HackerNews 编译，转载请注明出处：

据Fortinet FortiGuard Labs观察，疑似与朝鲜民主主义人民共和国（DPRK）关联的威胁行为体正在利用GitHub作为命令控制（C2）基础设施，对韩国组织实施多阶段攻击。

...

HackerNews 编译，转载请注明出处：

"Contagious Interview"行动背后的朝鲜黑客组织（又称WaterPlum）被曝利用恶意Visual Studio Code项目传播新型恶意软件家族StoatWaffle。

自2025年12月起，该组织开始采用VS Code "tasks.json"配置分发恶意软件这一新战术。攻击利用"runOn: folderOpen"选项，每当项目文件夹在VS Code中打开时即自动触发执行。

NTT Security在上周发布的报告中指出："该任务配置会从Vercel上的Web应用下载数据，与操作系统无关。本文虽以Windows环境为例，但核心行为在各系统上基本一致。"

下载的载荷首先检查执行环境是否安装Node.js，若未安装则从官网下载并安装。随后启动下载器，定期轮询外部服务器获取下一阶段下载器，该下载器行为相同——访问同一服务器的另一端点，将接收到的响应作为Node.js代码执行。

StoatWaffle两大功能模块：

...

HackerNews 编译，转载请注明出处：

Symantec 和 Carbon Black 威胁猎人团队的最新报告显示，与朝鲜相关的 Lazarus Group（又称 Diamond Sleet、Pompilus）在针对中东一家未具名机构的攻击中使用了 Medusa 勒索软件。

...

HackerNews 编译，转载请注明出处：

事件响应人员发布的新报告显示，朝鲜黑客针对一家加密货币公司的管理人员发起攻击，部署了多款独特恶意软件，并配合包括虚假 Zoom 会议在内的多种诈骗手段。

...

HackerNews 编译，转载请注明出处：

HackerNews 编译，转载请注明出处：

与朝鲜相关联的黑客组织，已成为 2025 年全球加密货币盗窃激增的主要推手。在 1 月至 12 月初全球被盗的 34 亿多美元加密货币中，该组织窃取金额至少达 20.2 亿美元。

...

HackerNews 编译，转载请注明出处：

韩国最大加密货币交易所 Upbit 周三晚间遭黑客盗取价值 3000 万美元的加密货币，韩国政府官员正介入调查。

周五，韩国官员向该媒体透露，根据黑客入侵加密货币平台的攻击手段及被盗资金的洗钱方式，朝鲜 Lazarus 黑客组织大概率与此次盗窃事件有关。

调查人员认为，黑客先是冒充 Upbit 管理员身份，随后转移了约 3000 万美元的加密资产。

Upbit 公司在声明中将此次盗窃称为 “异常提现”，并表示正针对该起攻击事件展开调查。

其母公司 Dunamu 首席执行官吴京锡（音译）补充称，平台已暂停充值和提现服务。

所有损失将由 Upbit 承担。值得注意的是，此次攻击发生在前一日 —— 韩国互联网巨头 Naver 以 100 亿美元收购 Dunamu 之后。

“发现异常提现后，Upbit 立即对相关网络及钱包系统进行了紧急安全审查，” 该首席执行官表示，“为防止进一步的异常转账，所有资产已转移至安全的冷钱包中。”

周四，Upbit 已追踪到部分被盗资金流入另一个钱包，并正尝试冻结相关资产，阻止其被进一步转移。

调查人员指出，此次攻击具备 2019 年 Upbit 被盗事件的典型特征 —— 当时该平台约 4000 万美元资产遭窃，而那起事件同样被归咎于 Lazarus 组织。该组织是全球最为活跃的国家支持黑客组织之一。

据称，Lazarus 组织隶属于朝鲜侦察总局。过去九年间，该组织已盗取价值数十亿美元的加密货币。区块链监测公司 Chainalysis 数据显示，2024 年与朝鲜政府相关的黑客组织在 47 起事件中，共窃取价值 13 亿美元的加密资产。

今年 2 月，该组织被指控从迪拜加密货币平台 Bybit 盗取 15 亿美元。联合国去年表示，其正在追踪过去五年间的数十起相关事件，这些事件已为朝鲜带来 30 亿美元的非法收入。

...

