為了抓朝鮮黑客，他們做了個假項目

原文標題：Smile, You're on Camera. Part 2: Hiring Lazarus APT's IT Workers in a Fake DeFi Startup
原文來源：ANY.RUN
原文編譯：秦曉峰，Odaily 星球日報

編者按：經常被釣魚的加密朋友，大概都聽過朝鮮黑客組織的 Lazarus Group，其比較知名的「戰役」包括但不限於：Bybit（15 億美元）盜竊案、Ronin Network / Axie Infinity 橋攻擊（6.2 億美元）、DMM Bitcoin / Ginco 相關攻擊（3.08 億美元）、Harmony Horizon Bridge 攻擊（1 億美元）、Atomic Wallet 攻擊（1 億美元）等。

而這些攻擊成功的關鍵，離不開社會工程學------黑客通常會偽裝成正常的應聘，經年累月地潛伏加密公司，靜待時機。

最近，安全機構 ANY.RUN 聯合 BCA LTD（該公司致力於威脅情報和狩獵）以及 NorthScan（一項揭露朝鮮 IT 工作者滲透的威脅情報計劃），三方聯手佈局，有效打擊了朝鮮黑客特工。

研究人員創建了一個虛假的 DeFi 初創公司，並成功招募了朝鮮 Lazarus Group 旗下專攻人力滲透的「Famous Chollima」特工，從而獲得了對朝鮮 IT 工作者行動的內部視角。ANY.RUN 沙箱環境實時展現了特工的行為模式，暴露了他們不斷演變的工具集、遠程訪問工作流程、AI 工具的使用情況及其支撐基礎設施。

本次調查超越了單純的招聘環節，深入展示了這些特工入職後如何協作、如何獲取並利用公司資源。研究結果表明，朝鮮 IT 工作者計劃不僅構成招聘風險；一旦特工潛入組織內部，他們就能合法地獲取代碼、系統、知識產權和關鍵業務流程的訪問權限。

以下是三方共同撰寫的報告，由 Odaily 星球日報 編譯，Enjoy～

引言

去年 12 月，我們首次完整記錄了「Famous Chollima」的滲透周期。從招募同夥以幫助他們入職西方公司，到偽造證件、將筆記本電腦運至中間人住所，甚至在面試期間使用 AI 工具進行實時協助和翻譯，全程盡在掌握。

在那次調查中，我們偽裝成願意替他們參加面試並借出筆記本電腦的中間人，以此換取他們薪資的一定比例。關鍵在於，那些筆記本電腦實際上是 ANY.RUN 沙箱環境，記錄了他們每一次點擊和每一步操作。這為我們提供了海量指標、長達數小時的電腦操作錄像和面對面接觸的影像資料，成就了一項史無前例的調查，並登上了眾多媒體的頭條。

（「Famous Chollima」招募者，代號「烈焰」的 Aaron）

這絕非易事，需要投入數月心血，在摸清他們底細的同時扮演其犯罪同夥。而今天，我們決定更進一步。

這一次，我們不再假扮中間人，而是搖身一變，成為了 Ballena Azul LTD 的創始人。這是一家全新的 DeFi 協議公司，直接與跨鏈的加密貨幣巨鯨合作，正在尋找開發人員來構建其平台。他們是我們可以託付巨額資金的開發者------數額之巨，遠超你和所有朋友口袋裡的錢，多到你數逗號都數不過來。

Ballena Azul LTD 網站

這一新篇章可謂應有盡有：一位過度自信、不對員工進行背景調查的 CEO；持有偽造文件的冒牌開發者；用作洗錢的騙子帳戶；偽裝成風險投資家的記者；以及一位最終引爆全局的意大利律師。

來吧，好戲已經開場！

第一章：The Chollimas

首先簡單介紹一下我們的主要對手。Famous Chollima 是朝鮮 Lazarus 組織旗下的眾多分支之一。其目標簡單直接：受雇於西方公司。

他們瞄準那些情報價值和資金都極為豐厚的行業中的遠程職位。**加密貨幣、金融和醫療保健歷來是他們的首選目標，**而近期的行動已擴展到製藥、土木工程、建築和其他領域。為了獲得這些職位，他們依賴偽造的身份、虛假的簡歷、代面試、遠程協助者和幽靈開發者，所有人協同合作，讓公司确信他們雇佣的人就是其聲稱的那個人。

