शोधकर्ता ‘उत्तर कोरियाई हैकरों’ के बीच ‘जीवित’ रहता है, 1,640 पीड़ितों का पता लगाता है

एक ग्रीक सुरक्षा शोधकर्ता ने reportedly 22 महीने उत्तर कोरियाई हैकिंग सर्वरों के अंदर बिताए। उसने 57 देशों में 1,640 संगठनों की एक पीड़ित सूची के साथ बाहर आया।

वांजेलिस स्टाइक्स सुरक्षा फर्म कुमियो में मुख्य प्रौद्योगिकी अधिकारी हैं। उन्होंने इस सप्ताह लास वेगास में ब्लैक हैट में निष्कर्ष प्रस्तुत किए।

शिकारी कैसे शिकार बने

स्टाइक्स ने सामान्य क्रम को उलट दिया। उन्होंने उन कमांड-एंड-कंट्रोल सर्वरों में प्रवेश किया जो क्रू अपने मैलवेयर को चलाने के लिए उपयोग करते हैं।

कुछ मामलों में वह उनके व्यक्तिगत कंप्यूटरों पर पहुंच गए। हैकर्स ने उन मशीनों को स्वयं संक्रमित किया था।

फिर वह बस रुके रहे। लगभग दो वर्षों तक उन्होंने उन्हें काम करते हुए देखा और जैसे-जैसे नए पीड़ित सामने आए, उन्हें लॉग किया।

उन्होंने लगभग पांच टेराबाइट डेटा निकाला। इसमें डेवलपर कुंजी, निजी स्रोत कोड, और क्रू के अपने स्लैक और डिस्कॉर्ड संदेश शामिल थे।

यह पहुंच ही है जो गिनती को ठोस बनाती है। अधिकांश खतरे की रिपोर्टें बाहरी स्रोतों से पीड़ितों का अनुमान लगाती हैं।

यह एक ने हमलावरों की अपनी फ़ाइलों से उन्हें गिना। 1,640 संगठनों में से, स्टाइक्स 700 से 800 को गंभीर रूप से उल्लंघन किया हुआ मानते हैं।

जैसे ही समाचार होते हैं, हमें X पर फॉलो करें

उन मामलों में क्रू के पास सर्वरों, अमेज़न वेब सेवाओं (AWS) की रूट अनुमतियों, या क्रिप्टोक्यूरेंसी वॉलेट कुंजी तक रूट पहुंच थी।

एक नौकरी का प्रस्ताव ही उनकी जरूरत थी

इन दरवाजों को खोलने के लिए कोई सॉफ़्टवेयर दोष नहीं था। एक नौकरी का प्रस्ताव था।

डेवलपर्स को वरिष्ठ भूमिकाओं और मजबूत वेतन के साथ संपर्क किया गया। फिर उनसे एक घर ले जाने वाले कोडिंग परीक्षण को चलाने के लिए कहा गया। परीक्षण ने मैलवेयर स्थापित किया।

पैलो आल्टो नेटवर्क्स के शोधकर्ताओं ने नवंबर 2023 में इस पैटर्न को संक्रामक साक्षात्कार नाम दिया। तब से पांच सुरक्षा कंपनियों ने छह अलग-अलग लेबलों के तहत उसी समूह का पता लगाया है।

माइक्रोसॉफ्ट ने मार्च 2026 में अपनी खुद की ब्रेकडाउन प्रकाशित की। इसने श्रृंखला को GitHub, GitLab, और Bitbucket पर होस्ट किए गए नकली कोड पैकेजों तक ट्रेस किया।

Visual Studio Code में एक खोलने से एक विश्वास प्रॉम्प्ट सक्रिय होता है। इसे स्वीकृत करें, और संपादक हमलावरों का कोड उनके लिए चलाता है।

