首頁

為了抓朝鮮駭客，他們做了個假專案

ODAILY星球日报

閱讀本文需 40 分鐘

年度釣魚大賽

原文標題：微笑，攝像頭已開啟第 2 部分：聘請拉撒路 APT 的 IT 工作者加入假 DeFi 初創公司
原文來源：ANY.RUN
原文編譯：秦曉峰，Odaily 星球日報

編者按：經常被釣魚的加密朋友，大概都聽過朝鮮黑客組織的 Lazarus Group，其比較知名的「戰役」包括但不限於：Bybit（15 億美元）盜竊案、Ronin Network / Axie Infinity 橋攻擊（6.2 億美元）、DMM Bitcoin / Ginco 相關攻擊（3.08 億美元）、Harmony Horizon Bridge 攻擊（1 億美元）、Atomic Wallet 攻擊（1 億美元）等。

而這些攻擊成功的關鍵，離不開社會工程學——黑客通常會偽裝成正常的應徵者，經年累月地潛伏加密公司，靜待時機。

最近，安全機構 ANY.RUN 聯合 BCA LTD（該公司致力於威脅情報和狩獵）以及 NorthScan（一項揭露朝鮮 IT 工作者滲透的威脅情報計劃），三方聯手佈局，有效打擊了朝鮮黑客特工。

研究人員創建了一個虛假的 DeFi 初創公司，並成功招募了朝鮮 Lazarus Group 旗下專攻人力滲透的「Famous Chollima」特工，從而獲得了對朝鮮 IT 工作者行動的內部視角。ANY.RUN 沙箱環境實時展現了特工的行為模式，暴露了他們不斷演變的工具集、遠端訪問工作流程、AI 工具的使用情況及其支援基礎設施。

本次調查超越了單純的招聘環節，深入展示了這些特工入職後如何協作、如何獲取並利用公司資源。研究結果表明，朝鮮 IT 工作者計劃不僅構成招聘風險；一旦特工潛入組織內部，他們就能合法地獲取代碼、系統、知識產權和關鍵業務流程的訪問權限。

以下是三方共同撰寫的報告，由 Odaily 星球日報編譯，Enjoy～

引言

去年 12 月，我們首次完整記錄了「Famous Chollima」的滲透周期。從招募同夥以幫助他們入職西方公司，到偽造證件、將筆記型電腦運至中間人住所，甚至在面試期間使用 AI 工具進行實時協助和翻譯，全程盡在掌握。

在那次調查中，我們偽裝成願意替他們參加面試並借出筆記型電腦的中間人，以此換取他們薪資的一定比例。關鍵在於，那些筆記型電腦實際上是 ANY.RUN 沙箱環境，記錄了他們每一次點擊和每一步操作。這為我們提供了海量指標、長達數小時的電腦操作錄影和面對面接觸的影像資料，成就了一項史無前例的調查，並登上了眾多媒體的頭條。

（「Famous Chollima」招募者，代號「烈焰」的 Aaron）

這絕非易事，需要投入數月心血，在摸清他們底細的同時扮演其犯罪同夥。而今天，我們決定更進一步。

這一次，我們不再扮演中間人，而是搖身一變，成為了 Ballena Azul LTD 的創始人。這是一家全新的 DeFi 協議公司，直接與跨鏈的加密貨幣巨鯨合作，正在尋找開發人員來構建其平台。他們是我們可以托付巨額資金的開發者——數額之巨，遠超你和所有朋友口袋裡的錢，多到你數逗號都數不過來。

Ballena Azul LTD 網站

這一新篇章可謂應有盡有：一位過度自信、不對員工進行背景調查的 CEO；持有偽造文件的冒牌開發者；用作洗錢的騾子帳戶；偽裝成風險投資家的記者；以及一位最終引爆全局的意大利律師。

來吧，好戲已經開場！

第一章：The Chollimas

首先簡單介紹一下我們的主要對手。Famous Chollima 是朝鮮 Lazarus 組織旗下的眾多分支之一。其目標簡單直接：受僱於西方公司。

他們瞄準那些情報價值和資金都極為豐厚的行業中的遠程職位。加密貨幣、金融和醫療保健歷來是他們的首選目標，而近期的行動已擴展到製藥、土木工程、建築和其他領域。為了獲得這些職位，他們依賴偽造的身份、虛假的簡歷、代面試、遠程協助者和幽靈開發者，所有人協同合作，讓公司確信他們雇用的人就是其聲稱的那個人。