（Bitso Quetzal 團隊在公司面試期間抓獲的朝鮮特工）

與傳統入侵不同，他們的目標並非在數小時或數天內攻陷一家組織，而是要成為其一部分。成功入職可提供數月甚至數年的持續訪問權限，包括內部系統、源代碼、知識產權和企業決策流程，同時還能賺取合法工資，並最終將資金輸送回朝鮮政權。

這使得「Famous Chollima」成為一種截然不同的威脅。惡意軟件行動可以在一夜之間產生驚人效果，但這些行動本身也噪音巨大，且伴隨著顯著的暴露風險。相比之下，員工暴露的風險性較低。他們被信任的時間越長，收集情報、影響決策並逐步融入組織的機會就越大。如果足夠多的特工在同一家公司內獲得職位，他們最終可能影響工程決策、代碼審查、拉取請求、審批或其他基於信任的流程，而無需利用任何軟件漏洞。

深知他們積極尋覓此類機會，我們決定主動為他們創造一個。

第二章：公司

答案就是 Ballena Azul LTD。

從表面上看，這是「Famous Chollima」夢寐以求的公司：一個與跨多條區塊鏈的加密貨幣巨鯨合作的 DeFi 協議，正在尋找經驗豐富的開發者來幫助構建平台。

該協議本身很簡單。通過結合 NFT 和其他鏈上機制，巨鯨錢包可以自願表明身份並公開宣示所有權。其理念是在大額資金流動時減少不必要的市場投機，避免引發生態系統恐慌的交易平台被黑、錢包被盜、退出騙局等謠言。

OpenSea NFT 市場上的 Ballena Azul LTD

一切都必須顯得真實可信。專業的網站、企業品牌、文檔、線上形象，以及最重要的是，一個說得通的產品。我們這麼做，並非期望投資者會相信，而是因為我們預料到他們會（上鉤）。

（英國公司註冊處已有的 Ballena Azul LTD 註冊信息有助於增強公司合法性。該實體與我們的行動無關）

我化身為 Leonardo Nelson，Ballena Azul LTD 的聯合創始人。我的商業夥伴 Benito 將從意大利加入我們的會議。同時，Heiner 再次扮演 Andy Jones，即第一集中的開發者和協助者。這次他是 Ballena Azul 的技術主管，並由 Benito 親自向我推薦。

在基礎設施方面，我們選擇了最值得信賴的提供商：ANY.RUN。現在，萬事俱備，只欠開發者。

幸運的是，Andy 正好認識這個職位的合適人選：Angelo Cruz，一位渴望出人頭地的「Famous Chollima」對外招聘人員。

第三章：馬販子

Angelo Cruz 是在 GitHub 上結識 Andy 的。他們開始聊天，不久後，Cruz 說服 Andy 合作，由 Andy 充當其信任的協助者，幫助他的開發者們找到工作。

Angelo 在 GitHub 上尋找協助者的評論

Andy 同意了，並很快向 Angelo 介紹了 Ballena Azul LTD（我們的公司），稱之為絕佳機會。按照計劃，Ballena Azul LTD 將成為又一待宰羔羊。畢竟，我們信任 Andy 的判斷，他選中的人，我們都歡迎。

與 Famous Chollima 的面試（YouTube 觀看視頻）

為了製造虛假的信任感，Andy 提出可以借給他們他兄弟的身份證，但最終並未用上。不久之後，Angelo 又向我們介紹了我們的第一位工程師：Angelo Espree（好戲開場了）。

第四章：團隊

Angelo Espree 是第一個接受 Ballena Azul LTD 職位的人，也成為了進入我們公司的第一名朝鮮 IT 工作者，同時是我們調查檔案中的第一號人物。

