مهاجمان DPRK از بدافزار npm تولیدشده با AI، شرکت‌های جعلی و RAT استفاده می‌کنند

ماجرا چه بود؟

در ۴ آوریل ۲۰۲۶، گزارش مشترک ESET و یک سری vendor دیگر، کارزار پیچیده‌ی گروه‌های نفوذ کره‌ی شمالی (DPRK) — به‌ویژه Lazarus، APT38، و Andariel — را در سال ۲۰۲۶ تحلیل کرد. نکته‌ی متمایز این کارزار، ترکیب چندین roach جدید است:

1. بدافزار npm با کد تولیدشده توسط AI: بسته‌های مخرب با کیفیت ظاهری بالا و کامنت‌های متعارف، که با تحلیل دقیق نشانه‌های LLM-generation در آن‌ها قابل شناسایی است.
2. شرکت‌های جعلی recruitment: ساخت LinkedIn profiles معتبر برای «شرکت‌های نوپا» در فضای کریپتو، که از طریق آن‌ها توسعه‌دهندگان به انجام interview tasks دعوت می‌شوند — و این tasks شامل اجرای بدافزار است.
3. RAT های اختصاصی: شامل BeaverTail (مرحله‌ی اولیه) و InvisibleFerret (مرحله‌ی بعدی) — هر دو با هدف سرقت کیف پول‌ها و source code.

جزئیات فنی

الگوی حمله:

1. recruiter مدعی از یک «AI startup» با LinkedIn profile معتبر، به توسعه‌دهنده تماس می‌گیرد.
2. در مصاحبه، توسعه‌دهنده تشویق می‌شود یک repository را clone کرده و تست تخصصی انجام دهد.
3. در package.json یا فایل setup، یک dependency مخرب وجود دارد که BeaverTail را روی سیستم نصب می‌کند.
4. BeaverTail کیف پول‌های ارز رمز، browser passwords، و SSH keys را collect می‌کند.
5. InvisibleFerret به‌عنوان مرحله‌ی دوم نصب می‌شود برای persistence و access مداوم به source code repository توسعه‌دهنده — به‌خصوص اگر در یک شرکت crypto کار می‌کند.

تخمین زیان‌های منتسب به این کارزار در ۲۰۲۵-۲۰۲۶: بیش از ۸۰۰ میلیون دلار سرقت ارز رمز.

تأثیر و واکنش

FBI و چندین آژانس متحد یک هشدار مشترک منتشر کردند و فهرستی از LinkedIn profiles مشکوک را به اشتراک گذاشتند. LinkedIn هزاران حساب را suspend کرد.

این کارزار نشان می‌دهد که DPRK از AI نه برای automation حمله، بلکه برای social engineering در سطح بالا (ساخت profile های معتبر، نوشتن emails متقاعدکننده) استفاده می‌کند.

توصیه‌های امنیتی

• توسعه‌دهندگان: همیشه repositories را در sandbox (مثل GitHub Codespaces یا Docker) clone و اجرا کنید — نه روی workstation اصلی.
• offers job ناخواسته که در آن‌ها task technical شامل clone & run شدن کد است را suspicious بدانید.
• استفاده از hardware wallet (Ledger، Trezor) برای cryptocurrency — software wallets روی workstation در معرض sniffing هستند.
• LinkedIn: قبل از پذیرش connection، profile را با Google reverse image search تأیید کنید.
• در شرکت‌های crypto: همه‌ی developers باید روی managed devices با EDR و segmentation از production کار کنند.

منابع

• The Hacker News