Nhóm tin tặc liên kết Triều Tiên dùng phỏng vấn giả mạo tấn công hơn 3,100 địa chỉ IP trong ngành AI và tài chính

PurpleBravo đã triển khai chiến dịch gián điệp mạng nhằm tấn công hơn 3,100 địa chỉ IP thuộc các doanh nghiệp trong lĩnh vực trí tuệ nhân tạo, tiền điện tử và tài chính thông qua các cuộc phỏng vấn việc làm giả mạo.

Họ giả mạo làm nhà tuyển dụng hoặc lập trình viên, mời nạn nhân tham gia các buổi phỏng vấn kỹ thuật với mục đích lừa đảo cài đặt mã độc, chẳng hạn như xem xét mã code, clone repository hay hoàn thành các nhiệm vụ lập trình.

Nhóm tin tặc sử dụng các phần mềm độc hại như PylangGhost và GolangGhost để đánh cắp thông tin đăng nhập, cookie từ các tổ chức ở Nam Á, Bắc Mỹ và các khu vực khác. Họ áp dụng nhiều bí danh và tự tạo danh tính giả mạo với nguồn gốc từ Odessa, Ukraine, đồng thời vận hành máy chủ phần mềm độc hại qua một kho GitHub độc hại, Astrill VPN và hợp tác với 17 nhà cung cấp dịch vụ. Ngoài ra, các kênh Telegram liên quan được phát hiện đang bán tài khoản LinkedIn và Upwork, và nhóm còn có mối liên hệ với sàn giao dịch tiền điện tử MEXC Exchange.

Các nhà nghiên cứu an ninh đã xác định rằng chiến dịch này đã nhắm vào 20 tổ chức nạn nhân tại Nam Á, Bắc Mỹ và các khu vực khác, cho thấy phạm vi tấn công mang tính toàn cầu.