در دو سطح پیش می‌رود: نخست، هدف قرار دادن توسعه‌دهندگان برای سرقت داده‌ها؛ و دوم، استفاده از هویت‌های سرقتی برای استخدام در شرکت‌ها. کارگران IT کره شمالی با استفاده از حساب‌های LinkedIn سرقتی و کمک گرفتن از «پراکسی‌های انسانی» در زمان مصاحبه‌های تصویری، خود را به عنوان متخصصان کشورهای دیگر معرفی می‌کنند تا حقوق خود را دور بزنند و تحریم‌ها را دور زده و از داخل سازمان‌ها جاسوسی کنند.

راهکارهای دفاعی و پیشگیرانه

برای مقابله با این تهدیدات، توصیه‌های فنی و مدیریتی زیر ارائه شده است:

• کنترل تماس‌های اولیه: توسعه‌دهندگان باید نسبت به درخواست‌های ناخواسته مشکوک باشند و ترجیحاً خودشان لینک تماس را ایجاد کنند.
• امنیت حساب‌ها: فعال‌سازی MFA (Multi-Factor Authentication) و بررسی دوره‌ای تاریخچه ورودها (Login History).
• لایه فنی: استقرار ابزارهای EDR (Endpoint Detection and Response) برای شناسایی رفتارهای مخرب در دستگاه‌های سازمانی.
• مدیریت دسترسی: اعمال اصل حداقل دسترسی (Least Privilege) برای کد منبع و سیستم‌های حساس، به‌ویژه برای پیمانکاران دورکار.