HackerNews 编译，转载请注明出处： 经观察，一个与朝鲜有关联的威胁行为体，正利用 EtherHiding 技术传播恶意软件并实施加密货币盗窃。这是国家支持的黑客组织首次采用该方法。 谷歌威胁情报小组（GTIG）将这一活动归因为其追踪的威胁集群 UNC5342。该集群还拥有多个其他代号，不同机构对其命名分别为：帕洛阿尔托网络公司 Unit 42 称其为 CL-STA-0240，ESET 称其为 DeceptiveDevelopment，Securonix 称其为 DEV#POPPER，CrowdStrike 称其为 Famous Chollima，DTEX 称其为 Gwisin Gang，Datadog 称其为 Tenacious Pungsan，趋势科技则称其为 Void Dokkaebi。 此次攻击浪潮属于一个代号为 “传染性访谈”（Contagious Interview）的长期攻击活动。在该活动中，攻击者会在领英（LinkedIn）上伪装成招聘人员或招聘经理接触潜在目标，随后将对话转移到 Telegram 或 Discord 平台，再以 “职位评估” 为借口，诱骗目标运行恶意代码。 这些攻击行动的最终目标是非法访问开发者的设备、窃取敏感数据并盗取加密货币资产 —— 这与朝鲜同时追求网络间谍活动和经济利益的双重目标一致。 谷歌表示，自 2025 年 2 月以来，已观察到 UNC5342 使用 EtherHiding 技术。这是一种隐蔽手段，通过将恶意代码嵌入公共区块链（如币安智能链 BSC 或以太坊）的智能合约中实现攻击。通过这种操作，区块链被转化为一个 “去中心化秘密传输解析器”，能有效抵抗溯源打击。 此外，EtherHiding 技术还存在两大风险点：一是滥用区块链交易的伪匿名特性，增加追踪智能合约部署者的难度；二是灵活性极强，控制智能合约的攻击者可随时更新恶意载荷（平均需支付 1.37 美元的 Gas 费），从而衍生出多种威胁形式。 谷歌云旗下 Mandiant 公司咨询主管罗伯特・华莱士（Robert Wallace）在接受《黑客新闻》（The Hacker News）采访时发表声明称：“这一动态标志着威胁格局的升级。如今，国家层面的威胁行为体正采用新技术传播恶意软件，这类软件既能抵抗执法部门的溯源打击，又能轻松调整以适配新的攻击活动。” 社交工程攻击触发的感染链是一个多阶段流程，可针对 Windows、macOS 和 Linux 三大系统发起攻击，涉及三类不同的恶意软件家族，具体如下： 初始下载器：以 npm 包（Node.js 包管理器）的形式存在； BeaverTail：一种 JavaScript 窃取器，负责窃取敏感信息，包括加密货币钱包、浏览器扩展数据及各类凭证； JADESNOW：一种 JavaScript 下载器，与以太坊交互以获取 “InvisibleFerret”； InvisibleFerret：Python 后门的 JavaScript 变体，针对高价值目标部署，可实现对受感染主机的远程控制，同时通过攻击 MetaMask、Phantom 钱包及 1Password 等密码管理器中的凭证，实现长期数据窃取。 简言之，攻击流程为：诱骗受害者运行代码，执行初始 JavaScript 下载器；该下载器与恶意 BSC 智能合约交互，下载 JADESNOW；JADESNOW 随后查询某以太坊地址关联的交易记录，获取第三阶段载荷 —— 即 JavaScript 版本的 InvisibleFerret。 此外，该恶意软件还会尝试安装便携式 Python 解释器，以执行存储在另一以太坊地址中的额外凭证窃取组件。这一发现意义重大，因为威胁行为体在 EtherHiding 活动中同时使用了多个区块链。 谷歌指出：“EtherHiding 标志着网络攻击向‘下一代防弹托管’转变 —— 区块链技术的固有特性被滥用于恶意目的。这一技术也凸显了网络威胁的持续演变：攻击者不断适应并利用新技术为己所用。”   