面試前，Andy 和 Angelo 商定了一個簡單的說辭：他們會告訴 CEO（我），Benito 已經認識 Angelo，並且親自為他做了擔保，同意他加入公司。

就這樣，我們的第一次面試開始了。Angelo 是一位皇家馬德里球迷，擁有數學背景，將負責開發公司的智能合約。

Angelo 的面試（YouTube 觀看視頻）

面試期間，我們要求 Angelo 掃描一個二維碼以確認出席。他照做了，當然，也中了最老套的圈套。該二維碼悄然將他重定向到我們的一個 Canary Token，記錄了觸發者的 IP 地址、用戶代理等信息。當時，這似乎是個小失誤。但後來，它成為了揭露一個更大陰謀的關鍵證據。我們稍後會談到這一點。現在，我們只為交到了新朋友而高興。

作為朋友，我們解釋說 Ballena Azul 是一個完全基於信任的環境，我們只打算招募真正可以信賴的人。Angelo 心中已有人選：他的朋友 Jack Anderson（一帶一，繼續開始推薦其他黑客組織成員）。

Jack 明顯更為沉默，英語也不太流利。在整個面試過程中，我們多次發現他瞥向屏幕外，仿佛在看著另一個顯示器上運行的實時翻譯工具------這也是「Famous Chollima」的標準工具之一。**和 Angelo 一樣，Jack 也學過數學，支持皇家馬德里，**且不苟言笑。儘管如此，他還是說服了我們，我們歡迎他加入 Ballena Azul LTD，擔任前端開發人員。

Jack 的面試（YouTube 觀看視頻）

事情一環扣一環，在這行裡，每個人都需要一個值得信賴的人。**Jack 推薦了 Lucas Theo，一位資深後端開發人員。**我們面試了他。他理解職位要求，表現出對該職位的濃厚興趣，甚至還跟我們聊起了他的狗 Lulú、在菲律賓的蜜月旅行以及對徒步旅行的熱愛。我們沒有任何理由懷疑他。

於是，我們也同樣歡迎他加入 Ballena Azul 大家庭。

Lucas 的面試（YouTube 觀看視頻）

至此，他們組成了實施驚天劫案的完美團隊。而我們這邊，則擁有了滿屋子的「千里馬」，等待著被馴服。

但你知道，任何高明的謊言都需要文件佐證------大量的文件。

第五章：冒名頂替者

是時候簽署合同，鞏固我們的同盟了。但作為一名經驗豐富的 CEO，我需要對新員工進行簡單的背景調查。要求提供身份證件應該就足夠了吧？我還索要了他們的地址、加密貨幣錢包和銀行賬戶信息------標準的入職文書流程。

Jack 發來了一張德克薩斯州奧斯汀市的駕照（據稱他住在那兒），以及有效的社保號和堪薩斯城 Lead Bank 的銀行賬戶。

Lazarus Jack 的假駕照

Angelo 則大膽得多。他聲稱住在德克薩斯州的帕薩迪納，卻發來了一張加利福尼亞州的駕照，以及一個紐約的花旗銀行賬戶。

Angelo 的駕照

最有趣的部分隱藏在元數據（metadata）中。多個 EXIF 條目顯示，該圖片曾用 Google Gemini 處理過，並且嵌入了 SynthID 水印。結合明顯的視覺 inconsistencies，偽造幾乎一目了然，而他本人卻渾然不覺。

Angelo 駕照的元數據

如果說這已經夠大膽了，那麼 Lucas 更是技高一籌。

他沒有發送自己名下的文件，而是分享了一張屬於 Pui Chin Teoh 的紐約駕照，以及一個 Wise 銀行賬戶。與 Angelo 的文件不同，元數據顯示這是一張用 iPhone 15 拍攝的真實照片。

對我們來說遺憾的是，GPS 坐標已被剝離。我們猜測 Pui Chin 是一個真實存在的人，可能為了 KYC 流程或類似目的拍攝了自己的駕照，而這張照片後來被洩露，最終落入 Lucas 手中。

Lucas 駕照的元數據

至此，我們掌握了偽造身份、被盜的社保號、用作洗錢的駝子賬戶、可能的協助者安全屋，以及帶有交易歷史的加密貨幣錢包。

所以，終於是時候讓我這支全明星團隊開工了。我們還沒有準備好要運送的筆記本電腦，但這不成問題。我們告訴他們，我們的供應商已經為我們設置了虛擬桌面，他們可以立即開始工作。那個供應商，就是 ANY.RUN。

