هکرهای کره شمالی بدافزار FERRET را از طریق مصاحبه‌های شغلی جعلی در macOS مستقر می‌کنند

هکرهای کره شمالی که پشت کمپین Contagious Interview قرار دارند، مجموعه‌ای از بدافزارهای macOS اپل با نام FERRET را در قالب فرآیند مصاحبه شغلی جعلی توزیع می‌کنند. محققان SentinelOne گزارش دادند که اهداف معمولاً از طریق لینکی که پیام خطا نمایش می‌دهد، درخواست نصب یا به‌روزرسانی نرم‌افزارهایی مانند VCam یا CameraAccess برای جلسات مجازی دریافت می‌کنند. این حملات که نخستین بار در اواخر ۲۰۲۳ کشف شد، هدف نهایی آن رها کردن یک بک‌دور مبتنی بر Golang و ابزار سرقت است که برای تخلیه کیف پول MetaMask قربانی و اجرای دستورات روی سیستم میزبان طراحی شده است.

مهاجمان با جعل هویت استخدام‌کنندگان در LinkedIn، اهداف خود را ترغیب به تکمیل ارزیابی ویدئویی می‌کنند و از روش‌های متنوعی شامل بسته‌های npm جعلی و ایجاد مسائل (issues) جعلی در مخازن مشروع GitHub استفاده می‌کنند. این کمپین که همچنین با نام‌های DeceptiveDevelopment و DEV#POPPER شناخته می‌شود، بدافزار JavaScript به نام BeaverTail را توزیع می‌کند که علاوه بر سرقت داده‌های حساس از مرورگرها و کیف پول‌های رمزارز، قادر به تحویل بک‌دور Python با نام InvisibleFerret است. شرکت امنیت سایبری ژاپنی NTT Security Holdings در دسامبر ۲۰۲۴ فاش کرد که این بدافزار JavaScript همچنین برای دریافت و اجرای بدافزار دیگری به نام OtterCookie پیکربندی شده است.