ผู้สัมภาษณ์และผู้สมัครงานล้วนเป็นของปลอม? สำนักงานตำรวจแห่งชาติญี่ปุ่น, FBI และหน่วยงานหลายประเทศเปิดโปง "สำนักจัดหางาน" ของแฮกเกอร์เกาหลีเหนือ
- ประเด็นหลัก: กลุ่มแฮกเกอร์เกาหลีเหนือ WaterPlum (Contagious Interview) ใช้การปลอมตัวเป็นฝ่ายจัดหางานล่อลวงนักพัฒนาให้รันโค้ดอันตราย ซึ่งได้แพร่เชื้อไปยังอุปกรณ์อย่างน้อย 30,000 เครื่องทั่วโลก ขโมยกระเป๋าคริปโตมากกว่า 7,000 ใบ คิดเป็นมูลค่าทรัพย์สินอย่างน้อย 10.71 ล้านดอลลาร์สหรัฐ โดยเป้าหมายการโจมตีได้ขยายลงมาถึงนักพัฒนา和个人以及ผู้ประกอบวิชาชีพ Web3
- ปัจจัยสำคัญ:
- การโจมตีใช้การจัดหางานปลอมเป็นช่องทางเริ่มต้น ผ่านการทดสอบเขียนโปรแกรมและการวางแพ็กเกจ NPM ที่ฝังโปรแกรมอันตรายในที่เก็บโค้ด ซึ่งเกี่ยวข้องกับมัลแวร์หลายตระกูล เช่น BeaverTail, InvisibleFerret เป็นต้น
- ตั้งแต่เดือนธันวาคม 2025 ถึงกรกฎาคม 2026 การโจมตีลุกลามไปกว่า 100 ประเทศ ขโมยคีย์ส่วนตัวของกระเป๋า, seed phrase, ข้อมูลรับรองในเบราว์เซอร์ และเอกสารยืนยันตัวตน เป็นต้น
- เอกสารยืนยันตัวตนที่ถูกขโมยถูกใช้โดยบุคลากรไอทีเกาหลีเหนือปลอมตัวเป็นนักพัฒนาต่างประเทศเพื่อสมัครงาน โดยญี่ปุ่นตรวจพบ "ฐานปฏิบัติการทำงานทางไกล" ประเภทนี้ในประเทศเป็นครั้งแรก เกี่ยวข้องกับการโอนเงินหลายร้อยล้านเยน
- บริษัทคริปโตเป็นเป้าหมายแทรกซึมสำคัญ โดยมีผู้ต้องสงสัยเป็นบุคลากรไอทีเกาหลีเหนือใช้เรซูเม่ปลอมสมัครงานที่กระดานแลกเปลี่ยนของญี่ปุ่น ในการสัมภาษณ์พบลักษณะผิดปกติ เช่น ภาษาอังกฤษไม่สอดคล้องกับประวัติ และมองจอรองบ่อยครั้ง
- หน่วยงานหลายประเทศแนะนำ: อย่ารันโค้ดที่ไม่รู้จักบนอุปกรณ์ที่เก็บทรัพย์สินคริปโต หากติดเชื้อควรสันนิษฐานว่ากระเป๋าถูกรั่วไหลแล้ว ต้องเปลี่ยนอุปกรณ์ใหม่เพื่อสร้างกระเป๋าและรีเซ็ตระบบ
ต้นฉบับจาก npa.go.jp
เรียบเรียง｜Odaily（@OdailyChina）；ผู้แปล｜Asher（@Asher_ 0210）
เมื่อวันที่ 18 กันยายน สำนักงานตำรวจแห่งชาติญี่ปุ่น สำนักงานสอบสวนกลางสหรัฐ (FBI) และหน่วยงานจากหลายประเทศได้ร่วมกันเปิดเผยว่า กลุ่มแฮกเกอร์เกาหลีเหนือ WaterPlum (หรือที่รู้จักในชื่อ "Contagious Interview") ได้แอบอ้างเป็นผู้สรรหาบุคลากรหรือบริษัทคริปโตมาเป็นเวลานาน เพื่อหลอกล่อให้นักพัฒนารันโค้ดที่เป็นอันตราย โดยอ้างว่าเป็นการทดสอบการเขียนโปรแกรมและความร่วมมือในโครงการ