（Bitso Quetzal 队伍在公司面试期间抓获的朝鲜特工）

与传统入侵不同，他们的目标并非在数小时或数天内攻陷一家组织，而是要成为其一部分。成功入职可提供数月甚至数年的持续访问权限，包括内部系统、源代码、知识产权和企业决策流程，同时还能赚取合法工资，并最终将资金输送回朝鲜政权。

这使得「Famous Chollima」成为一种截然不同的威胁。恶意软件行动可以在一夜之间产生惊人效果，但这些行动本身也噪音巨大，且伴随着显著的暴露风险。相比之下，员工暴露的风险性较低。他们被信任的时间越长，收集情报、影响决策并逐步融入组织的机会就越大。如果足够多的特工在同一家公司内获得职位，他们最终可能影响工程决策、代码审查、拉取请求、批准或其他基于信任的流程，而无需利用任何软件漏洞。

深知他们积极寻觅此类机会，我们决定主动为他们创造一个。

第二章：公司

答案就是 Ballena Azul LTD。

从表面上看，这是「Famous Chollima」梦寐以求的公司：一个与跨多条区块链的加密货币巨鲸合作的 DeFi 协议，正在寻找经验丰富的开发者来帮助构建平台。

该协议本身很简单。通过结合 NFT 和其他链上机制，巨鲸钱包可以自愿表明身份并公开宣示所有权。其理念是在大额资金流动时减少不必要的市场投机，避免引发生态系统恐慌的交易平台被黑、钱包被盗、退出骗局等谣言。

OpenSea NFT 市场上的 Ballena Azul LTD

一切都必须显得真实可信。专业的网站、企业品牌、文档、线上形象，以及最重要的是，一个说得通的产品。我们这么做，并非期望投资者会相信，而是因为我们预料到他们会（上钩）。

（英國公司註冊處已有的 Ballena Azul LTD 註冊資訊有助於增強公司合法性。該實體與我們的行動無關）

我化身為 Leonardo Nelson，Ballena Azul LTD 的共同創始人。我的商業夥伴 Benito 將從義大利加入我們的會議。同時，Heiner 再次扮演 Andy Jones，即第一集中的開發者和協助者。這次他是 Ballena Azul 的技術主管，並由 Benito 親自向我推薦。

在基礎設施方面，我們選擇了最值得信賴的提供商：ANY.RUN。現在，萬事俱備，只欠開發者。

幸運的是，Andy 正好認識這個職位的合適人選：Angelo Cruz，一位渴望出人頭地的「Famous Chollima」對外招聘人員。

第三章：馬販子

Angelo Cruz 是在 GitHub 上認識 Andy 的。他們開始聊天，不久後，Cruz 說服 Andy 合作，由 Andy 充當其信任的協助者，幫助他的開發者們找到工作。

Angelo 在 GitHub 上尋找協助者的評論

Andy 同意了，並很快向 Angelo 介紹了 Ballena Azul LTD（我們的公司），稱之為絕佳機會。按照計劃，Ballena Azul LTD 將成為又一待宰羔羊。畢竟，我們信任 Andy 的判斷，他選中的人，我們都歡迎。

與 Famous Chollima 的面試（YouTube 觀看影片）

為了製造虛假的信任感，Andy 提出可以借給他們他兄弟的身分證，但最終並未用上。不久之後，Angelo 又向我們介紹了我們的第一位工程師：Angelo Espree（好戲開場了）。

第四章：团隊

Angelo Espree 是第一個接受 Ballena Azul LTD 職位的人，也成為了進入我們公司的第一名朝鮮 IT 工作者，同時是我們調查檔案中的第一號人物。

