Chiến dịch lừa tuyển dụng xâm nhập 30.000 thiết bị, đánh cắp tiền mã hóa
"North Korean threat actors behind the Contagious Interview campaign have compromised at least 30,000 devices across more than 100 countries, stealing credentials and funds from over 7,000 cryptocurrency wallets. The campaign uses fake job interviews and coding tests to deliver malware and remote access tools, enabling persistent access, data exfiltration, and an estimated $10.71 million in cryptocurrency theft; no software CVE is cited, and the main mitigation is detection and disruption of the infection chain, laptop farms, and proxy-hiring infrastructure."
Tác động bảo mật rất cao: xâm nhập diện rộng, đánh cắp thông tin đăng nhập và duy trì truy cập lâu dài; rủi ro tăng với tổ chức có nhân sự làm việc từ xa hoặc tuyển dụng kỹ thuật.
Tác động vận hành đáng kể: thiệt hại tài chính trực tiếp, nguy cơ rò rỉ dữ liệu và gián đoạn quy trình tuyển dụng; các đội ngũ công nghệ và tài chính số cần siết chặt kiểm soát.
Một chiến dịch được theo dõi với tên Contagious Interview đã xâm nhập ít nhất 30.000 thiết bị tại hơn 100 quốc gia, theo cảnh báo chung từ các cơ quan an ninh mạng. Nhóm tấn công bị nghi có liên hệ với Triều Tiên đã nhắm vào lập trình viên, kỹ sư và chuyên gia trong lĩnh vực crypto, blockchain và Web3.
Kẻ tấn công thường giả danh nhà tuyển dụng trên LinkedIn và các nền tảng nhắn tin, sau đó yêu cầu nạn nhân làm bài kiểm tra tuyển dụng hoặc coding test. Chuỗi lây nhiễm nhiều bước này có thể triển khai các mã độc như BeaverTail, InvisibleFerret, GolangGhost và các biến thể khác, từ đó duy trì truy cập, thu thập dữ liệu và đánh cắp thông tin đăng nhập.
Theo báo cáo, chiến dịch đã ảnh hưởng tới hơn 7.000 ví tiền mã hóa và gây thiệt hại ước tính 10,71 triệu USD. Ngoài đánh cắp tài khoản, nhóm còn sử dụng laptop farm và hạ tầng proxy-hiring để che giấu danh tính và mở rộng hoạt động.
Khuyến nghị cho doanh nghiệp là tăng cường xác minh nhà tuyển dụng, kiểm tra kỹ bài test mã nguồn và tệp đính kèm, giám sát endpoint để phát hiện hành vi bất thường, đồng thời chặn các kết nối tới hạ tầng điều khiển liên quan. Với đội ngũ kỹ thuật, cần áp dụng MFA, quản lý secrets chặt chẽ và cô lập môi trường thử việc khỏi hệ thống sản xuất.