هکرهای کره شمالی ابزارهای توسعه‌دهندگان را به کانال‌های توزیع بدافزار تبدیل می‌کنند

محققان امنیت سایبری دو کمپین مخرب جدید را شناسایی کرده‌اند که به گروه تهدید مداوم کره شمالی موسوم به «Contagious Interview» (با نام‌های مستعار Famous Chollima و Void Dokkaebi) نسبت داده می‌شوند. بر اساس گزارش شرکت Proofpoint، این کمپین‌ها که با نام «UNK_DeadDrop» ردیابی می‌شوند، طی شش هفته بیش از ۲۵۰ ایمیل فیشینگ (phishing) با موضوع استخدام توسعه‌دهنده یا بررسی کد به نزدیک به ۱۰۰ سازمان در حوزه‌های مالی، ارز دیجیتال، آموزش و فناوری ارسال کرده‌اند؛ بیش از ۷۵ درصد از اهداف در ایالات متحده قرار دارند. زنجیره آلودگی با لینک‌هایی به مخازن GitHub آغاز می‌شود که اسکریپت‌های مخرب را اجرا کرده و بدافزار چندسکویی (cross-platform malware) از جمله فریم‌ورک متن‌باز Go به نام Overlord را برای سیستم‌عامل‌های macOS، Linux و Windows مستقر می‌کنند. یکی از ویژگی‌های کلیدی این کمپین، بهره‌گیری از پروژه‌های Microsoft Visual Studio Code با تکنیک «runOn: folderOpen» است که با هر بار باز شدن ویرایشگر کد، بدون نیاز به تعامل کاربر، کد مخرب را اجرا می‌کند.

این گزارش در حالی منتشر می‌شود که کمپین‌های متعدد دیگری نیز به عوامل تهدید کره شمالی مرتبط شده‌اند. شرکت Yeeth Security سه افزونه مخرب VS Code را در بازار رسمی کشف کرد که به عنوان ابزارهای بهره‌وری Jupyter Notebook ظاهر می‌شوند اما در واقع یک «درپشتی چندمرحله‌ای پیچیده (multi-stage backdoor)» هستند که از Microsoft Graph API و SharePoint برای ارتباطات فرمان و کنترل (C2) استفاده می‌کنند. بر اساس داده‌های شرکت Expel، این کمپین‌ها در سه ماه اول ۲۰۲۶ منجر به سرقت ۱۲ میلیون دلار ارز دیجیتال شده و در مجموع ۲۶,۵۸۴ کیف پول دیجیتال از سیستم‌های ۲,۷۲۶ توسعه‌دهنده آلوده به سرقت رفته است. کارشناسان هشدار می‌دهند که این عملیات‌ها در حال صنعتی‌شدن و گسترش مقیاس هستند و از مهندسی اجتماعی فردی به کمپین‌های فیشینگ انبوه تکامل یافته‌اند.