面試前，Andy 和 Angelo 商定了一個簡單的說辭：他們會告訴 CEO（我），Benito 已經認識 Angelo，並且親自為他做了擔保，同意他加入公司。

就這樣，我們的第一次面試開始了。Angelo 是一位皇家馬德里球迷，擁有數學背景，將負責開發公司的智能合約。

Angelo 的面試（YouTube 觀看視頻）

面試期間，我們要求 Angelo 掃描一個二維碼以確認出席。他照做了，當然，也中了最老套的圈套。該二維碼悄然將他重定向到我們的一個 Canary Token，記錄了觸發者的 IP 地址、用戶代理等信息。當時，這似乎是個小失誤。但後來，它成為了揭露一個更大陰謀的關鍵證據。我們稍後會談到這一點。現在，我們只為交到了新朋友而高興。

作為朋友，我們解釋說 Ballena Azul 是一個完全基於信任的環境，我們只打算招募真正可以信賴的人。Angelo 心中已有人選：他的朋友 Jack Anderson（一帶一，繼續開始推薦其他駭客組織成員）。

Jack 明顯更為沉默，英語也不太流利。在整個面試過程中，我們多次發現他瞥向螢幕外，彷彿在看著另一個顯示器上運行的實時翻譯工具——這也是「Famous Chollima」的標準工具之一。和 Angelo 一樣，Jack 也學過數學，支持皇家馬德里，且不苟言笑。儘管如此，他還是說服了我們，我們歡迎他加入 Ballena Azul LTD，擔任前端開發人員。

Jack 的面試（YouTube 觀看視頻）

事情一環扣一環，在這行裡，每個人都需要一個值得信賴的人。Jack 推薦了 Lucas Theo，一位資深後端開發人員。我們面試了他。他理解職位要求，表現出對該職位的濃厚興趣，甚至還跟我們聊起了他的狗 Lulú、在菲律賓的蜜月旅行以及對徒步旅行的熱愛。我們沒有任何理由懷疑他。

於是，我們也同樣歡迎他加入 Ballena Azul 大家庭。

Lucas 的面試（YouTube 觀看視頻）

至此，他們組成了實施驚天劫案的完美團隊。而我們這邊，則擁有了滿屋子的「千里馬」，等待著被馴服。

但你知道，任何高明的謊言都需要文件佐證——大量的文件。

第五章：冒名頂替者

是時候簽署合同，鞏固我們的同盟了。但作為一名經驗豐富的 CEO，我需要對新員工進行簡單的背景調查。要求提供身份證件應該就足夠了吧？我還索要了他們的地址、加密貨幣錢包和銀行帳戶信息——標準的入職文書流程。

Jack 發來了一張德克薩斯州奧斯汀市的駕照（據稱他住在那兒），以及有效的社保號碼和堪薩斯城 Lead Bank 的銀行帳戶。

Lazarus Jack 的假駕照

Angelo 則大膽得多。他聲稱住在德克薩斯州的帕薩迪納，卻發來了一張加利福尼亞州的駕照，以及一個紐約的花旗銀行帳戶。

Angelo 的駕照

最有趣的部分隱藏在元數據（metadata）中。多個 EXIF 條目顯示，該圖片曾用 Google Gemini 處理過，並嵌入了 SynthID 水印。結合明顯的視覺 inconsistencies，偽造幾乎一目了然，而他本人卻渾然不覺。

Angelo 駕照的元數據

如果說這已經夠大膽了，那麼 Lucas 更是技高一籌。

他沒有發送自己名下的文件，而是分享了一張屬於 Pui Chin Teoh 的紐約駕照，以及一個 Wise 銀行帳戶。與 Angelo 的文件不同，元數據顯示這是一張用 iPhone 15 拍攝的真實照片。

對我們來說遺憾的是，GPS 座標已被剝離。我們猜測 Pui Chin 是一個真實存在的人，可能為了 KYC 流程或類似目的拍攝了自己的駕照，而這張照片後來被洩露，最終落入 Lucas 手中。

Lucas 駕照的元數據

至此，我們掌握了偽造身份、被盜的社保號碼、用作洗錢的騾子帳戶、可能的協助者安全屋，以及帶有交易歷史的加密貨幣錢包。

所以，終於是時候讓我這支全明星團隊開工了。我們還沒有準備好要運送的筆記本電腦，但這不成問題。我們告訴他們，我們的供應商已經為我們設置了虛擬桌面，他們可以立即開始工作。那個供應商，就是 ANY.RUN。

