年度钓鱼大戏，虚假DeFi钓出朝鲜Lazarus真黑客
- 核心观点：安全机构通过设立虚假的DeFi公司，成功渗透朝鲜Lazarus集团下属“Famous Chollima”黑客组织，揭示了其利用伪造身份、AI工具和远程协作渗透西方公司的完整流程，并暴露了其不断演变的工具集与基础设施。
- 关键要素：
- 研究人员伪装成招聘方，在数月内招募三名朝鲜特工，通过ANY.RUN沙箱环境实时记录其操作行为、工具使用及协作模式。
- 特工使用伪造驾照、被盗社保号和骡子账户完成入职流程，其中部分证件经Google Gemini加工处理并带有SynthID水印，暴露了伪造痕迹。
- 攻击者依赖ChatGPT、Google Gemini等AI工具进行编码、翻译和文件修改，并利用AstrillVPN、远程桌面软件和专用服务器隐蔽接入企业环境。
- 三名特工在开发过程中表现出技能不足，频繁搜索基础问题，并在选择性网络中断和验证码诱导下暴露更多代理服务器及基础设施信息。
- 调查发现，Famous Chollima旨在长期潜伏企业内部，合法获取代码、系统和知识产权访问权限，而不仅限于短期攻击，威胁持续性显著。
原文來自安全公司 ANY.RUN
編譯｜Odaily星球日報 秦曉峰（@QinXiaofeng 888 ）
編者按：經常被釣魚的加密朋友，大概都聽過朝鮮黑客組織的 Lazarus Group，其比較知名的「戰役」包括但不限於：Bybit（15 億美元）盜竊案、Ronin Network / Axie Infinity 橋攻擊（6.2 億美元）、DMM Bitcoin / Ginco 相關攻擊（3.08 億美元）、Harmony Horizon Bridge 攻擊（1 億美元）、Atomic Wallet 攻擊（1 億美元）等。
而這些攻擊成功的關鍵，離不開社會工程學——黑客通常會偽裝成正常的應聘，經年累月的潛伏加密公司，靜待時機。
最近，安全機構 ANY.RUN 聯合 BCA LTD（該公司致力於威脅情報和狩獵）以及 NorthScan（一項揭露朝鮮 IT 工作人員滲透的威脅情報計劃），三方聯手佈局，有效打擊了朝鮮黑客特工。
研究人員創建了一個虛假的 DeFi 初創公司，並成功招募了朝鮮 Lazarus Group 旗下專攻人力滲透的「Famous Chollima」特工，從而獲得了對朝鮮 IT 工人行動的內部視角。ANY.RUN 沙箱環境實時展現了特工的行為模式，暴露了他們不斷演變的工具集、遠程訪問工作流程、AI 工具的使用情況及其支撐基礎設施。
本次調查超越了單純的招聘環節，深入展示了這些特工入職後如何協作、如何獲取並利用公司資源。研究結果表明，朝鮮 IT 工人計劃不僅構成招聘風險；一旦特工潛入組織內部，他們就能合法地獲取代碼、系統、知識產權和關鍵業務流程的訪問權限。
以下是三方共同撰寫的報告，由 Odaily星球日報 編譯，Enjoy～
——————————
引言
去年 12 月，我們首次完整記錄了「Famous Chollima」的滲透週期。從招募同夥以幫助他們入職西方公司，到偽造證件、將筆記本電腦運至中間人住所，甚至在面試期間使用 AI 工具進行實時協助和翻譯，全程盡在掌握。
在那次調查中，我們偽裝成願意替他們參加面試並藉出筆記本電腦的中間人，以此換取他們薪資的一定比例。關鍵在於，那些筆記本電腦實際上是 ANY.RUN 沙箱環境，記錄了他們每一次點擊和每一步操作。這為我們提供了海量指標、長達數小時的電腦操作錄像和麵對面接觸的影像資料，成就了一項史無前例的調查，並登上了眾多媒體的頭條。
（「Famous Chollima」招募者，代號「烈焰」的 Aaron）
這絕非易事，需要投入數月心血，在摸清他們底細的同時扮演其犯罪同夥。而今天，我們決定更進一步。