消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 经观察，与朝鲜民主主义人民共和国（简称 DPRK 或朝鲜）有关联的威胁行为者，正利用 ClickFix 类诱饵投放两款已知恶意软件 ——BeaverTail 与 InvisibleFerret。 根据GitLab 威胁情报研究员奥利弗・史密斯在上周发布的一份报告中表示：“该威胁行为者利用 ClickFix 诱饵，将目标锁定在加密货币和零售行业机构中的市场营销及交易岗位人员，而非软件开发岗位人员。” 2023年末，BeaverTail 与 InvisibleFerret 由帕洛阿尔托网络公司（Palo Alto Networks）首次曝光，朝鲜特工人员将其作为 “传染性面试”（又称 “鬼魅团伙”，Gwisin Gang）长期攻击行动的一部分投放。在该行动中，恶意软件以求职评估为借口分发给软件开发人员。据评估，实施该行动的团伙是 “ Lazarus” 伞形组织的分支，至少自 2022 年 12 月起便开始活跃。多年来，BeaverTail 还通过伪造的 npm 包以及虚假的 Windows 视频会议应用（如 FCCCall 和 FreeConference）进行传播。这款用 JavaScript 编写的恶意软件兼具 “信息窃取器” 与 “下载器” 功能，可下载一款基于 Python 的后门程序 InvisibleFerret。 该攻击行动的一个重要演变，是采用 ClickFix 社会工程学策略投放多种恶意软件，包括 GolangGhost、PylangGhost 和 FlexibleFerret—— 这类活动分支被标记为 “ClickFake 面试”。 2025 年 5 月末观察到的最新一波攻击值得关注，原因有二：一是首次通过 ClickFix 投放 BeaverTail（此前投放的是 GolangGhost 或 FlexibleFerret）；二是该窃取器以编译二进制文件的形式投放，借助 pkg、PyInstaller 等工具生成，适配 Windows、macOS 和 Linux 系统。 攻击方利用 Vercel 搭建了一个虚假招聘平台网页应用，将其作为恶意软件的分发载体。他们在平台上为多家 Web3 机构招聘加密货币交易员、销售及市场营销人员，同时诱导目标人群投资某家 Web3 公司。史密斯指出：“以往 BeaverTail 的分发者主要针对软件开发人员和加密货币行业，而此次威胁行为者将目标转向市场营销岗位求职者，并冒充零售行业机构，这一点值得关注。”用户访问该虚假网站后，其公网 IP 地址会被捕获，同时被要求完成一段个人视频评估。在此过程中，网站会显示一条虚假的技术错误提示，声称存在 “麦克风未检测到” 问题，并要求用户执行一条与操作系统对应的命令以 “解决该问题”—— 而这一操作实际上会通过 Shell 脚本或 Visual Basic 脚本，部署一个精简版的 BeaverTail 恶意软件。 GitLab 方面表示：“与此次攻击行动相关的 BeaverTail 变种，其信息窃取流程经过简化，针对的浏览器扩展数量也有所减少。该变种仅针对 8 款浏览器扩展，而当前其他 BeaverTail 变种针对的扩展数量为 22 款。”另一处重要改动是，该变种移除了从谷歌浏览器（Google Chrome）以外的其他浏览器窃取数据的功能。 研究人员还发现，Windows 版本的 BeaverTail 会依赖一个与恶意软件一同分发的加密压缩包（受密码保护），来加载与 InvisibleFerret 相关的 Python 依赖组件。尽管受密码保护的压缩包是各类威胁行为者长期以来广泛使用的常见技术，但这是该方法首次被用于 BeaverTail 的有效载荷投放，这表明威胁行为者正在积极优化其攻击链条。此外，野外环境中相关次要攻击组件的传播率较低，且社会工程学手段缺乏精巧性，这些迹象表明该攻击行动可能只是一次有限的测试，不太可能进行大规模部署。 根据森蒂内尔一号（SentinelOne）、森蒂内尔实验室（SentinelLabs）与 Validin 联合开展的调查显示，2025 年 1 月至 3 月期间，“传染性面试” 行动通过冒充 Archblock、罗宾汉（Robinhood）、eToro 等公司，在虚假加密货币求职面试攻击中已锁定至少 230 名目标人员。