第六章：朝鮮任務

捕獲面對面的影像資料與記錄機器內部發生的所有事情同等重要，兩者提供了同一謎題的不同碎片。ANY.RUN 允許我們記錄系統內打開的每一個文件、每一次網絡連接，以及幾乎每一次點擊，沒有一個位元組能逃過我們的實時監控。這些實例是為本次行動特別定制的，像真正的 VDI 一樣持續運行數小時。

我們啟動三個獨立實例，為每位開發者分配各自的環境，是時候觀察他們工作了。

第一天，Angelo 和團隊幾乎使用了與其他朝鮮黑客完全相同的手法來偵察他們的機器。他們首先運行 dxdiag（DirectX 診斷工具）、systeminfo 和 wmic 來獲取系統詳細信息，然後通過訪問合法的 IP 查詢網站（這次是 IP8）來檢查他們顯示的地理位置。

一切看起來都很正常，於是 Angelo 覺得足夠安全，可以登錄他的 Google 帳戶，安裝 Google 遠端桌面（就像我們在第一集中看到的那樣），並將他的帳戶與裝置同步。

是的，同步他的帳戶。

一次價值數百萬的誤觸

對於那些不熟悉 Google 帳戶同步工作原理的人來說，這意味著該使用者的所有儲存資訊將在此裝置上可用，包括瀏覽歷史、搜尋歷史、已儲存的密碼和已安裝的擴充功能。僅僅因為一次誤點，他的一切資訊盡在我們掌握。在之前的調查中，這讓我們得以識別「Famous Chollima」的工具集，包括他們在求職過程中使用的 AI 工具。

然而，他似乎並未察覺，只是繼續登錄他的 GitHub 帳戶，一切如常。

團隊在多條戰線上快速推進，但這並不意味著他們做對了事情。

Jack 努力打造一個看起來不那麼像 Vibe 代碼那樣千篇一律、與網路上一半的網站都一樣的前端，而 Angelo 和 Lucas 則在後端和智能合約方面苦苦掙扎。

他們用 Google 搜尋基礎知識，比如如何建構可升級的智能合約，匯入了一個現有的 MetaMask 錢包，然後艱難地從測試網頁水龍頭湊一些加密貨幣。有一次，他們甚至將測試網址粘貼到了錢包地址欄，最後向 ChatGPT 抱怨說「現在它們都需要真金白銀了」。

Angelo 使用 ChatGPT

接著，他們在自己的程式碼倉庫中繼續工作，由於未能從任何水龍頭領取代幣，現在只能使用完全虛構的資產進行開發。此時此刻，我們嚴重懷疑這是否是正確的商業決策。Ballena Azul 的下一季度財報看起來不容樂觀。

或許只是今天工作不順心，每個人都有那麼幾天。於是，我們決定讓情況變得更糟一點。

之前，我們曾引入了人为故障和網路中斷來拖慢特工速度，然後立即指責他們「弄壞了」我們借給他們的筆記型電腦。這次，我們保留了選擇性網路中斷，同時還讓滑鼠游標隨機消失。

（Angelo 調試選擇性網路中斷）

每當他們抱怨時，我們就告訴他們，我們供應商的一位 IT 支援人員會連線過來解決問題。

接下來發生的一幕，出人意料地讓人想起第一集中 Aaron 對 Andy 做的事，只不過這次是發生在 Angelo 和我們的一位「IT 支援」人員之間：通過記事本聊天。

你在嗎？（YouTube 觀看影片）

他們的 vibecoding 對話仍在繼續，現在他們正努力解決 NPM 安裝故障的問題，並應對偶爾出現的網路中斷，同時還要在 Remix 和 Visual Studio 之間切換 ChatGPT 的結果，希望一切順利。

用 ChatGPT 調試 Node.js 問題

他們很忙，人手不足，技能不足，第一週的截止日期迫在眉睫，這正是召喚本系列一位老反派——「驗證碼地獄」的絕佳時機。

（Angelo 陷入無盡的驗證碼循環）

在應付了幾分鐘驗證碼後，一次網路故障「迫使 VDI 被銷毀」，所有未保存的進度瞬間化為烏有。

日子一天天過去，千里馬們在馬廄裡橫衝直撞，留下的不僅有錯誤的程式碼，還有大量痕跡：遍佈全球的 AstrillVPN 出口節點、聊天記錄、與 AI 代理的對話、錢包地址，以及數小時的人臉錄影。