這一次，我們不再假扮中間人，而是搖身一變，成為了 Ballena Azul LTD 的創始人。這是一家全新的 DeFi 協議公司，直接與跨鏈的加密貨幣巨鯨合作，正在尋找開發人員來構建其平台。他們是我們可以託付巨額資金的開發者——數額之巨，遠超你和所有朋友口袋裡的錢，多到你數逗號都數不過來。
Ballena Azul LTD 網站
這一新篇章可謂應有盡有：一位過度自信、不對員工進行背景調查的 CEO；持有偽造文件的冒牌開發者；用作洗錢的騾子賬戶；偽裝成風險投資家的記者；以及一位最終引爆全局的意大利律師。
來吧，好戲已經開場！
第一章：The Chollimas
首先簡單介紹一下我們的主要對手。Famous Chollima 是朝鮮 Lazarus 組織旗下的眾多分支之一。其目標簡單直接：受僱於西方公司。
他們瞄準那些情報價值和資金都極為豐厚的行業中的遠程職位。加密貨幣、金融和醫療保健歷來是他們的首選目標，而近期的行動已擴展到製藥、土木工程、建築和其他領域。為了獲得這些職位，他們依賴偽造的身份、虛假的簡歷、代面試、遠程協助者和幽靈開發者，所有人協同合作，讓公司確信他們僱用的人就是其聲稱的那個人。
（Bitso Quetzal 團隊在公司面試期間抓獲的朝鮮特工）
與傳統入侵不同，他們的目標並非在數小時或數天內攻陷一家組織，而是要成為其一部分。成功入職可提供數月甚至數年的持續訪問權限，包括內部系統、源代碼、知識產權和企業決策流程，同時還能賺取合法工資，並最終將資金輸送回朝鮮政權。
這使得「Famous Chollima」成為一種截然不同的威脅。惡意軟件行動可以在一夜之間產生驚人效果，但這些行動本身也噪音巨大，且伴隨著顯著的暴露風險。相比之下，員工暴露的風險性較低。他們被信任的時間越長，收集情報、影響決策並逐步融入組織的機會就越大。如果足夠多的特工在同一家公司內獲得職位，他們最終可能影響工程決策、代碼審查、拉取請求、審批或其他基於信任的流程，而無需利用任何軟件漏洞。
深知他們積極尋覓此類機會，我們決定主動為他們創造一個。
第二章：公司
答案就是 Ballena Azul LTD。
從表面上看，這是「Famous Chollima」夢寐以求的公司：一個與跨多條區塊鏈的加密貨幣巨鯨合作的 DeFi 協議，正在尋找經驗豐富的開發者來幫助構建平台。
該協議本身很簡單。通過結合 NFT 和其他鏈上機制，巨鯨錢包可以自願表明身份並公開宣示所有權。其理念是在大額資金流動時減少不必要的市場投機，避免引發生態系統恐慌的交易所被黑、錢包被盜、退出騙局等謠言。
OpenSea NFT 市場上的 Ballena Azul LTD
一切都必須顯得真實可信。專業的網站、企業品牌、文檔、線上形象，以及最重要的是，一個說得通的產品。我們這麼做，並非期望投資者會相信，而是因為我們預料到他們會（上鉤）。
（英國公司註冊處已有的 Ballena Azul LTD 註冊信息有助於增強公司合法性。該實體與我們的行動無關）
我化身為 Leonardo Nelson，Ballena Azul LTD 的聯合創始人。我的商業夥伴 Benito 將從意大利加入我們的會議。同時，Heiner 再次扮演 Andy Jones，即第一集中的開發者和協助者。這次他是 Ballena Azul 的技術主管，並由 Benito 親自向我推薦。
在基礎設施方面，我們選擇了最值得信賴的提供商：ANY.RUN。現在，萬事俱備，只欠開發者。
幸運的是，Andy 正好認識這個職位的合適人選：Angelo Cruz，一位渴望出人頭地的「Famous Chollima」對外招聘人員。
第三章：馬販子
Angelo Cruz 是在 GitHub 上結識 Andy 的。他們開始聊天，不久後，Cruz 說服 Andy 合作，由 Andy 充當其信任的協助者，幫助他的開發者們找到工作。