第六章：朝鮮任務

捕獲面對面的影像資料與記錄機器內部發生的所有事情同等重要，兩者提供了同一謎題的不同碎片。ANY.RUN 允許我們記錄系統內打開的每一個文件、每一次網絡連接，以及幾乎每一次點擊，沒有一個字節能逃過我們的實時監控。這些實例是為本次行動特別定制的，像真正的 VDI 一樣持續運行數小時。

我們啟動三個獨立實例，為每位開發者分配各自的環境，是時候觀察他們工作了。

**第一天，Angelo 和團隊幾乎使用了與其他朝鮮黑客完全相同的手法來偵察他們的機器。**他們首先運行 dxdiag（DirectX 診斷工具）、systeminfo 和 wmic 來獲取系統詳細信息，然後通過訪問合法的 IP 查詢網站（這次是 IP8）來檢查他們顯示的地理位置。

一切看起來都很正常，於是 Angelo 覺得足夠安全，可以登錄他的谷歌賬戶，安裝 Google Remote Desktop（正如我們在第一集中所見），並將他的賬戶與機器同步。

是的，同步他的賬戶。

一次價值數百萬的誤觸

對於那些不熟悉谷歌賬戶同步工作原理的人來說，這意味著該用戶的所有存儲信息都將在此設備上可用，包括瀏覽歷史、搜索歷史、保存的密碼和已安裝的擴展程序。**僅僅因為一次誤點，他的一切信息盡在我們掌握。**在之前的調查中，這讓我們得以識別「Famous Chollima」的工具集，包括他們在求職過程中使用的 AI 工具。

然而，他似乎並未察覺，只是繼續登錄他的 GitHub 賬戶，一切如常。

團隊在多條戰線上快速推進，但這並不意味著他們做對了事情。

Jack 努力打造一個看起來不那麼像 Vibe 代碼那樣千篇一律、與互聯網上一半的網站都一樣的前端，而 Angelo 和 Lucas 則在後端和智能合約方面苦苦掙扎。

**他們用谷歌搜索基礎知識，比如如何構建可升級的智能合約，**導入了一個現有的 MetaMask 錢包，然後艱難地從測試網水龍頭湊一些加密貨幣。有一次，他們甚至將測試網 URL 粘貼到了錢包地址欄，最後向 ChatGPT 抱怨說「現在它們都需要真金白銀了」。

Angelo 使用 ChatGPT

接著，他們在自己的代碼倉庫中繼續工作，由於未能從任何水龍頭領取代幣，現在只能使用完全虛構的資產進行開發。此時此刻，我們嚴重懷疑這是否是正確的商業決策。Ballena Azul 的下一季度財報看起來不容樂觀。

或許只是今天工作不順心，每個人都有那麼幾天。於是，我們決定讓情況變得更糟一點。

之前，我們曾引入了人為故障和網絡中斷來拖慢特工速度，然後立即指責他們「弄壞了」我們借給他們的筆記本電腦。這次，我們保留了選擇性網絡中斷，同時還讓鼠標光標隨機消失。

（Angelo 調試選擇性網絡中斷）

每當他們抱怨時，我們就告訴他們，我們供應商的一位 IT 支持人員會連接過來解決問題。

接下來發生的一幕，出人意料地讓人想起第一集中 Aaron 對 Andy 做的事，只不過這次是發生在 Angelo 和我們的一位「IT 支持」人員之間：通過記事本聊天。

你在嗎？（YouTube 觀看視頻）

他們的 vibecoding 會話仍在繼續，現在他們正努力解決 NPM 安裝故障的問題，並應對偶爾出現的網絡中斷，同時還要在 Remix 和 Visual Studio 之間切換 ChatGPT 的結果，希望一切順利。

