Saxta bir noutbukdan gizli çəkilişlər Şimali Koreya casuslarının təhlükəsizlik komandanızdan necə yayınmasını ifşa edir

Şimali Koreya əməliyyatçıları təhlükəsizlik tədqiqatçıları tərəfindən onları tələyə salan “developer laptop”una cəlb edildikdən sonra, canlı olaraq kameraya düşüblər. Bu zaman Lazarus-ə bağlı qrupun ABŞ-ın kripto iş bazasına qanuni AI işə qəbul alətləri və bulud xidmətləri vasitəsilə necə sızmağa çalışdığı qeydə alınıb.

Dövlət tərəfindən dəstəklənən kibercinayətkarlığın bu təkamülü, məlumatlara görə, BCA LTD, NorthScan və zərərli proqram analiz platforması ANY.RUN tədqiqatçıları tərəfindən real vaxtda qeydə alınıb.

Şimali Koreya hücumçusunun tutulması

Hacker News-un paylaşdığına görə, koordinasiyalı əməliyyat zamanı komanda Lazarus Group-u tələyə salmaq üçün “honeypot” adlanan, qanuni developer laptopu kimi maskalanmış nəzarət mühiti yerləşdirib.

Nəticədə əldə olunan görüntülər sənayeyə Şimali Koreya bölmələrinin, xüsusilə də Famous Chollima diviziyasının, ənənəvi firewall-ları sadəcə hədəfin insan resursları şöbəsi tərəfindən işə qəbul olunmaqla necə keçdiyinə dair ən aydın baxışı təqdim edir.

Əməliyyat tədqiqatçıların developer şəxsiyyəti yaradıb, “Aaron” ləqəbli işəgötürən tərəfindən göndərilən müsahibə dəvətini qəbul etməsi ilə başlayıb. Standart zərərli proqram yükləmək əvəzinə, işəgötürən hədəfi Web3 sektorunda geniş yayılmış uzaqdan iş rejiminə yönləndirib.

Tədqiqatçılar “laptop”a (əslində ABŞ-da yerləşən iş stansiyasını təqlid edən, ciddi nəzarət olunan virtual maşın) giriş icazəsi verdikdə, əməliyyatçılar kod zəifliklərindən istifadə etməyə cəhd etməyiblər.

Bunun əvəzinə, onlar özlərini nümunəvi işçi kimi göstərməyə fokuslanıblar.

Etibarın qurulması

Nəzarət olunan mühitə daxil olduqdan sonra, əməliyyatçılar sındırmaqdan çox, uyğunlaşmağa yönəlmiş iş axını nümayiş etdiriblər.

Onlar Simplify Copilot və AiApply kimi qanuni iş avtomatlaşdırma proqramlarından istifadə edərək, müsahibə cavablarını hazırlayıb, müraciət formalarını kütləvi şəkildə doldurublar.

Qərb məhsuldarlıq alətlərindən bu cür istifadə narahatedici bir artımı göstərir: dövlət aktorları korporativ işə qəbul prosesini asanlaşdırmaq üçün nəzərdə tutulmuş AI texnologiyalarından istifadə edərək, həmin sistemləri məğlub edirlər.

Tədqiqat nəticəsində məlum olub ki, hücumçular öz yerlərini gizlətmək üçün Astrill VPN-dən istifadə edib və oğurlanmış şəxsiyyətlərlə əlaqəli iki faktorlu autentifikasiya kodlarını idarə etmək üçün brauzer əsaslı xidmətlərdən yararlanıblar.

Onların əsas məqsədi dərhal dağıntı yaratmaq deyil, uzunmüddətli giriş əldə etmək olub. Əməliyyatçılar Google Remote Desktop-u PowerShell vasitəsilə sabit PIN ilə qurublar ki, host imtiyazları ləğv etməyə çalışsa belə, maşına nəzarəti saxlaya bilsinlər.

Beləliklə, onların əmrləri administrativ olub, avadanlığı yoxlamaq üçün sistem diaqnostikası aparıblar.

Əsasən, onlar dərhal wallet-i sındırmağa çalışmayıblar.

Bunun əvəzinə, Şimali Koreyalılar özlərini etibarlı daxili şəxs kimi göstərməyə, daxili repozitoriyalara və bulud idarəetmə panellərinə çıxış əldə etməyə çalışıblar.

Billion-dollar gəlir axını

Bu hadisə, məşğulluq fırıldağını sanksiyalı rejim üçün əsas gəlir mənbəyinə çevirən daha böyük bir sənaye kompleksinin bir hissəsidir.

Multilateral Sanctions Monitoring Team-in son qiymətləndirməsinə görə, Pyongyang-a bağlı qruplar 2024 və 2025-ci ilin sentyabr ayları arasında təxminən 2.83 billions dəyərində rəqəmsal aktiv oğurlayıblar.

Bu rəqəm, Şimali Koreyanın xarici valyuta gəlirinin təxminən üçdə birini təşkil edir və kiberoğurluğun dövlət iqtisadi strategiyasına çevrildiyini göstərir.

Bu “insan təbəqəsi” hücum vektorunun effektivliyi 2025-ci ilin fevralında Bybit birjasının sındırılması zamanı dağıdıcı şəkildə sübut olunub.

Həmin hadisədə, TraderTraitor qrupuna aid edilən hücumçular daxili etimadnamələri ələ keçirərək, xarici transferləri daxili aktiv hərəkətləri kimi maskalayıb və nəticədə cold-wallet smart contract-ına nəzarəti ələ keçiriblər.

Uyğunluq böhranı

Sosial mühəndisliyə keçid rəqəmsal aktiv sənayesi üçün ciddi məsuliyyət böhranı yaradır.

Bu ilin əvvəlində Huntress və Silent Push kimi təhlükəsizlik şirkətləri, BlockNovas və SoftGlide də daxil olmaqla, etibarlı ABŞ korporativ qeydiyyatına və inandırıcı LinkedIn profillərinə malik ön şirkətlər şəbəkələrini sənədləşdiriblər.

Bu qurumlar texniki qiymətləndirmə adı altında developer-ləri zərərli skriptləri quraşdırmağa inandırırlar.

Uyğunluq üzrə məsul şəxslər və Baş İnformasiya Təhlükəsizliyi Rəisləri üçün problem dəyişib. Ənənəvi Know Your Customer (KYC) protokolları müştəriyə fokuslanır, lakin Lazarus-un iş axını daha ciddi “Know Your Employee” standartı tələb edir.

Department of Justice artıq bu IT sxemləri ilə əlaqəli 7.74 millions dəyərində vəsaiti müsadirə etməyə başlayıb, lakin aşkarlama gecikməsi hələ də yüksəkdir.

BCA LTD-nin tələsi göstərir ki, bu aktorları tutmağın yeganə yolu passiv müdafiədən aktiv aldatmaya keçmək, təhdid aktorlarını xəzinənin açarları onlara verilməzdən əvvəl öz bacarıqlarını ifşa etməyə məcbur edən nəzarət olunan mühitlər yaratmaqdır.

Secret footage from a rigged laptop exposes how North Korean spies are slipping past your security team məqaləsi ilk dəfə CryptoSlate-də yayımlanıb.