Севернокорейские хакеры использовали поддельные собеседования для атаки на более чем 3100 IP-адресов, связанных с компаниями, занимающимися искусственным интеллектом, шифрованием и финансами.

PANews сообщила 22 января, что, согласно сообщению Cryptopolitan, новое исследование компании Recorded Future показало, что связанная с Северной Кореей хакерская группа PurpleBravo провела кибершпионажную кампанию, нацеленную на более чем 3100 IP-адресов компаний в области искусственного интеллекта, криптовалют и финансовых услуг, используя для этого поддельные собеседования. Группа выдавала себя за рекрутеров или разработчиков, используя технические собеседования как предлог, чтобы заставить цели выполнить вредоносный код. Злоумышленники представлялись сотрудниками компаний, занимающихся криптовалютами или технологиями, и просили соискателей изучать код, клонировать репозитории или выполнять задания по программированию. Специалисты по безопасности выявили 20 организаций-жертв из Южной Азии, Северной Америки и других регионов.

Группа использовала несколько псевдонимов и маскировалась под вымышленную личность из Одессы, Украина. В атаке использовались удаленные трояны, такие как PylangGhost и GolangGhost, которые автоматически крали учетные данные и файлы cookie из браузеров. Хакеры также размещали свои вредоносные серверы через поддельный репозиторий GitHub, VPN Astrill и 17 провайдеров услуг. Кроме того, в ходе расследования были обнаружены связанные Telegram-каналы, продающие аккаунты LinkedIn и Upwork, а также взаимодействие злоумышленников с криптовалютной биржей MEXC Exchange.