该行动的核心模式是，利用 ClickFix 相关主题分发名为 “ContagiousDrop” 的恶意 Node.js 应用，这些应用旨在投放伪装成 “更新程序” 或 “必备工具” 的恶意软件。其有效载荷会根据受害者的操作系统和系统架构进行定制，还能够记录受害者的操作活动，并在受影响人员启动虚假技能评估时触发邮件警报。 这些机构指出：“此次活动中，威胁行为者还对与其基础设施相关的网络威胁情报（CTI）信息进行了探查。” 他们补充称，攻击者会协同评估待采购的新基础设施，并通过 Validin、VirusTotal 和 Maltrail 等平台，监控其活动是否被发现的迹象。通过此类行动收集的信息，旨在提升其攻击行动的韧性和有效性，同时在服务提供商查封其基础设施后快速部署新的替代设施。这一现象表明，该团伙更倾向于投入资源维持运营，而非对现有基础设施进行大规模安全改进。 研究人员表示：“鉴于其攻击行动在锁定目标方面持续取得成功，对威胁行为者而言，部署新基础设施可能比维护现有资产更务实、更高效。潜在的内部因素，如分散式指挥架构或运营资源限制，可能使其难以快速实施协同性的（基础设施）改进。”“他们的运营策略似乎优先考虑：在服务提供商查封其基础设施后，通过快速替换这些资产，并利用新部署的基础设施维持活动。   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 研究人员发现，朝鲜黑客利用OpenAI的ChatGPT生成伪造的军事证件，作为针对韩国国防相关机构的网络钓鱼活动的一部分。 2024年7月的攻击被归因于Kimsuky组织，也被称为APT43。该组织因通过情报收集行动支持平壤的外交政策和规避制裁的努力，已被华盛顿及其盟友制裁。 据韩国网络安全公司Genians称，黑客利用ChatGPT创建韩国政府和军事人员证件的样本图像。这些图像被嵌入到网络钓鱼邮件中，这些邮件被设计得看起来像是来自韩国国防部处理军事官员证件服务的合法机构。 这些邮件附带了一张伪造的身份证和恶意软件，使攻击者能够窃取数据并远程访问受害者的系统。 研究人员表示，通过对图像的元数据分析确认这些图像是使用ChatGPT生成的。尽管ChatGPT通常会拒绝复制官方证件的请求，但报告称，攻击者可能通过将请求表述为模拟或样本设计，从而操纵提示词来生成图像。 “这是一个真实案例，展示了Kimsuky组织应用深度伪造技术的情况。”Genians警告说，生成式人工智能可能会被滥用，以很少的技术技能就能创造出逼真的伪造品。 Kimsuky自2012年以来一直活跃，目标是韩国、日本、美国、欧洲和俄罗斯的政府、学者、智库、记者和活动家。其主要关注对象是从事与朝鲜相关问题的个人，包括人权和制裁问题。 Genians和其他研究人员还记录了朝鲜IT工作者利用人工智能生成虚假简历和在线身份以获得海外工作，以及在受雇后协助技术面试和任务的情况。 韩国外交部警告说，平壤的工作人员“使用各种技术伪装成非朝鲜IT工作者，使用虚假身份和地点，包括利用人工智能工具以及与外国协助者合作。”       消息来源： therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 朝鲜黑客正通过伪造Zoom软件更新，诱使Web3和加密货币相关组织的员工安装Nim编译的macOS恶意软件——SentinelOne报告。 观察到的攻击遵循了近期归因于平壤APT组织BlueNoroff的感染链：黑客冒充受害者的可信联系人，通过Telegram邀请受害者使用流行的Calendly日程安排平台安排会议。 受害者随后会收到一封包含Zoom会议链接的电子邮件，并被指示运行一个伪装成Zoom SDK更新的恶意脚本。脚本的执行会触发一个多阶段感染链，最终导致SentinelOne统称为NimDoor的恶意二进制文件的部署。 对攻击的分析揭示了该黑客组织使用的新技术，例如： – 使用Nim编程语言构建macOS二进制文件 – 滥用wss进行进程注入和远程通信 – 依赖特定的信号处理程序实现持久化 Nim是一种静态类型的编译型系统编程语言，融合了Python、Ada和Modula等语言的概念。 “Nim阶段包含一些独特功能，包括加密配置处理、围绕Nim原生运行时构建的异步执行，以及一种在macOS恶意软件中前所未见的基于信号的持久化机制，” SentinelOne在技术报告中指出。 AppleScript在整个感染链中被广泛使用，既用于初始访问，也用于入侵后的操作，如信标通信和系统后门植入。Bash脚本被部署用于Keychain、浏览器和Telegram数据的外泄。 根据SentinelOne的说法，攻击者使用了两个Mach-O二进制文件来触发两个独立的执行链： 其中一个用C++编写，会导致执行用于数据外泄的bash脚本；另一个从Nim源代码编译，用于设置持久化并投放两个Nim编译的二进制文件，分别是’GoogIe LLC’（使用拼写错误欺骗，用小写字母”l”替换大写字母”I”）和’CoreKitAgent’。 GoogIe LLC用于设置配置文件并执行CoreKitAgent，这是一个复杂的Nim二进制文件，”作为使用macOS kqueue机制的事件驱动应用程序运行”，SentinelOne表示。 这两个载荷共同建立了持久访问和恢复机制，依靠信号处理程序拦截来自SIGINT和SIGTERM的终止信号，并重新部署核心组件。 “Nim相当独特的在编译时执行函数的能力，使攻击者能够将复杂行为融入二进制文件中，且控制流不那么明显，导致编译后的二进制文件中开发者代码和Nim运行时代码甚至在函数级别都相互交织，” SentinelOne指出。     消息来源： securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现了一批新的恶意 npm 软件包，这些软件包与朝鲜发起的持续性攻击活动“Contagious Interview”（传染性面试）有关。 安全公司 Socket 表示，此次供应链攻击涉及 24 个 npm 账户上传的 35 个恶意软件包。这些软件包已被累计下载超过 4000 次。 其中，有六个软件包目前仍可从 npm 下载：react-plaid-sdk、sumsub-node-websdk、vite-plugin-next-refresh、vite-loader-svg、node-orm-mongoose 和 router-parse。 每个已识别的 npm 软件包都包含一个名为 HexEval 的十六进制编码加载器。该加载器设计用于在安装后收集主机信息，并有选择地投递后续有效载荷，该载荷负责投递一个已知的 JavaScript 窃密程序 BeaverTail。 BeaverTail 则被配置为下载并执行一个名为 InvisibleFerret 的 Python 后门，从而使威胁行为者能够收集敏感数据并对受感染主机建立远程控制。 “这种嵌套结构有助于该活动逃避基本的静态扫描和人工审核，” Socket 研究员 Kirill Boychenko 说道，“其中一个 npm 别名还附带了一个跨平台键盘记录器软件包，可以捕获每个按键操作，这表明威胁行为者随时准备在目标需要时定制有效载荷以进行更深入的监视。” “传染性面试”（Contagious Interview）是由 Palo Alto Networks Unit 42 于 2023 年底首次公开记录的，是由朝鲜政府支持的威胁行为者发起的一项持续性攻击活动，旨在未经授权访问开发者系统，窃取加密货币和数据。 该攻击群还被广泛追踪，其绰号包括 CL-STA-0240、DeceptiveDevelopment、DEV#POPPER、Famous Chollima（著名千里马）、Gwisin Gang（鬼怪帮）、Tenacious Pungsan（坚韧的普山）、UNC5342 和 Void Dokkaebi（虚空德基）。 该攻击群的近期迭代还被发现利用 ClickFix 社会工程学策略来传播 GolangGhost 和 PylangGhost 等恶意软件。该活动子集群被命名为 ClickFake Interview。 