Người phỏng vấn và ứng viên đều là giả? Cảnh sát Nhật Bản, FBI và nhiều cơ quan đa quốc gia khác vạch trần "cục tuyển dụng" của hacker Triều Tiên

Nguồn gốc từ npa.go.jp

Biên dịch｜Odaily（@OdailyChina）；Người dịch｜Asher（@Asher_ 0210）

Ngày 18 tháng 9, Cơ quan Cảnh sát Quốc gia Nhật Bản, Cục Điều tra Liên bang Hoa Kỳ và các cơ quan đa quốc gia khác đã công bố chung rằng nhóm hacker Triều Tiên WaterPlum (còn gọi là "Contagious Interview") từ lâu đã giả danh nhà tuyển dụng hoặc công ty crypto, lấy lý do kiểm tra lập trình và hợp tác dự án để dụ dỗ các nhà phát triển chạy mã độc.

Từ tháng 12 năm 2025 đến tháng 7 năm 2026, nhóm này đã lây nhiễm ít nhất 30.000 thiết bị tại hơn 100 quốc gia, chuyển tiền hoặc đánh cắp thông tin đăng nhập từ hơn 7.000 ví crypto, liên quan đến tài sản crypto ít nhất 10,71 triệu USD.

Khác với các cuộc tấn công trước đây chủ yếu nhắm vào sàn giao dịch và các tổ chức lớn, WaterPlum đã hạ thấp mục tiêu xuống các nhà phát triển cá nhân, freelancer và những người làm việc trong Web3. Kẻ tấn công không chỉ trực tiếp đánh cắp tài sản trong ví mà còn lợi dụng máy tính bị kiểm soát và thông tin danh tính để thâm nhập vào công ty của nạn nhân, tạo điều kiện cho việc đánh cắp bí mật thương mại, tống tiền, thậm chí giả danh nạn nhân để xin việc sau này.

Cuộc tấn công bắt đầu từ "tin tuyển dụng lương cao"

Cửa vào phổ biến nhất của WaterPlum không phải là email lừa đảo mà là một cơ hội việc làm trông có vẻ bình thường. Kẻ tấn công sẽ giả danh công ty AI, crypto hoặc NFT, liên hệ với các nhà phát triển phần mềm thông qua mạng xã hội, nền tảng tuyển dụng trực tuyến, nền tảng việc làm tự do và thị trường freelancer. Sau khi thiết lập liên lạc ban đầu, chúng thường sắp xếp phỏng vấn video trực tuyến hoặc yêu cầu ứng viên hoàn thành một bài kiểm tra lập trình.

Cuộc tấn công thực sự xảy ra ở khâu "kiểm tra kỹ thuật". Kẻ tấn công có thể gửi cho ứng viên một kho mã nguồn, yêu cầu chạy dự án cục bộ, sửa lỗi chương trình hoặc khắc phục sự cố phần mềm họp video không hoạt động. Những dự án này bề ngoài là các dự án JavaScript, Python hoặc VS Code thông thường, nhưng bên trong đã được cài cắm mã độc.

WaterPlum thường sử dụng các gói NPM bị cài mã độc (trình quản lý gói Node.js), liên quan đến nhiều họ mã độc như BeaverTail, InvisibleFerret, OtterCookie, OtterCandy và StoatWaffle. Trong đó, một số dự án độc hại sẽ lợi dụng tệp cấu hình .vscode/tasks.json để tự động thực thi mã khi người dùng mở và tin tưởng thư mục VS Code. Đối với nạn nhân, toàn bộ quá trình có thể chỉ là tải mã nguồn, mở dự án và chạy chương trình theo yêu cầu của "người phỏng vấn", nhưng mã độc đã được cài đặt xong ở chế độ nền.

Sau khi có quyền truy cập ban đầu, kẻ tấn công sẽ triển khai trojan truy cập từ xa, duy trì quyền kiểm soát lâu dài đối với thiết bị và sử dụng chương trình đánh cắp thông tin để thu thập dữ liệu. Các mục tiêu đánh cắp chính bao gồm:

• Tài khoản và mật khẩu được lưu trong trình duyệt;
• Nội dung clipboard, bản ghi nhập bàn phím và ảnh chụp màn hình;
• Khóa riêng tư ví crypto, cụm từ khôi phục và dữ liệu liên quan;
• Tệp trong máy tính và thư mục chia sẻ;
• Hình ảnh giấy tờ tùy thân như bằng lái xe, hộ chiếu.