“साक्षात्कार उपकरणों, कोडिंग अभ्यासों, और मूल्यांकन कार्यप्रवाहों में लक्षित मैलवेयर वितरण को सीधे एम्बेड करके, जिन पर डेवलपर्स स्वाभाविक रूप से भरोसा करते हैं, खतरे के अभिनेता उन नौकरी चाहने वालों के विश्वास का लाभ उठाते हैं जो भर्ती प्रक्रिया में रखते हैं,” माइक्रोसॉफ्ट सुरक्षा ब्लॉग के मार्च के एक ब्लॉग में एक अंश पढ़ा।

बैकडोर फिर एक छोटी खरीदारी सूची की तलाश करते हैं। माइक्रोसॉफ्ट API टोकन, क्लाउड क्रेडेंशियल, साइनिंग की, क्रिप्टो वॉलेट, और पासवर्ड प्रबंधक फ़ाइलों का नाम देता है।

भर्ती एक बार-बार कमजोर बिंदु है। कंसेंसिस ने अपने ही टीम में एक छिपे हुए उत्तर कोरियाई डेवलपर को पकड़ा, जो मेटामास्क कोड पर काम करने के एक महीने बाद था।

एक ठेकेदार, तीस फ्रंट डोर

लालच सस्ता है। पहुंच नहीं है।

स्टाइक्स ने 30 कंपनियों के लिए जीवित क्रेडेंशियल्स ले जा रहे ठेकेदारों को पाया। एक संक्रमित लैपटॉप तीस तरीकों से अंदर गया।

बोस्टन चिल्ड्रन हॉस्पिटल पैटर्न दिखाता है। स्टाइक्स ने इसके संपर्क को एक पूर्व ठेकेदार के व्यक्तिगत उपकरण से जोड़ा।

अस्पताल इस फ्रेमिंग का विवाद करता है। इसका कहना है कि उसने घंटों के भीतर क्रेडेंशियल्स काट दिए और अपने सिस्टम में प्रवेश के कोई संकेत नहीं पाए।

क्रू भी चयनात्मक थे। वे स्वास्थ्य रिकॉर्ड और आपराधिक डेटाबेस तक पहुंच सकते थे, फिर भी दोनों को नजरअंदाज कर दिया।

उन्होंने इसके बजाय वॉलेट और ब्लॉकचेन एक्सेस के लिए गए। कॉइनबेस और यूनिस्वाप लैब्स उन संगठनों में शामिल हैं जिन्होंने उसकी चेतावनियों पर कार्रवाई की।

यह अनुशासन कुल में दिखाई देता है। डेमोक्रेटिक पीपुल्स रिपब्लिक ऑफ कोरिया (डीपीआरके) से जुड़े क्रू ने 2025 में $2.02 बिलियन के डिजिटल संपत्तियों की चोरी की।

क्राउडस्ट्राइक ने इसे एक वर्ष में 51% की वृद्धि के रूप में दर्ज किया। यह एक क्रू को भी चिह्नित करता है जिसे वह GOLDEN CHOLLIMA कहता है जो फिनटेक क्लाउड वातावरण तक पहुंचने के लिए भर्ती लालच का उपयोग करता है।

यह वह श्रृंखला है जिसे स्टाइक्स ने अंदर से देखा। मानव मार्ग लगातार जीत रहा है।

टीआरएम लैब्स ने अप्रैल के $285 मिलियन ड्रिफ्ट प्रोटोकॉल चोरी को उत्तर कोरियाई प्रॉक्सी और स्टाफ के बीच व्यक्तिगत बैठकों से जोड़ा।

दो हमलों ने केवल 3% घटनाओं से 2026 के नुकसान का 76% उत्पन्न किया। प्योंगयांग का कुल अब 2017 से $6 बिलियन से अधिक है।

स्टाइका कहते हैं कि डेटा में नए पीड़ित अभी भी सामने आ रहे हैं। अधिकांश संगठनों ने, जिनकी उन्होंने चेतावनी दी थी, कभी जवाब नहीं दिया, यही कारण है कि Crypto ISAC जैसे समूह अब DPRK खतरे की जानकारी एकत्रित कर रहे हैं।

स्रोत: BeInCrypto