Socket 的最新发现表明，平壤的威胁行为者正在采取多管齐下的策略，利用各种方法诱骗潜在目标以采访或 Zoom 会议为借口安装恶意软件。 “传染性面试”的 npm 分支通常涉及攻击者冒充 LinkedIn 上的招聘人员，通过分享托管在 GitHub 或 Bitbucket 上的恶意项目链接（该项目嵌入了 npm 软件包）来向求职者和开发者发送编码任务。 “他们瞄准正在积极求职的软件工程师，利用求职者通常对招聘人员的信任，” Boychenko 说道，“虚假身份会主动联系，通常会使用事先准备好的推广信息和令人信服的职位描述。” 然后，在所谓的面试过程中，受害者会被诱导在容器化环境之外克隆并运行这些项目。 “此次恶意活动凸显了朝鲜供应链攻击中不断演变的伎俩，它融合了恶意软件预演、开源情报 (OSINT) 驱动的攻击和社会工程学，旨在通过可信生态系统入侵开发者。” Socket 说道。 通过在开源软件包中嵌入 HexEval 等恶意软件加载器，并通过虚假的作业分配进行传播，威胁行为者得以绕过外围防御，并在目标开发人员的系统上执行攻击。 该攻击活动的多阶段结构、极小的注册表占用空间以及规避容器化环境的尝试表明，资源充足的对手正在实时改进其入侵方法。       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 与朝鲜关联的威胁行为组织“Contagious Interview”（传染性面试）在虚假招聘流程中设立了多家空壳公司，用于分发恶意软件。 网络安全公司Silent Push在深度分析中指出：“在此次新活动中，该威胁组织利用加密货币咨询行业的三家空壳公司——BlockNovas LLC（blocknovas[.]com）、Angeloper Agency（angeloper[.]com）和SoftGlide LLC（softglide[.]co）——通过‘面试诱饵’传播恶意软件。” 该活动被用于分发三种已知恶意软件家族：BeaverTail、InvisibleFerret和OtterCookie。 “Contagious Interview”是朝鲜策划的多起以招聘为主题的社会工程攻击之一。攻击者以编程任务或“解决视频面试时摄像头故障”为借口，诱导目标下载跨平台恶意软件。网络安全界追踪此活动的别名包括CL-STA-0240、DeceptiveDevelopment、DEV#POPPER、Famous Chollima、UNC5342和Void Dokkaebi。 此次攻击的升级体现在： 空壳公司网络：BlockNovas声称有14名员工，但Silent Push发现其多数员工档案为伪造。通过Wayback Machine查看blocknovas[.]com的“关于我们”页面时，该公司自称“运营12年以上”，但实际注册时间仅1年。 社交媒体伪装：攻击者在Facebook、LinkedIn、Pinterest、X、Medium、GitHub和GitLab创建虚假账户扩大传播。 多阶段攻击链： BeaverTail：JavaScript窃取器/加载器，通过域名lianxinxiao[.]com建立C2通信，投递下一阶段载荷。 InvisibleFerret：Python后门，支持Windows/Linux/macOS持久化，可窃取浏览器数据、文件并安装AnyDesk远程控制软件。 OtterCookie：部分攻击链通过同一JS载荷分发。 基础设施细节： BlockNovas子域名托管“状态仪表盘”，监控lianxinxiao[.]com、angeloperonline[.]online等域名。 子域名mail.blocknovas[.]com运行开源密码破解系统Hashtopolis。 域名attisscmo[.]com托管加密货币钱包工具Kryptoneer，支持Suiet Wallet、Ethos Wallet等连接。 时间线与影响： 2024年9月：至少一名开发者的MetaMask钱包遭入侵。 2024年12月：BlockNovas在LinkedIn发布针对乌克兰IT专家的高级软件工程师职位。 