ตั้งแต่เดือนธันวาคม 2025 ถึงกรกฎาคม 2026 กลุ่มนี้ได้แพร่เชื้อเข้าสู่อุปกรณ์อย่างน้อย 30,000 เครื่องในกว่า 100 ประเทศ โอนเงินออกจากกระเป๋าเงินคริปโตกว่า 7,000 กระเป๋าหรือขโมยข้อมูลรับรองบัญชี โดยเกี่ยวข้องกับสินทรัพย์คริปโตอย่างน้อย 10.71 ล้านดอลลาร์สหรัฐ
แตกต่างจากการโจมตีในอดีตที่มุ่งเป้าไปที่แพลตฟอร์มซื้อขายและสถาบันขนาดใหญ่เป็นหลัก WaterPlum ได้ขยายเป้าหมายลงมาสู่ระดับนักพัฒนาindividual ฟรีแลนซ์ และผู้ทำงานใน Web3 มากขึ้น ผู้โจมตีไม่เพียงขโมยสินทรัพย์ในกระเป๋าเงินโดยตรง แต่ยังใช้คอมพิวเตอร์และข้อมูลระบุตัวตนที่ถูกควบคุมเพื่อแทรกซึมเข้าสู่บริษัทของเหยื่อ เพื่อสร้างเงื่อนไขสำหรับการขโมยความลับทางการค้า การกรรโชกทรัพย์ หรือแม้แต่การแอบอ้างเป็นเหยื่อเพื่อสมัครงานในภายหลัง
การโจมตีที่เริ่มจาก "การรับสมัครงานเงินเดือนสูง"
ช่องทางโจมตีที่พบบ่อยที่สุดของ WaterPlum ไม่ใช่อีเมลฟิชชิ่ง แต่เป็นโอกาสในการทำงานที่ดูเหมือนปกติ ผู้โจมตีจะแอบอ้างเป็นบริษัท AI คริปโตเคอร์เรนซี หรือ NFT ติดต่อนักพัฒนา software ผ่านสื่อสังคมออนไลน์ แพลตฟอร์มหางานออนไลน์ แพลตฟอร์ม gig และตลาดฟรีแลนซ์ หลังจากสร้างการสื่อสารเบื้องต้นแล้ว พวกเขามักจะนัดสัมภาษณ์ทางวิดีโอออนไลน์ หรือขอให้ผู้สมัครทำงานทดสอบการเขียนโปรแกรม
การโจมตีที่แท้จริงเกิดขึ้นในขั้นตอน "การทดสอบทางเทคนิค" ผู้โจมตีอาจส่ง repository โค้ดให้ผู้สมัคร เพื่อขอให้รันโปรเจกต์ในเครื่อง แก้ไขข้อผิดพลาดของโปรแกรม หรือตรวจสอบสาเหตุที่ซอฟต์แวร์ประชุมทางวิดีโอทำงานผิดปกติ โปรเจกต์เหล่านี้ดูเหมือนเป็นงาน JavaScript, Python หรือ VS Code ทั่วไป แต่ภายในได้ฝังโค้ดที่เป็นอันตรายไว้แล้ว
WaterPlum มักใช้แพ็กเกจ NPM ที่ถูกฝังโค้ดอันตราย (ตัวจัดการแพ็กเกจ Node.js) ซึ่งเกี่ยวข้องกับตระกูลมัลแวร์หลายตระกูล เช่น BeaverTail, InvisibleFerret, OtterCookie, OtterCandy และ StoatWaffle ในนั้น โปรเจกต์อันตรายบางส่วนจะใช้ไฟล์กำหนดค่า .vscode/tasks.json เพื่อให้โค้ดทำงานโดยอัตโนมัติเมื่อผู้ใช้เปิดและเชื่อถือโฟลเดอร์ VS Code สำหรับเหยื่อ กระบวนการทั้งหมดอาจเป็นเพียงการดาวน์โหลดโค้ด เปิดโปรเจกต์ และรันโปรแกรมตามคำสั่งของ "ผู้สัมภาษณ์" แต่มัลแวร์ได้ติดตั้งเสร็จสิ้นในเบื้องหลังแล้ว