HackerNews 编译，转载请注明出处：

发起 “传染性面试”（Contagious Interview）行动的朝鲜威胁行为者自上月以来，持续向 npm 代码仓库批量上传 197 个恶意包。

据网络安全公司 Socket 透露，这些恶意包的下载量已超 3.1 万次，其设计目的是分发 OtterCookie 恶意软件变体 —— 该变体整合了 BeaverTail 恶意软件与 OtterCookie 早期版本的核心功能。

已识别的部分 “加载器” 恶意包如下：bcryptjs-node、cross-sessions、json-oauth、node-tailwind、react-adparser、session-keeper、tailwind-magic、tailwindcss-forms、webpack-loadcss

该恶意软件启动后，会首先尝试规避沙箱与虚拟机检测、收集目标设备信息，随后建立命令与控制（C2）通道，为攻击者提供远程控制权限。其核心功能包括窃取剪贴板内容、记录键盘输入、捕获屏幕截图，以及收集浏览器凭据、文档文件、加密货币钱包数据与助记词。

值得注意的是，思科 Talos 团队上月曾报告过 OtterCookie 与 BeaverTail 功能边界模糊的现象 —— 斯里兰卡某总部机构的系统曾遭感染，推测用户是在虚假招聘面试流程中，被诱骗运行了包含恶意代码的 Node.js 应用程序。

进一步分析显示，这些恶意包会连接至硬编码的 Vercel 网址（“tetrismic.vercel [.] app”），并从攻击者控制的 GitHub 仓库中获取跨平台 OtterCookie 载荷。目前用于分发载荷的 GitHub 账号 “stardev0914” 已无法访问。

网络安全研究员基里尔・博伊琴科表示：“‘传染性面试’行动的持续高发使其成为利用 npm 仓库最猖獗的攻击活动之一，这也表明朝鲜威胁行为者已彻底将其攻击工具适配至现代 JavaScript 开发流程与加密货币相关业务场景。”

与此同时，该威胁行为者搭建的虚假评估类网站还通过 “ClickFix 式” 操作指引传播恶意软件 GolangGhost（又名 FlexibleFerret、WeaselStore），伪装成 “修复摄像头或麦克风故障” 的工具。此类活动被归类为 “ClickFake Interview” 攻击行动。

GolangGhost 恶意软件基于 Go 语言开发，运行后会连接硬编码的 C2 服务器并进入持久化命令处理循环，核心功能包括收集系统信息、上传 / 下载文件、执行操作系统命令，以及窃取谷歌浏览器数据。其持久化机制为：在 macOS 系统中写入启动代理（LaunchAgent），通过 Shell 脚本实现用户登录时自动执行。

攻击链中还包含一个诱饵应用程序：首先弹出伪造的 Chrome 浏览器摄像头授权提示以维持骗局，随后展示 Chrome 风格的密码输入框，捕获用户输入内容并发送至指定 Dropbox 账号。

网络安全公司 Validin 指出：“尽管存在部分重叠，但该行动与朝鲜其他‘IT 工作者渗透计划’存在显著区别 —— 后者主要通过虚假身份将人员嵌入合法企业，而‘传染性面试’则通过分阶段招聘流程、恶意编码测试、虚假招聘平台等方式针对个人实施攻击，本质上是将求职流程武器化。”

...

HackerNews 编译，转载请注明出处：

美国司法部周五宣布，五名涉案人员对协助朝鲜IT工作者实施欺诈的指控表示认罪。这些人员通过盗用美国公民身份，帮助朝鲜IT工作者获取在美国企业的工作机会，违反了国际制裁规定。

这五名人员包括奥德里库斯·法格纳赛、杰森·萨拉查、亚历山大·保罗·特拉维斯、奥列克桑德·迪登科和埃里克·恩特克雷兹·普林斯。其中法格纳赛、萨拉查和特拉维斯在2019年9月至2022年11月期间，明知故犯地允许境外IT工作者使用他们的美国身份入职美国公司。

这三名被告还充当协调人，将公司配发的笔记本电脑安置在自己住所，并擅自安装远程桌面软件，制造这些IT工作者是在美国境内远程工作的假象。更甚的是，萨拉查和特拉维斯还曾代替境外IT工作者接受雇主的药检。

乌克兰籍的迪登科则通过其运营的网站"Upworksell.com"，盗用美国公民身份并将其出售给IT工作者，帮助他们成功入职40家美国公司。迪登科还通过在美国境内设立"笔记本电脑农场"的方式，为境外IT工作者提供设备托管服务。据悉，他管理的虚假身份多达871个，并同意上缴超过140万美元的非法所得。

普林斯则通过其创立的Taggcar公司，在2020年6月至2024年8月期间向美国企业输送"认证"IT工作者，并在其佛罗里达住所运营笔记本电脑农场，从中获利超过8.9万美元。

美国司法部指出："这些欺诈性就业计划共影响超过136家美国受害企业，为朝鲜政权创造了超过220万美元收入，并危及18名美国公民的身份安全。"

...

HackerNews 编译，转载请注明出处：

与朝鲜有关联的威胁行为者发起了新一轮攻击，目标是活跃于国防领域的欧洲企业。此次攻击是 “梦想工作行动”长期活动的一部分。

...