عنوان پست

یک عامل تهدید وابسته به کره شمالی در حال هدف قرار دادن جویندگان کار در صنعت ارزهای دیجیتال با بدافزاری جدید است که برای دزدیدن رمزعبور کیف پول‌های رمزنگاری و مدیران رمزعبور طراحی شده است.

شرکت Cisco Talos روز چهارشنبه گزارش داد که یک تروجان دسترسی از راه دور مبتنی بر پایتون (RAT) جدید به نام “PylangGhost” یافته است که این بدافزار را به یک گروه هک کردن وابسته به کره شمالی به نام “Famous Chollima” که با نام “Wagemole” نیز شناخته می‌شود، مرتبط می‌داند.

این گروه هکری در حملات خود به دنبال جویندگان کار و کارکنانی با تجربه در حوزه ارزهای دیجیتال و بلاکچین هستند که عمدتاً در هند فعالیت می‌کنند و حملات را از طریق کمپین‌های تقلبی مصاحبه‌های شغلی با استفاده از مهندسی اجتماعی انجام می‌دهند.

«با توجه به موقعیت‌های شغلی تبلیغ شده، واضح است که گروه Famous Chollima به طور گسترده افراد دارای تجربه قبلی در فناوری‌های رمزنگاری و بلاکچین را هدف قرار می‌دهد.»

سایت‌ها و تست‌های شغلی تقلبی پوششی برای بدافزار

حمله‌کنندگان سایت‌های شغلی جعلی ایجاد می‌کنند که شرکت‌های معتبر مانند Coinbase، Robinhood و Uniswap را تقلید می‌کند و قربانیان در یک فرآیند چند مرحله‌ای راهنمایی می‌شوند.

این فرآیند شامل تماس اولیه از جانب استخدام‌کنندگان جعلی است که دعوت‌نامه‌هایی به وب‌سایت‌های تست مهارت ارسال می‌کنند که در آن جمع‌آوری اطلاعات انجام می‌شود.

در مرحله بعد، قربانیان تشویق می‌شوند تا دسترسی به ویدیو و دوربین را برای مصاحبه‌های جعلی فعال کنند، در حالی که آن‌ها فریب خورده و به کپی و اجرای فرمان‌های مخرب با ادعای نصب درایورهای ویدیویی به‌روزشده وادار می‌شوند که باعث نفوذ به دستگاهشان می‌شود.

بار مخرب هدف‌گیری کیف پول‌های ارز دیجیتال

PylangGhost یک نسخه از RAT قبلاً مستندسازی شده GolangGhost است و عملکرد مشابهی دارد، به گفته Cisco Talos.

در هنگام اجرا، این فرمان‌ها کنترل از راه دور سیستم آلوده را فعال و کوکی‌ها و احراز هویت‌ها را از بیش از ۸۰ افزونه مرورگر به سرقت می‌برند، این شرکت گزارش داد.

این موارد شامل مدیران رمزعبور و کیف پول‌های ارز دیجیتال از جمله MetaMask، 1Password، NordPass، Phantom، Bitski، Initia، TronLink و MultiverseX می‌شوند.

بدافزاری چندکاره

این بدافزار قادر به انجام وظایف دیگر و اجرای فرمان‌های متعدد است، از جمله گرفتن تصویر صفحه، مدیریت فایل‌ها، سرقت داده‌های مرورگر، جمع‌آوری اطلاعات سیستم و حفظ دسترسی از راه دور به سیستم‌های آلوده.

مرتبط: کلاهبردارها از شغل‌های جعلی کریپتو و اپلیکیشن جلسه ‘GrassCall’ برای خالی کردن کیف‌ها استفاده می‌کنند

محققان همچنین یادآور شدند که بر اساس نظرات نوشته شده در کد، استفاده از مدل زبان مصنوعی بزرگ مبتنی بر هوش مصنوعی برای کمک به نوشتن کد، احتمالاً توسط عاملان تهدید به کار نرفته است.

طعمه‌های شغلی جعلی چیز جدیدی نیست

این اولین بار نیست که هکرهای مرتبط با کره شمالی از شغل‌ها و مصاحبه‌های جعلی برای جذب قربانیان خود استفاده می‌کنند.

در آوریل، هکرهای مرتبط با سرقت 1.4 میلیارد دلاری Bybit توسعه‌دهندگان کریپتو را با استفاده از تست‌های استخدام جعلی آلوده به بدافزار هدف قرار داده بودند.

مجله: آرتور هایس اهمیتی نمی‌دهد وقتی پیش‌بینی‌های بیت‌کوین‌اش کاملاً اشتباه از آب درمی‌آید