Angelo 在 GitHub 上尋找協助者的評論
Andy 同意了，並很快向 Angelo 介紹了 Ballena Azul LTD（我們的公司），稱之為絕佳機會。按照計劃，Ballena Azul LTD 將成為又一待宰羔羊。畢竟，我們信任 Andy 的判斷，他選中的人，我們都歡迎。
與 Famous Chollima 的面試（YouTube 觀看視頻）
為了製造虛假的信任感，Andy 提出可以藉給他們他兄弟的身份證，但最終並未用上。不久之後，Angelo 又向我們介紹了我們的第一位工程師：Angelo Espree（好戲開場了）。
第四章：團隊
Angelo Espree 是第一個接受 Ballena Azul LTD 職位的人，也成為了進入我們公司的第一名朝鮮 IT 工人，同時是我們調查檔案中的第一號人物。
面試前，Andy 和 Angelo 商定了一個簡單的說辭：他們會告訴 CEO（我），Benito 已經認識 Angelo，並且親自為他做了擔保，同意他加入公司。
就這樣，我們的第一次面試開始了。Angelo 是一位皇家馬德里球迷，擁有數學背景，將負責開發公司的智能合約。
Angelo 的面試（YouTube 觀看視頻）
面試期間，我們要求 Angelo 掃描一個二維碼以確認出席。他照做了，當然，也中了最老套的圈套。該二維碼悄然將他重定向到我們的一個 Canary Token，記錄了觸發者的 IP 地址、用戶代理等信息。當時，這似乎是個小失誤。但後來，它成為了揭露一個更大陰謀的關鍵證據。我們稍後會談到這一點。現在，我們只為交到了新朋友而高興。
作為朋友，我們解釋說 Ballena Azul 是一個完全基於信任的環境，我們只打算招募真正可以信賴的人。Angelo 心中已有人選：他的朋友 Jack Anderson（一帶一，繼續開始推薦其他黑客組織成員）。
Jack 明顯更為沉默，英語也不太流利。在整個面試過程中，我們多次發現他瞥向屏幕外，彷彿在看著另一個顯示器上運行的實時翻譯工具——這也是「Famous Chollima」的標準工具之一。和 Angelo 一樣，Jack 也學過數學，支持皇家馬德里，且不苟言笑。儘管如此，他還是說服了我們，我們歡迎他加入 Ballena Azul LTD，擔任前端開發人員。
事情一環扣一環，在這行裡，每個人都需要一個值得信賴的人。Jack 推薦了 Lucas Theo，一位資深後端開發人員。我們面試了他。他理解職位要求，表現出對該職位的濃厚興趣，甚至還跟我們聊起了他的狗 Lulú、在菲律賓的蜜月旅行以及對徒步旅行的熱愛。我們沒有任何理由懷疑他。
於是，我們也同樣歡迎他加入 Ballena Azul 大家庭。
至此，他們組成了實施驚天劫案的完美團隊。而我們這邊，則擁有了滿屋子的「千里馬」，等待著被馴服。
但你知道，任何高明的謊言都需要文件佐證——大量的文件。
第五章：冒名頂替者
是時候簽署合同，鞏固我們的同盟了。但作為一名經驗豐富的 CEO，我需要對新員工進行簡單的背景調查。要求提供身份證件應該就足夠了吧？我還索要了他們的地址、加密貨幣錢包和銀行賬戶信息——標準的入職文書流程。
Jack 發來了一張德克薩斯州奧斯汀市的駕照（據稱他住在那兒），以及有效的社保號和堪薩斯城 Lead Bank 的銀行賬戶。
Lazarus Jack 的假駕照
Angelo 則大膽得多。他聲稱住在德克薩斯州的帕薩迪納，卻發來了一張加利福尼亞州的駕照，以及一個紐約的花旗銀行賬戶。
Angelo 的駕照
最有趣的部分隱藏在元數據（metadata）中。多個 EXIF 條目顯示，該圖片曾用 Google Gemini 處理過，並且嵌入了 SynthID 水印。結合明顯的視覺 inconsistencies，偽造幾乎一目了然，而他本人卻渾然不覺。