Những thông tin này cuối cùng sẽ được gửi đến máy chủ do kẻ tấn công kiểm soát. Ngay cả khi ví của nạn nhân lúc đó không có tài sản, chỉ cần khóa riêng tư hoặc cụm từ khôi phục đã bị lộ, kẻ tấn công vẫn có thể theo dõi địa chỉ lâu dài, chờ tiền vào rồi chuyển đi.

Sau khi thiết bị bị kiểm soát, rủi ro không chỉ giới hạn ở ví cá nhân. Nhà phát triển thường có thể truy cập kho mã nguồn công ty, dịch vụ đám mây và hệ thống nội bộ. WaterPlum có thể lợi dụng thông tin đăng nhập và quyền hạn sẵn có trong thiết bị để xâm nhập vào hệ thống của nhà tuyển dụng, khách hàng hoặc đối tác, tiếp tục đánh cắp bí mật thương mại, di chuyển ngang trong mạng doanh nghiệp, thậm chí lợi dụng dữ liệu nhạy cảm để tống tiền.

"Căn cứ làm việc từ xa" ẩn trong nhà ở nước ngoài

Bằng lái xe, hộ chiếu và các giấy tờ tùy thân khác mà WaterPlum đánh cắp còn có một công dụng khác: giao cho nhân viên IT Triều Tiên giả danh nạn nhân để xin việc ở nước ngoài và kiếm ngoại hối. WaterPlum chủ yếu phát tán mã độc thông qua tuyển dụng giả, còn nhân viên IT Triều Tiên thì giả danh nhà phát triển nước ngoài để vào làm việc tại doanh nghiệp, hai bên có sự chồng chéo về nhân sự và hạ tầng. Cơ quan Cảnh sát Quốc gia Nhật Bản và FBI đánh giá rằng các thành viên WaterPlum và một số nhân viên IT Triều Tiên đều thuộc Tổng cục 313 thuộc Cục Công nghiệp Quân sự trực thuộc Ban Chấp hành Trung ương Đảng Lao động Triều Tiên.

Để vượt qua việc doanh nghiệp xác minh danh tính nhân viên và địa điểm làm việc, nhân viên IT Triều Tiên sẽ hợp tác với trung gian ở nước ngoài, để những người này đặt máy tính làm việc tập trung tại nhà ở địa phương, cung cấp thông tin danh tính và nhận lương thay, còn công việc thực tế do người ở Triều Tiên, Nga và các nơi khác thực hiện từ xa, tương đương với căn cứ làm việc từ xa giúp người vận hành thực sự ngụy trang địa điểm và danh tính.

Nhờ mô hình này, nhân viên IT Triều Tiên có thể sử dụng máy tính và mạng tại địa phương Nhật Bản hoặc Hoa Kỳ để đăng nhập vào hệ thống doanh nghiệp, khiến công ty tưởng rằng nhân viên đang ở địa phương. Người phụ trách tiếp nhận còn nhận máy tính do công ty cấp, cung cấp giấy tờ tùy thân và tài khoản ngân hàng, sau đó chuyển tiền lương nhận được cho người làm việc thực tế.

Các cơ quan chức năng Nhật Bản lần này đã lần đầu tiên phát hiện một căn cứ như vậy được đặt tại Nhật Bản. Điều tra phát hiện, những người liên quan không chỉ giúp nhân viên IT Triều Tiên ngụy trang danh tính, nhận việc mà còn từng chuyển ra nước ngoài số tiền trị giá hàng trăm triệu yên Nhật, bao gồm tài sản crypto. Thông báo cảnh báo rằng doanh nghiệp hoặc cá nhân nếu cung cấp việc làm, trả thù lao cho nhân viên IT Triều Tiên, hoặc giúp họ cung cấp thông tin danh tính, tài khoản ngân hàng và thiết bị từ xa, có thể vi phạm pháp luật địa phương và vi phạm các quy định trừng phạt đối với Triều Tiên.

Rủi ro mà những người này mang lại sau khi vào doanh nghiệp cũng không chỉ dừng ở dòng tiền chảy về Triều Tiên. Một nhân viên IT Triều Tiên từng tống tiền nhà tuyển dụng do tranh chấp thù lao và công khai mã nguồn độc quyền của công ty; một người khác được thuê để bảo trì website thì ác ý sửa đổi website công ty, khiến website không thể truy cập.