用 ChatGPT 調試 Node.js 問題

他們很忙，人手不足，技能不足，第一周的截止日期迫在眉睫，這正是召喚本系列一位老反派------「驗證碼地獄」的絕佳時機。

（Angelo 陷入無盡的驗證碼循環）

在應付了幾分鐘驗證碼後，一次網絡故障「迫使 VDI 被銷毀」，所有未保存的進度瞬間化為烏有。

日子一天天過去，千里馬們在馬廄裡橫衝直撞，留下的不僅有錯誤的代碼，還有大量痕跡：遍布全球的 AstrillVPN 出口節點、聊天記錄、與 AI 代理的對話、錢包地址，以及數小時的人臉錄像。

（構築夢想）

但比所有這些都更好的是，他們暴露了更有趣的東西，被當場抓獲：用作代理和跳板以接入 VDI 的特工伺服器。

這一發現極具價值，因為他們的伺服器往往壽命較長，經常被回收利用，有時會托管多個惡意軟件家族，反映了其行動隨時間的演變，並在其生命周期結束時，在整個威脅情報領域積累大量標籤。

其中一個伺服器就是這種情況，但另外兩個伺服器幾乎未被發現，僅被標記為「掃描器」（「此主機進行端口掃描」）和------頗為奇怪地------「蜜罐」。

然而，隨著日子一天天過去，不僅我們的情報收集在增長，Ballena Azul LTD 也在壯大。它壯大到引起了某人的注意，一位希望會見下一個加密獨角獸團隊的人：一位 VC 投資人。

第七章：投資人

Aelin Ashriver 先生供職於 Definitive Communications（縮寫為 Def-Comm），並對資助我們的夢想表示出興趣。我們與團隊進行了多次「演練」，排練我們的團隊敬禮：「你好，Def Comm，我們是 Ballena Azul LTD！」當大日子最終到來時，一切進展順利。

會議期間，Ashriver 先生問我們是否有興趣獲得一些媒體關注，提到他可以幫忙，甚至聲稱與 Cointelegraph 關係密切。

實際上，Ashriver 先生是 Yohan Yun，Cointelegraph 的韓國通訊員，一直都是我們的同謀。而你，親愛的讀者，以為我們劇情反轉已經結束了吧。

Definitive Communications 決定投資 Ballena Azul LTD，你幾乎可以看到美元符號烙印在他們的視網膜上。他們仿佛已嘗到金錢滾滾而來的滋味。在初創公司獲得首批職位之一通常意味著獲得一個受信任的位置，他們幾乎能感覺到冷錢包私鑰就在蹄尖。

我們正登頂巔峰。但所有上升的......終將下落。於是，我們的敗亡開始了。

第八章：律師

我說過我們還有更多反轉。相信我，這還不是最後一個。

到目前為止，Heiner（Andy）和我（Leonardo Nelson）每天都在與 Jack、Angelo 和 Lucas 一起工作。但如果你一直留意，這個等式中還有一個名字：Benito 先生，我的聯合創始人（由我們的朋友 Alejo 扮演）。他之前在米蘭忙於工作和生活，信任我們在他離開期間打理好一切。然而，當他回來時，發現我們把房子變成了馬廄，他對此非常不滿。

Anderson 先生的多種人生（YouTube 觀看視頻）

第一個逃跑的是 Angelo，完全嚇壞了。Jack 花了更長時間才明白發生了什麼（主要靠實時翻譯工具）。Benito 充分利用了這一點，在我們將近憋不住笑的時候，拋出一個又一個《黑客帝國》的梗（「我會儘可能坦率，Anderson 先生」，「你過著雙重人生嗎，Anderson 先生？」）。一旦 Jack 最終理解了情況，他也直接離開了。

但這並未結束。我們的 Telegram 頻道變成了我------被背叛的 CEO------和 Andy------對雇傭法持相當鬆散態度的員工------之間的對罵。

