Ложные собеседования при приеме на работу становятся новым оружием, северокорейские хакеры нацелились на криптоиндустрию, более 3100+ IP-адресов

朝鲜黑客组织PurpleBravo再度出手。继2025年从加密货币市场窃取超20亿美元后，这个组织在今年1月22日发起了一场规模庞大的虚假招聘活动，对3100多个与人工智能、加密货币和金融服务公司相关的互联网地址发起网络间谍攻击。这一次，他们的入口方式更隐蔽：冒充招聘人员 или разработчика,通过虚假的技术面试诱导求职者在企业设备上执行恶意代码。

虚假招聘成为新的社工入口

攻击手法的创新性

PurpleBravo的新型攻击流程看似简单，但效率很高。攻击者首先冒充来自加密或科技公司的招聘人员，与求职者取得联系。然后以技术面试为由，要求目标完成一系列看似合理的任务：审查代码、克隆代码库或完成编程任务。求职者在执行这些任务时，实际上是在运行黑客精心准备的恶意代码。

这个方法的巧妙之处在于利用了求职者的心理。面试任务看起来完全合理，而且求职者往往急于表现自己的能力，降低了警惕。对于企业来说，被攻击的通常是具有一定技术能力的员工，这类员工往往拥有更高的系统权限。

伪装和基础设施

根据安全研究机构Recorded Future的分析，PurpleBravo使用了多个伪装身份，其中包括虚假的乌克兰身份。他们部署了两种主要的远程访问木马工具：

• PylangGhost：能够自动窃取浏览器凭证和Cookies
• GolangGhost：同样具有凭证窃取能力

此外，黑客还开发了武器化的Microsoft Visual Studio Code，通过恶意Git存储库植入后门。他们的基础设施相当完善，利用Astrill VPN和17个服务提供商来托管恶意软件服务器。

对加密行业的特殊威胁

为什么加密行业成为重点目标

这次攻击的3100多个目标中，加密货币公司占据了显著比例。这不是巧合。加密行业的员工通常掌握私钥、钱包访问权限等高价值资产，一旦被攻破，黑客可以直接转移资金。同时，加密公司的防御往往不如传统金融机构那样成熟。

从已确认的20个受害机构来看，它们分布在南亚、北美、欧洲、中东和中美洲等地。这表明PurpleBravo在全球范围内都有明确的目标。

额外的威胁信号

安全研究人员还发现，相关的Telegram频道在售卖LinkedIn和Upwork账号，而攻击者曾与加密交易平台MEXC Exchange互动。这表明黑客可能在建立一条完整的供应链：获取真实身份信息、创建虚假求职资料、执行攻击、变现窃取的资产。

企业如何应对

防御的关键点

对于加密公司和科技企业来说，防御这类攻击需要多层防线：

• 招聘流程验证：通过官方渠道确认面试邀请，使用公司邮箱而非第三方邮件
• 员工培训：让技术人员了解社工攻击的新型手法，即使看似合理的面试任务也要保持警惕
• 代码审查：对任何来自外部的代码进行严格审查，不要直接在生产环境执行
• 访问控制：限制员工设备的权限，使用隔离的虚拟机处理不信任的任务
• 监控告警：部署端点检测和响应（EDR）工具，监控异常的凭证访问和网络连接

总结

虚假招聘面试代表了黑客社工手法的一个新方向。相比于传统的钓鱼邮件，这种方法更具针对性，利用求职者的心理和企业的招聘流程漏洞。对于加密行业来说，PurpleBravo的持续活动表明朝鲜黑客仍然把这个行业视为主要目标。企业需要认识到，高技能员工往往是最容易被利用的突破口，防御的关键在于建立完整的招聘验证流程和员工安全意识。同时，行业内的信息共享和协作防御也变得越来越重要。