2025年4月23日：FBI查封BlockNovas域名，指控其用于“虚假招聘及恶意软件分发”。 技术规避手段： 使用Astrill VPN和住宅代理隐藏基础设施。 利用AI工具Remaker生成虚假人物头像。 通过俄罗斯IP段（位于哈桑和伯力）连接VPS服务器，操作招聘网站和加密货币服务。Trend Micro指出，这些地区与朝鲜存在地理和经济关联，推测朝俄可能存在基础设施共享。 双重动机： 数据窃取：通过远程IT员工渗透企业（即Wagemole攻击）。 资金转移：将薪资汇入朝鲜账户。Okta观察到攻击者使用生成式AI（GenAI）优化虚假身份创建、面试安排及实时语音/文本翻译。 行业警示： 企业需警惕加密货币行业招聘中要求“测试区块链项目”或“修复技术问题”的可疑任务，此类要求可能成为恶意软件投递的切入点。     消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 与朝鲜（朝鲜民主主义人民共和国，DPRK）存在关联的多个威胁活动集群被确认针对Web3及加密货币领域的机构与个人实施攻击。 谷歌旗下Mandiant公司在提供给《The Hacker News》的《2025 M-Trends报告》中指出：“朝鲜因遭受严厉国际制裁，其针对Web3与加密货币的攻击主要出于经济动机。这些活动旨在获取资金，据信用于支持朝鲜大规模杀伤性武器（WMD）计划及其他战略资产。” Mandiant表示，朝鲜相关攻击者已开发使用Golang、C++和Rust等多种语言编写的定制工具，具备感染Windows、Linux和macOS操作系统的能力。 追踪编号为UNC1069、UNC4899和UNC5342的三个威胁集群被发现重点攻击加密货币与区块链开发群体，主要渗透从事Web3项目的开发人员以非法获取加密货币钱包权限及其所属机构访问权限。各集群特征如下： UNC1069（活跃至少自2018年4月）：通过Telegram发送虚假会议邀请并伪装知名企业投资者身份，针对多行业实施社会工程攻击以窃取数字资产与加密货币 UNC4899（活跃自2022年）：以招聘测试为名分发恶意代码实施供应链攻击（与Jade Sleet、PUKCHONG、TraderTraitor等组织存在技术重叠） UNC5342（活跃自2024年1月）：使用含恶意代码的编程任务诱骗开发人员运行（与Contagious Interview、DEV#POPPER等组织存在技术重叠） 另一朝鲜攻击者UNC4736通过植入后门的交易软件渗透区块链行业，被指与2023年初3CX供应链攻击存在关联。Mandiant公司还发现独立集群UNC3782实施针对加密货币行业的大规模钓鱼攻击，2023年针对TRON用户实施钓鱼攻击，单日转移价值超1.37亿美元资产，2024年转向攻击Solana用户诱导其访问含加密货币流失器的页面。 朝鲜通过派遣数千名IT人员（主要居住在中国与俄罗斯）渗透欧美亚企业远程岗位，这些人员大多隶属负责核计划的313总局。他们使用盗用身份与完全虚构身份，在面试阶段运用Deepfake技术创建逼真合成身份。 单操作员可使用多个合成身份应聘同一职位，长期潜伏企业虚拟桌面、网络与服务器实施数据窃取与网络攻击。 Palo Alto Networks Unit 42研究员Evan Gordenker指出该策略使朝鲜IT人员可规避安全公告通缉，显著降低检测概率。谷歌威胁情报组（GTIG）报告显示渗透人员还通过勒索雇主、薪资回流平壤等方式支持朝鲜战略目标。 2024年某朝鲜IT人员使用至少12个虚构身份应聘欧美岗位，某美国公司同一岗位出现两名朝鲜渗透人员竞争，其中一人成功入职，另有机构12个月内雇佣四名朝鲜IT渗透人员。     消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 朝鲜加密货币窃贼正悄然利用鲜为人知的Zoom远程协作功能，在加密货币交易员与风险投资人士的工作站植入信息窃取恶意软件。非营利性安全联盟（SEAL）与网络安全研究公司Trail of Bits的独立报告显示，伪装成风投机构的平壤黑客通过Calendly链接发送Zoom会议钓鱼诱饵。 