我指責他（Andy）帶進了「非法勞工」，仍然假裝不完全理解真正發生了什麼，並告訴他這會給我惹麻煩。

他反擊說，他是在巨大壓力下才迅速組建團隊，而我付給他的錢不夠完成這項任務。他已在現有條件下盡了最大努力。

爭論持續了一會兒，直到我決定不僅結束我們的合作關係，還有我們的友誼，告訴他如果還有什麼要說的，可以通過我的助理或 Benito 轉達。

在一個我真心尊重的人性化舉動中（我是認真的），Angelo 私下聯繫了 Andy，問他是否安好，並對我們之間發生的事情表示遺憾。

我們再也沒從團隊其他人那裡聽到任何消息，他們至今仍不知道他們是被反向間諜的對象。

番外篇 I：再一再二還再三

如果我們的第二季不能安排一個在第一季中神秘消失無蹤的回歸角色，那算什麼好戲？

到我們組建團隊時，已經深陷其中無法退出，所以我們做了其他人在此情形下會做的事：繼續前進，招募我們的第五位披頭士。但這位是你們和我們的老相識。你們自己聽聽，大概能認出那個聲音。

你還活著！（YouTube 觀看視頻）

Aaron Schulz（上一次調查中的朝鮮黑客）英雄歸來，並表示願意加入 Ballena Azul LTD，但最終，我們存在某些不可調和的分歧：他未能提供帶照片的身份證，「至少得等一個月，直到我們能發第一筆工資」。所以，他最終只客串了一小下，但我們很高興知道他安好。

番外篇 II：止咳糖漿

還有一個有趣的驚喜。如果你的實時翻譯軟件在每日站會中突然出故障，你會怎麼做？

這發生在 Jack 身上，就在我們某次每日站會期間。我們注意到，隨著他發言順序臨近，**他在會議角落裡顯得越來越慌張，我們立刻明白他那邊出了狀況，極有可能是他的即時翻譯工具。**
於是，他以男人的方式應對了局面：**假裝咳嗽。**
 > 止咳糖漿（YouTube 觀看視頻）
他已經準備好必要時假裝暈倒，所以我們這次就假裝沒看見。
好了，這是我們最後的驚喜、趣聞或奇怪的錄影帶了。
在結束本集之前，讓我們稍微回溯一下。記住，儘管這些家伙很有趣，但他們仍然對我們的公司和資產構成威脅。也許並非自願，也許並非選擇，但他們確實構成了威脅。
所以，讓我們分析一下他們最新的工具集，更新我們自去年 12 月最近一次交鋒以來所見以及變化之處。
Famous Chollima 新工具集與基礎設施 -------------------------
此列表僅包含我們在此新篇章中觀察到的工具，可能會隨時間的推移或在不同特工集群中有所不同。
· AnyDesk, Google Remote Desktop：遠程桌面軟體。
· AstrillVPN：VPN 服務。
· 瀏覽器擴展：Saved Prompts for GPT, Simplify Copilot, AIApply, Final Round AI。
· ChatGPT：寫作和編碼。他們嚴重依賴它來詢問關於自己不懂之處的瑣碎問題，甚至用它完成工作任務而不是問我們。
· Google Gemini：圖像修改，尤其是文件偽造。
· 2fa.cn：在特工間共享雙因素驗證碼。我們注意到他們不再使用之前交鋒中見過的 authenticator.cc 或 otp.ee。
· Cursor, Visual Studio Code 和 Remix：編碼。
· MetaMask, Bitget Wallet：加密貨幣錢包。
· ip8.com：檢查他們的出口 IP 地址。
· Outlook.com：之前，我們在這些交鋒中只觀察到他們使用 Gmail。
· 系統工具：dxdiag, systeminfo, wmic。
· VPS：Vultr, Gorilla Servers。
本次行動至此結束。遺憾的是，是時候說再見了！最後提醒所有公司，雖沒有萬全之策，但經典策略仍然適用：
· 做好背景調查和 KYC。如果你是一家遠程優先的公司，讓它們定期進行，並包含面對面核實。
· 培訓你的招聘人員識別危險信號。他們是保護你公司的第一道防線。
· 立即屏蔽 AstrillVPN，以及所有拒絕配合下架或執法機構要求的服務。
· 如果你發現 Famous Chollima 成員，通過記錄他們的面孔並與情報界分享來讓他們真正「出名」。你將幫助提高認知度，並可能阻止一家不知情的公司雇用間諜甚至面臨制裁。
**永遠懷疑**
**不要相信任何人**
**別忘了微笑，你上鏡了**
> 原文鏈接