گزارش‌های اخیر از سوی سازمان‌های امنیتی و انتظامی کشورهای آمریکا، ژاپن، آلمان و استرالیا نشان می‌دهد که گروه سایبری WaterPlum وابسته به کره شمالی، با استفاده از متدهای مهندسی اجتماعی پیچیده، موفق به آلوده کردن بیش از 30,000 دستگاه شده است. این مهاجمان با جعل هویت استخدام‌کنندگان (Recruiters)، متخصصان Web3، مهندسان و طراحان وب را هدف قرار داده‌اند.
مکانیسم حمله و زنجیره نفوذ
در این کمپین، قربانیان طی یک فرآیند مصاحبه شغلی ساختگی، متقاعد می‌شوند تا فایل‌هایی را که به عنوان «تکالیف کدنویسی» یا «آزمون‌های استخدامی» معرفی شده‌اند، دانلود و اجرا کنند. اجرای این فایل‌ها منجر به ایجاد یک Backdoor در سیستم کاربر شده و بدافزارهای متنوعی از جمله Remote Access Trojans (RATs) و Information Stealers را نصب می‌کند.
- دسترسی مداوم: مهاجمان پس از نصب RAT، دسترسی دائمی به اعتبارنامه‌ها (Credentials) و داده‌های حساس قربانی پیدا می‌کنند.
- سرقت دارایی‌های دیجیتال: این گروه موفق شده‌اند بیش از 7,000 کیف پول ارز دیجیتال (Crypto Wallets) را هدف قرار داده و مبلغی بالغ به 10.71 میلیون دلار را سرقت کنند.
- نفوذ به شبکه‌های سازمانی: یکی از خطرناک‌ترین جنبه‌های این حمله این است که اگر متقاضی کار در جای دیگری استخدام شود، سیستم آلوده او می‌تواند به عنوان یک نقطه ورود (Entry Point) برای نفوذ به زیرساخت‌های شرکت جدید مورد استفاده قرار گیرد.
استراتژی‌های دوگانه کره شمالی
علاوه بر سرقت داده‌ها، کره شمالی از استراتژی «جایگزینی نیروی کار» استفاده می‌کند. تخمین زده می‌شود حدود 100,000 نیروی IT کره شمالی در سراسر جهان با هویت‌های جعلی در شرکت‌های غربی مشغول به کار هستند تا علاوه بر کسب درآمد ارزی (که تخمین زده می‌شود سالانه بیش از 500 میلیون دلار باشد)، به جاسوسی و سرقت مالکیت معنوی (Intellectual Property) بپردازند.
نشانه‌های شناسایی متقاضان جعلی
برای سازمان‌هایی که در حال استخدام نیروهای Remote هستند، شناسایی این موارد حیاتی است. برخی از نشانه‌های هشداردهنده عبارتند از:
- ارائه رزومه‌های بسیار برجسته اما عدم تطابق مهارت‌ها در طول مصاحبه‌های فنی.
- امتناع مکرر از ملاقات حضوری یا استفاده از نرم‌افزارهای AI Face-swapping در تماس‌های ویدئویی.
- اختلالات مشکوک در تصویر و صدا یا درخواست پرداخت دستمزد به صورت ارز دیجیتال.
توصیه امنیتی: سازمان‌هایی که مشکوک به استخدام نیروی جعلی هستند، باید فوراً تحقیقات Forensic جامع را آغاز کرده و فرض کنند که تمامی اعتبارنامه‌ها و داده‌های حساس در معرض لو رفتن قرار گرفته‌اند.
