Масштабные кибератаки КНДР выявлены в 1640 организациях по всему миру

В течение 22 месяцев исследователь из Греции, Вангелис Стикас, выявил кибератаки хакеров из Северной Кореи на 1640 организаций в 57 странах. Как сообщает WIRED, Стикас утверждает, что в 700–800 случаях удалось серьезно скомпрометировать инфраструктуру.

Среди пострадавших организаций названы такие компании, как Coinbase, Uniswap Labs, Boston Children's Hospital, AEON Smart Technology из Японии, китайский Oppo, а также правительственные структуры, включая Digitaal Vlaanderen в Бельгии. На сегодняшний день не все компании подтвердили факты взломов, хотя некоторые признали отдельные инциденты.

Стикас, технический директор и сооснователь Kumio, получил доступ к серверам хакеров, управляющим зараженными системами. Он не раскрывает, как именно это произошло, но упоминает, что хакеры сами заразили свои устройства, что позволило ему проникнуть в их каналы на Slack и Discord.

Исследователь проанализировал около 5 ТБ данных и идентифицировал потенциальных жертв по таким признакам, как ключи разработчиков и исходный код. Он предупреждал организации о возможных атаках, подчеркивая огромный уровень доступа, который хакеры получили к их системам и блокчейн-инфраструктуре.

Некоторые организации подтвердили выводы Стикаса. Например, AEON Smart Technology устранила последствия атаки при помощи японских специалистов, а правительство Фландрии изолировало зараженное устройство после уведомления от Стикаса.

Coinbase заявила, что после обнаружения аномальной активности со стороны подрядчика из США в 2025 году, его доступ был ограничен и сотрудничество вскоре прекращено. Однако, компании не удалось найти доказательства связи подрядчика с Северной Кореей.

Хакеры часто начинали атаки с фальшивых собеседований, представляясь рекрутерами. Жертвам предлагали запускать вредоносные NPM-пакеты, что приводило к установке бэкдора. Новая тактика включала использование Visual Studio Code для загрузки вредоносного кода.

Microsoft фиксирует подобную активность с декабря 2022 года, когда хакеры собирали API-токены и ключи криптокошельков. Исследователь Маркус Хатчинс из Expel считает, что доступ к цифровым активам может быть использован для шпионажа и кражи данных.

США уже ввели санкции против лиц и компаний, участвующих в подобных схемах. В 2024 году операции с IT-работниками из КНДР принесли около $800 млн. В июне Cisco Talos сообщила о новом трояне PylangGhost, распространяемом северокорейскими хакерами через фальшивые собеседования.