（構築夢想）

但比所有這些都更好的是，他們暴露了更有趣的東西，被當場抓獲：用作代理和跳板以接入 VDI 的特工伺服器。

這一發現極具價值，因為他們的伺服器往往壽命較長，經常被回收利用，有時會託管多個惡意軟體家族，反映了其行動隨時間的演變，並在其生命周期結束時，在整個威脅情報領域積累大量標籤。

其中一個伺服器就是這種情況，但另外兩個伺服器幾乎未被發現，僅被標記為「掃描器」（「此主機進行端口掃描」）和——頗為奇怪地——「蜜罐」。

然而，隨著日子一天天過去，不僅我們的情報收集在增長，Ballena Azul LTD 也在壯大。它壯大到引起了某人的注意，一位希望會見下一個加密獨角獸團隊的人：一位 VC 投資人。

第七章：投資人

Aelin Ashriver 先生供職於 Definitive Communications（縮寫為 Def-Comm），並對資助我們的夢想表示出興趣。我們與團隊進行了多次「演練」，排練我們的團隊敬禮：「你好，Def Comm，我們是 Ballena Azul LTD！」當大日子最終到來時，一切進展順利。

會議期間，Ashriver 先生問我們是否有興趣獲得一些媒體關注，提到他可以幫忙，甚至聲稱與 Cointelegraph 關係密切。

實際上，Ashriver 先生是 Yohan Yun，Cointelegraph 的韓國通訊員，一直都是我們的同謀。而你，親愛的讀者，以為我們劇情反轉已經結束了吧。

Definitive Communications 決定投資 Ballena Azul LTD，你幾乎可以看到美元符號烙印在他們的視網膜上。他們彷彿已嘗到金錢滾滾而來的滋味。在初創公司獲得首批職位之一通常意味著獲得一個受信任的位置，他們幾乎能感覺到冷錢包私鑰就在蹄尖。

我們正登頂巔峰。但所有上升的……終將下落。於是，我們的敗亡開始了。

第八章：律師

我說過我們還有更多反轉。相信我，這還不是最後一個。

到目前為止，Heiner（Andy）和我（Leonardo Nelson）每天都在與 Jack、Angelo 和 Lucas 一起工作。但如果你一直留意，這個等式中還有一個名字：Benito 先生，我的聯合創始人（由我們的朋友 Alejo 扮演）。他之前在米蘭忙於工作和生活，信任我們在他離開期間打理好一切。然而，當他回來時，發現我們把房子變成了馬廄，他對此非常不滿。

Anderson 先生的多種人生（YouTube 觀看視頻）

第一個逃跑的是 Angelo，完全嚇壞了。Jack 花了更長時間才明白發生了什麼（主要靠實時翻譯工具）。Benito 充分利用了這一點，在我們將近憋不住笑的時候，拋出一個又一個《駭客任務》的梗（「我會盡可能坦率，Anderson 先生」，「你過著雙重人生嗎，Anderson 先生？」）。一旦 Jack 終於理解了情況，他也直接離開了。

但這並未結束。我們的 Telegram 頻道變成了我——被背叛的 CEO——和 Andy——對雇傭法持相當鬆散態度的員工——之間的對罵。

我指責他（Andy）帶進了「非法勞工」，仍然假裝不完全理解真正發生了什麼，並告訴他這會給我惹麻煩。

他反擊說，他是在巨大壓力下才迅速組建團隊，而我付給他的錢不夠完成這項任務。他已在現有條件下盡了最大努力。

爭論持續了一會兒，直到我決定不僅結束我們的合作關係，還有我們的友誼，告訴他如果還有什麼要說的，可以通過我的助理或 Benito 轉達。

在一個我真心尊重的人性化舉動中（我是認真的），Angelo 私下聯繫了 Andy，問他是否安好，並對我們之間發生的事情表示遺憾。

我們再也沒從團隊其他人那裡聽到任何消息，他們至今仍不知道他們是被反向間諜的對象。