该行动被SEAL追踪为“Elusive Comet”，始于标准公关推介或直接邀请目标参与Aureon Capital旗下播客节目。若受害者接受邀请，黑客将安排Zoom通话以获取更多信息，常刻意延迟发送会议细节以制造紧迫感。 SEAL警告称：“受害者加入通话后会被要求共享屏幕进行演示。此时黑客通过Zoom请求控制受害者计算机。若受害者疏忽，可能误授远程权限，使Elusive Comet得以部署恶意软件。”该恶意软件兼具即时窃密与潜伏型远程访问木马（RAT）双重功能。 Zoom远程控制功能需用户明确授权方可实施。在已观测攻击中，黑客将显示名称改为“Zoom”，将权限请求伪装成系统弹窗。用户一旦误点批准，攻击者即获得完整键鼠控制权，随后投放恶意程序（含数据窃取模块与全功能RAT），全面扫描浏览器会话、密码管理器及加密种子短语。 SEAL事件日志显示该行动已造成数百万美元损失，并列出近30个傀儡社交媒体账户与多个伪造的Aureon Capital企业网站。Trail of Bits透露，其首席执行官曾遭遇冒充彭博制片人的X平台账号邀约“加密专题”采访，攻击者拒绝转用邮件沟通、临时发送会议链接，且提供的Zoom账户属于消费级而非企业账户。 该公司技术博客指出，攻击成功依赖macOS“辅助功能”权限与四步社会工程策略： 1、安排看似合法的商务通话 2、屏幕共享时请求远程控制 3、将显示名改为“Zoom”伪装系统通知 4、获取权限后实施恶意操作 Zoom官方文档明确声明，远程控制功能“绝非用于非受控管理”，而是作为“会议内”便利功能存在，任何会议主持人可在账户/群组/用户层级禁用该功能。管理员还可锁定该设置并移除攻击者用于跨设备传输私钥的剪贴板共享选项。 然而实际应用中，该功能默认保持开启状态于多数企业租户账户，且权限请求对话框未提供任何视觉提示以区分常规Zoom流程与异常请求。 Trail of Bits指出这种界面模糊性正是攻击的真正威力所在：面对传统远程桌面提示会警觉的专业安全人员，却很少对熟悉的协作工具产生戒心。该公司警告称：“此攻击的致命之处在于权限对话框与其他无害Zoom通知高度相似。习惯性点击‘批准’按钮的用户可能在无意识中授予计算机完全控制权。” Trail of Bits表示，观测到的攻击手法与2024年2月Bybit遭窃15亿美元事件的技术原理如出一辙——攻击者均通过操控合法工作流而非利用代码漏洞实施攻击。该公司补充道：“这印证了我们的观点：区块链行业已进入‘操作安全失效’时代，人为因素威胁现已超越技术漏洞风险。” Trail of Bits安全团队已将Zoom远程控制功能标记为“非必要风险”，并在其计算机系统部署技术控制措施禁用该功能。公司声明：“通过精准限制实现远程控制的辅助功能权限，我们既阻断了Elusive Comet的攻击载体，又确保合法视频会议功能不受影响。”       消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现，朝鲜国家支持的黑客组织Kimsuky发起了新型恶意攻击，利用微软远程桌面服务（RDS）的BlueKeep漏洞（CVE-2019-0708）对日韩重点行业实施系统渗透。该行动被安实验室安全应急中心（ASEC）命名为Larva-24005。 韩国网络安全公司ASEC披露：“部分系统的初始入侵途径确认为RDP协议漏洞（BlueKeep，CVE-2019-0708）利用。尽管在受控系统发现RDP漏洞扫描工具，但尚未发现实际使用证据。” 技术漏洞分析： CVE-2019-0708（CVSS评分9.8）是远程桌面服务中的高危可蠕虫漏洞，允许未认证攻击者远程执行代码，进而安装任意程序、访问数据甚至创建具备完全权限的新账户。微软已于2019年5月发布补丁修复该漏洞，但攻击者仍需通过RDP协议向目标系统发送特制请求方可利用。 攻击链扩展分析： 除BlueKeep外，攻击者还采用钓鱼邮件作为第二入侵向量，利用Equation Editor漏洞（CVE-2017-11882，CVSS评分7.8）触发恶意负载。