北韓駭客想從加密貨幣業者竊取資產，鎖定求職者企圖散布兩種惡意軟體

針對Web3及加密貨幣環境而來的資安事故頻傳，最近5年已有數百起大規模挾持加密貨幣的事故，導致逾120億美元資產遭竊，例如，發生在2022年的去中心化金融（De-Fi）系統Ronin Network事故引起全球關注，因為攻擊者一口氣偷走逾6億美元加密貨幣而成為當時規模最大的事故，美國直指是北韓駭客Lazarus所為。如今有研究人員提出警告，北韓駭客偏好針對特定類型的求職者下手，目的是為了得到目標組織的初始存取管道，企圖從這些組織盜取大筆加密貨幣。

資安業者Mandiant指出，他們近期看到北韓駭客假借徵才的名義，鎖定求職的開發人員、財務人員下手，從而部署惡意程式，得逞後就會試圖透過電腦的密碼管理員竊取帳密資料，並針對程式碼儲存庫及特定檔案進行偵察，然後在受害電腦植入惡意軟體。

在其中一起針對工程師的攻擊事故裡，北韓駭客在LinkedIn與此人取得聯繫之後，發送ZIP檔案，其內容是鎖定macOS作業系統攻擊的惡意程式CovertCatch，駭客將其偽裝成用來進行Python程式碼測驗的工具。一旦工程師執行，電腦就會下載第二階段惡意酬載，讓攻擊者能持續在受害電腦進行活動。

這些駭客也對財務人員出手，在另一起攻擊行動當中，駭客宣稱是知名加密貨幣交易所的財務和營運副總裁，並提供上門應徵的財務人員惡意PDF檔案，當求職者打開檔案，電腦就會感染後門程式RustBucket，駭客將其偽裝成Safari更新程式掩人耳目。

在攻擊加密貨幣業者的過程中，這些駭客不僅對求職者發動社交工程攻擊來達到目的，也會針這些業者的下游客戶進行供應鏈攻擊，從而擴大受害範圍。值得留意的是，雖然大部分的攻擊行動發生的速度很快，但他們也發現為期長達1年的攻擊行為。