Làm giả lý lịch, ứng tuyển sàn giao dịch crypto Nhật Bản

Công ty crypto là một trong những ngành mà nhân viên IT Triều Tiên tập trung thâm nhập.

Tháng 5 năm 2025, một sàn giao dịch crypto Nhật Bản nhận được đơn ứng tuyển vị trí kỹ sư, người nộp đơn nghi ngờ là nhân viên IT Triều Tiên, truy cập trang tuyển dụng qua VPN và nộp lý lịch giả. Lý lịch trông rất "toàn diện": người nộp đơn tuyên bố nắm vững nhiều ngôn ngữ lập trình, công nghệ blockchain, công nghệ crypto và dịch vụ đám mây, mỗi danh mục đều liệt kê hơn 10 kiến thức và kinh nghiệm liên quan; kinh nghiệm cá nhân bao gồm nền giáo dục đại học ở châu Âu và kinh nghiệm làm việc tại nhiều thành phố ở châu Âu và châu Á trong thời gian ngắn. Trong phỏng vấn video, người nộp đơn tự nhận sinh ra ở Malaysia, sống ở Phần Lan, tiếng mẹ đẻ là tiếng Malay và tiếng Trung. Nhưng năng lực tiếng Anh của người này rõ ràng không phù hợp với trình độ học vấn và kinh nghiệm nghề nghiệp được tuyên bố, chỉ có thể trả lời các câu hỏi đơn giản, cũng không thể giải thích chi tiết phần lớn năng lực kỹ thuật được liệt kê trong lý lịch.

Thông báo còn tổng kết các đặc điểm chung khác của những người nghi ngờ là nhân viên IT Triều Tiên trong phỏng vấn, bao gồm từ chối gặp mặt trực tiếp, yêu cầu trả lương bằng crypto, thường xuyên nhìn sang màn hình khác, thỉnh thoảng có tiếng người khác trong nền, và video hoặc âm thanh liên tục bị giật lag. Việc thường xuyên nhìn sang màn hình khác có thể có nghĩa là người nộp đơn đang đọc câu trả lời do người khác cung cấp; ngay cả khi trong khung hình chỉ có một ứng viên, phía sau cũng có thể có nhiều người phối hợp, cùng nhau ghép nên năng lực kỹ thuật được ghi trong lý lịch.

Sau khi phát hiện máy tính bị nhiễm độc, chỉ xóa mã độc là chưa đủ

Một khi đã chạy mã nguồn không rõ nguồn gốc trên máy tính, không thể vì tài sản trong ví tạm thời chưa bị chuyển đi mà kết luận thiết bị và ví vẫn an toàn. Mã độc có thể đã lấy được khóa riêng tư, cụm từ khôi phục hoặc thông tin đăng nhập trình duyệt, chỉ là chưa sử dụng ngay lập tức. Kẻ tấn công cũng có thể tiếp tục duy trì backdoor trong thiết bị, chờ thời điểm chuyển tiền thích hợp hơn.

Các cơ quan đa quốc gia khuyến nghị, không nên trực tiếp chạy mã do người lạ cung cấp trên thiết bị lưu trữ tài sản crypto hoặc xử lý dữ liệu nhạy cảm. Nếu thực sự cần kiểm tra, nên sử dụng sandbox hoặc máy ảo cách ly với môi trường hàng ngày, và kiểm tra trước khi chạy xem dự án có mã bị làm rối, không thể đọc hoặc tự động tải xuống tệp khác hay không.

Đối với các script chứa lệnh tải xuống, mã hóa hoặc thực thi ẩn như curl, base64, mshta, Invoke-WebRequest, cũng nên đặc biệt cảnh giác, không chạy khi không hiểu mục đích cụ thể. Nếu thiết bị đã được phần mềm diệt virus cảnh báo bị nhiễm, hoặc từng chạy chương trình do nhà tuyển dụng đáng ngờ cung cấp, nên ngay lập tức ngắt kết nối mạng. Ngay cả khi mã độc sau đó được xóa, cũng cần giả định rằng dữ liệu ví đã bị lộ, tạo ví hoàn toàn mới trên một