หลังจากได้รับสิทธิ์เข้าถึงเบื้องต้น ผู้โจมตีจะติดตั้ง remote access trojan เพื่อรักษาการควบคุมอุปกรณ์ในระยะยาว และใช้โปรแกรมขโมยข้อมูลเพื่อรวบรวมข้อมูล เป้าหมายการขโมยหลักได้แก่:
- บัญชีและรหัสผ่านที่บันทึกไว้ในเบราว์เซอร์
- เนื้อหา clipboard บันทึกการพิมพ์แป้นพิมพ์ และภาพหน้าจอ
- private key ของกระเป๋าเงินคริปโต seed phrase และข้อมูลที่เกี่ยวข้อง
- ไฟล์ในคอมพิวเตอร์และโฟลเดอร์ที่แชร์
- ภาพเอกสารระบุตัวตน เช่น ใบขับขี่ หนังสือเดินทาง
ข้อมูลเหล่านี้จะถูกส่งไปยังเซิร์ฟเวอร์ที่ผู้โจมตีควบคุมในที่สุด แม้ว่าในขณะนั้นกระเป๋าเงินของเหยื่อจะไม่มีสินทรัพย์ หาก private key หรือ seed phrase รั่วไหลแล้ว ผู้โจมตียังคงสามารถติดตามที่อยู่ได้ในระยะยาว และรอจนมีเงินเข้าแล้วจึงโอนออกไป
หลังจากอุปกรณ์ถูกควบคุม ความเสี่ยงไม่ได้จำกัดอยู่แค่กระเป๋าเงินส่วนตัว นักพัฒนามักสามารถเข้าถึง repository โค้ดของบริษัท บริการคลาวด์ และระบบภายใน WaterPlum อาจใช้ข้อมูลรับรองการเข้าสู่ระบบและสิทธิ์ที่มีอยู่ซึ่งบันทึกไว้ในอุปกรณ์เพื่อเข้าสู่ระบบของนายจ้าง ลูกค้า หรือพันธมิตร ขโมยความลับทางการค้าต่อไป เคลื่อนที่ในเครือข่ายองค์กรในแนวนอน หรือแม้แต่ใช้ข้อมูลละเอียดอ่อนเพื่อกรรโชกทรัพย์
"ฐานปฏิบัติงานทางไกล" ที่ซ่อนอยู่ในที่พักอาศัยในต่างประเทศ
เอกสารระบุตัวตน เช่น ใบขับขี่ หนังสือเดินทาง ที่ WaterPlum ขโมยมานั้น ยังมี用途อื่นอีก นั่นคือส่งให้บุคลากรไอทีเกาหลีเหนือแอบอ้างเป็นเหยื่อเพื่อสมัครงานในต่างประเทศและหาเงินตราต่างประเทศ WaterPlum ใช้การรับสมัครงานปลอมเพื่อปล่อยมัลแวร์เป็นหลัก ส่วนบุคลากรไอทีเกาหลีเหนือปลอมตัวเป็นนักพัฒนาในต่างประเทศเพื่อเข้าทำงานในบริษัท ทั้งสองฝ่ายมีบุคลากรและโครงสร้างพื้นฐานที่ทับซ้อนกัน สำนักงานตำรวจแห่งชาติญี่ปุ่นและ FBI ตัดสินว่า สมาชิก WaterPlum และบุคลากรไอทีเกาหลีเหนือบางส่วนต่างสังกัดสำนักงานใหญ่ที่ 313 ของกรมอุตสาหกรรมยุทโธปกรณ์ สังกัดคณะกรรมการกลางพรรคแรงงานเกาหลีเหนือ
เพื่อหลีกเลี่ยงการตรวจสอบตัวตนและสถานที่ทำงานของพนักงานโดยบริษัท บุคลากรไอทีเกาหลีเหนือจะร่วมมือกับคนกลางในต่างประเทศ โดยคนกลางจะวางคอมพิวเตอร์สำหรับทำงานไว้ในที่พักอาศัยในท้องถิ่น จัดหาข้อมูลระบุตัวตน และรับเงินเดือนแทน ส่วนงานจริงจะทำโดยบุคลากรที่อยู่ในเกาหลีเหนือ รัสเซีย และอื่นๆ จากระยะไกล ซึ่งเทียบเท่ากับฐานปฏิบัติงานทางไกลที่ช่วยให้ผู้ปฏิบัติงานจริงอำพรางสถานที่ตั้งและตัวตน