渗透成功后，攻击者部署名为MySpy的信息窃取器及RDPWrap工具，并修改系统配置开启RDP访问权限。 攻击终局阶段： 最终投放KimaLogger和RandomQuery等键盘记录器实施按键捕获。ASEC确认，自2023年10月以来，攻击活动主要针对韩国软件、能源及金融行业，日本同为重灾区。该组织其他已知目标国家包括美国、中国、德国等13国。 防御建议： 1、立即验证CVE-2019-0708补丁状态 2、强化RDP访问控制策略 3、部署邮件安全网关过滤恶意附件 4、监控异常RDP连接行为 5、定期审计系统日志寻找入侵痕迹 据MITRE ATT&CK框架分析，本次攻击活动涉及T1190（漏洞利用）、T1204（用户执行）、T1059（命令执行）等战术阶段，符合APT组织典型作战模式。目前相关IoC指标已纳入主流威胁情报平台。     消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 2025年1月14日下午3时01分，由美国、韩国和日本共同发布的声明指出，朝鲜国家支持的黑客组织通过多次加密货币抢劫案，窃取了价值超过6.59亿美元的加密货币。 该声明同时警告称，与朝鲜民主主义人民共和国相关的威胁组织仍在积极针对区块链技术行业的公司进行攻击。 “最近至2024年9月，美国政府观察到朝鲜对加密货币行业进行了激烈攻击，采用伪装良好的社会工程学手段部署恶意软件，如TraderTraitor、AppleJeus等。韩国和日本也观察到了朝鲜使用类似趋势和战术的情况。”联合声明警告道。 “朝鲜的网络计划威胁到我们三国以及更广泛的国际社会，特别是对国际金融体系的完整性和稳定性构成重大威胁。” 声明还正式确认，朝鲜攻击者是2024年7月印度最大比特币交易所WazirX遭入侵事件的幕后黑手，该事件导致2.35亿美元损失。 此外，朝鲜还与去年披露的多起其他加密货币抢劫案有关，包括DMM Bitcoin（3.08亿美元）、Upbit（5000万美元）、Rain Management（1613万美元）和Radiant Capital（5000万美元）。 然而，区块链分析公司Chainalysis在12月的一份报告中描绘了更严峻的情况，称朝鲜黑客去年在47起网络攻击中窃取了价值13.4亿美元的加密货币，打破了2022年11亿美元的纪录。 “2023年，与朝鲜相关的黑客在20起事件中窃取了约6.605亿美元；2024年，这一数字增至47起事件中窃取13.4亿美元，被盗价值增长了102.88%。”Chainalysis表示。 近年来，特别是2024年全年，美国、韩国和日本政府机构还发布了关于朝鲜诱骗私营公司雇佣其作为远程IT工作者的警报。 这些朝鲜IT工作者自称“IT战士”，通过位于美国的笔记本电脑农场连接到企业网络，冒充美国IT员工，这是FBI多年来一直警告的情况。 美国政府反复警告称，朝鲜拥有一支庞大的IT工作者队伍，他们经过培训，能够隐藏真实身份，在美国和世界各地数百家公司找到工作。 例如，网络安全公司KnowBe4最近雇佣了一名朝鲜恶意行为者担任首席软件工程师，该人员在通过背景调查、验证推荐信和四次视频面试后入职，这些过程均借助了被盗身份和AI工具。然而，一旦入职，这位“IT战士”便立即试图在公司提供的设备上安装信息窃取恶意软件。 在被发现并被解雇后，一些朝鲜IT工作者还利用内部知识和编程技能，以泄露被盗敏感信息的威胁向前雇主勒索。 目前，美国国务院提供高达500万美元的悬赏，以获取有助于破坏朝鲜前线公司延边银河和Volasys银河（及其员工）活动的信息。在过去六年中，这些公司通过非法远程IT工作计划获得了超过8800万美元的收入。 “美国、日本和韩国建议私营部门实体，特别是区块链和自由职业工作行业的实体，仔细阅读这些咨询和公告，以便更好地了解缓解网络威胁的措施，并降低无意中雇佣朝鲜IT工作者的风险。”美国、韩国和日本在今天的联合声明中补充道。   消息来源：Bleeping Computer, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文