ด้วยรูปแบบนี้ บุคลากรไอทีเกาหลีเหนือสามารถใช้คอมพิวเตอร์และเครือข่ายในท้องถิ่นของญี่ปุ่นหรือสหรัฐเพื่อเข้าสู่ระบบของบริษัท ทำให้บริษัทเข้าใจผิดว่าพนักงานอยู่ในท้องถิ่นนั้น ผู้ประสานงานยังจะรับคอมพิวเตอร์ที่บริษัทจัดให้ จัดหาเอกสารระบุตัวตนและบัญชีธนาคาร แล้วโอนเงินเดือนที่ได้รับให้ผู้ปฏิบัติงานจริง
หน่วยงานที่เกี่ยวข้องของญี่ปุ่นในครั้งนี้ได้ตรวจพบฐานปฏิบัติงานลักษณะนี้ในญี่ปุ่นเป็นครั้งแรก การสืบสวนพบว่า บุคลากรที่เกี่ยวข้องไม่เพียงช่วยบุคลากรไอทีเกาหลีเหนืออำพรางตัวตนและรับงาน แต่ยังเคยโอนเงินมูลค่าหลายร้อยล้านเยนออกนอกญี่ปุ่น ซึ่งรวมถึงสินทรัพย์คริปโตด้วย ประกาศเตือนว่า หากบริษัทหรือบุคคลให้งาน จ่ายค่าตอบแทน หรือช่วยจัดหาข้อมูลระบุตัวตน บัญชีธนาคาร และอุปกรณ์ทางไกลแก่บุคลากรไอทีเกาหลีเหนือ อาจละเมิดกฎหมายท้องถิ่นและฝ่าฝืนมาตรการคว่ำบาตรต่อเกาหลีเหนือ
ความเสี่ยงที่บุคลากรเหล่านี้เข้าสู่บริษัทไม่ได้จำกัดอยู่แค่ทิศทางการไหลของเงินเดือนไปยังเกาหลีเหนือ บุคลากรไอทีเกาหลีเหนือคนหนึ่งเคยกรรโชกนายจ้างเนื่องจากข้อพิพาทเรื่องค่าตอบแทน และเปิดเผยซอร์สโค้ดเฉพาะของบริษัทต่อสาธารณะ อีกคนที่ถูกจ้างให้ดูแลเว็บไซต์ก็จงใจแก้ไขเว็บไซต์ของบริษัทในทางที่ผิด ทำให้เว็บไซต์ไม่สามารถเข้าถึงได้
ปลอมประวัติ สมัครงานในตลาดแลกเปลี่ยนคริปโตของญี่ปุ่น
บริษัทคริปโตเป็นหนึ่งในอุตสาหกรรมที่บุคลากรไอทีเกาหลีเหนือให้ความสำคัญในการแทรกซึม
ในเดือนพฤษภาคม 2025 ตลาดแลกเปลี่ยนคริปโตเคอร์เรนซีแห่งหนึ่งของญี่ปุ่นได้รับใบสมัครตำแหน่งวิศวกร ผู้สมัครน่าสงสัยว่าเป็นบุคลากรไอทีเกาหลีเหนือ เข้าถึงหน้าสมัครงานผ่าน VPN และส่งเรซูเม่ปลอม เรซูเม่ดู "รอบด้าน" มาก ผู้สมัครอ้างว่ามีความเชี่ยวชาญด้านภาษาโปรแกรมมิ่ง เทคโนโลยีบล็อกเชน เทคโนโลยีคริปโตเคอร์เรนซี และบริการคลาวด์จำนวนมาก โดยแต่ละหมวด列出了ความรู้และประสบการณ์ที่เกี่ยวข้องมากกว่า 10 รายการ ประวัติส่วนตัวรวมถึงการศึกษาจากมหาวิทยาลัยในยุโรป และประสบการณ์ทำงานในหลายเมืองทั่วยุโรปและเอเชียในระยะเวลาสั้น ในระหว่างการสัมภาษณ์ทางวิดีโอ ผู้สมัครอ้างว่าเกิดในมาเลเซีย อาศัยอยู่ในฟินแลนด์ ภาษาแม่คือภาษามาเลย์และภาษาจีน แต่ความสามารถด้านภาษาอังกฤษไม่สอดคล้องกับพื้นฐานการศึกษาและอาชีพที่อ้างอย่างเห็นได้ชัด สามารถตอบได้เพียงคำถามง่ายๆ และไม่สามารถอธิบายความสามารถทางเทคนิคส่วนใหญ่ที่ระบุในเรซูเม่ได้อย่างละเอียด
ประกาศยังสรุปลักษณะร่วมอื่นๆ ของผู้ต้องสงสัยเป็นบุคลากรไอทีเกาหลีเหนือในการสัมภาษณ์ รวมถึงการปฏิเสธการพบปะแบบพบหน้า การขอรับค่าจ้างเป็นคริปโตเคอร์เรนซี การมองหน้าจออีกจอบ่อยครั้ง การได้ยินเสียงคนอื่นในฉากหลังเป็นครั้งคราว และวิดีโอหรือเสียงที่หยุดชะงักซ้ำๆ การมองหน้าจออีกจอบ่อยครั้งอาจหมายความว่าผู้สมัครกำลังอ่านคำตอบที่ผู้อื่นจัดหาให้ แม้ในภาพจะมีผู้สมัครเพียงคนเดียว แต่เบื้องหลังอาจมีหลายคนร่วมมือกันประกอบความสามารถทางเทคนิคที่เขียนในเรซูเม่
เมื่อพบว่าคอมพิวเตอร์ติดไวรัส การลบมัลแวร์เพียงอย่างเดียวไม่เพียงพอ
เมื่อรันโค้ดจากแหล่งที่ไม่รู้จักบนคอมพิวเตอร์แล้ว ไม่สามารถตัดสินว่าอุปกรณ์และกระเป๋าเงินยังปลอดภัยเพียงเพราะสินทรัพย์ในกระเป๋าเงินยังไม่ถูกโอนออกในทันที มัลแวร์อาจได้รับ private key seed phrase หรือข้อมูลรับรองการเข้าสู่ระบบของเบราว์เซอร์ไปแล้ว เพียงแต่ยังไม่ได้ใช้ทันที ผู้โจมตีอาจยังคงรักษา backdoor ในอุปกรณ์ต่อไป เพื่อรอจังหวะโอนเงินที่เหมาะสมกว่า
หน่วยงานจากหลายประเทศแนะนำว่า อย่ารันโค้ดที่คนแปลกหน้ามอบให้โดยตรงบนอุปกรณ์ที่เก็บสินทรัพย์คริปโตหรือประมวลผลข้อมูลละเอียดอ่อน หากจำเป็นต้องทดสอบจริง ควรใช้ sandbox หรือ virtual machine ที่แยกจากสภาพแวดล้อม日常 และตรวจสอบก่อนรันว่าในโปรเจกต์มีโค้ดที่ทำให้สับสน อ่านไม่ได้ หรือดาวน์โหลดไฟล์อื่นโดยอัตโนมัติหรือไม่
สำหรับสคริปต์ที่มีคำสั่งดาวน์โหลด เข้ารหัส หรือซ่อนการทำงาน เช่น curl, base64, mshta, Invoke-WebRequest ก็ควรระมัดระวังเป็นพิเศษ อย่ารันเมื่อไม่ทราบวัตถุประสงค์ที่แน่ชัด หากอุปกรณ์ได้รับการแจ้งเตือนการติดเชื้อจากโปรแกรม antivirus หรือเคยรันโปรแกรมที่ผู้สมัครงานที่น่าสงสัยจัดหาให้ ควรตัดการเชื่อมต่อเครือข่ายทันที แม้มัลแวร์จะถูกลบในภายหลัง ก็ต้องสันนิษฐานว่าข้อมูลกระเป๋าเงินรั่วไหลแล้ว สร้างกระเป๋าเงินใหม่บนอุปกรณ์ที่ปลอดภัยเครื่องอื่น โอนสินทรัพย์ทั้งหมดออก และเก็บ seed phrase ใหม่แบบออฟไลน์
เนื่องจากคอมพิวเตอร์ที่ติดไวรัสอาจยังมี backdoor ที่ยังไม่ถูกค้นพบเหลืออยู่ วิธีจัดการที่ปลอดภัยที่สุดคือสำรองข้อมูลที่จำเป็นแล้วติดตั้งหรือรีเซ็ตระบบปฏิบัติการใหม่ทั้งหมด แทนที่จะใช้สภาพแวดล้อมเดิมต่อไป
