Un ricercatore ‘Vive’ tra gli hacker nordcoreani, scopre 1.640 vittime
Un ricercatore di sicurezza greco ha trascorso 22 mesi all'interno dei server di hacking nordcoreani. È uscito con un elenco di vittime di 1.640 organizzazioni in 57 paesi.
Vangelis Stykas è il direttore tecnico della società di sicurezza Kumio. Ha presentato i risultati questa settimana al Black Hat di Las Vegas.
Come i Cacciatori sono diventati i Cacciati
Stykas ha invertito l'ordine abituale. È riuscito a entrare nei server di comando e controllo che le squadre usano per gestire il loro malware.
In alcuni casi è atterrato sui loro computer personali. Gli hacker avevano infettato quelle macchine da soli.
Poi è semplicemente rimasto. Per quasi due anni li ha osservati lavorare e ha registrato ogni nuova vittima man mano che appariva.
Ha estratto circa cinque terabyte di dati. Conteneva chiavi di sviluppo, codice sorgente privato e i messaggi Slack e Discord delle squadre.
Questo accesso è il motivo per cui il conteggio è preciso. La maggior parte dei rapporti sulle minacce stima le vittime dall'esterno.
Questo ha contato le vittime dai file stessi degli attaccanti. Delle 1.640 organizzazioni, Stykas valuta da 700 a 800 come seriamente compromesse.
Seguici su X per ricevere le ultime notizie in tempo reale
In quei casi le squadre avevano accesso root ai server, permessi root di Amazon Web Services (AWS) o chiavi di portafogli di criptovalute.
Un'offerta di lavoro era l'unico exploit di cui avevano bisogno
Nessun difetto software ha aperto queste porte. Un'offerta di lavoro lo ha fatto.
I programmatori sono stati avvicinati con ruoli senior e stipendi elevati. Sono stati poi invitati a svolgere un test di codifica da casa. Il test ha installato malware.
I ricercatori di Palo Alto Networks hanno chiamato il modello Contagious Interview nel novembre 2023. Cinque aziende di sicurezza hanno da allora tracciato la stessa squadra sotto sei etichette diverse.
Microsoft ha pubblicato la propria analisi nel marzo 2026. Ha rintracciato la catena a pacchetti di codice falsi ospitati su GitHub, GitLab e Bitbucket.
Aprire uno di questi in Visual Studio Code attiva un prompt di fiducia. Approvalo, e l'editor esegue il codice degli attaccanti per loro.
“Integrando la consegna di malware mirato direttamente negli strumenti di colloquio, negli esercizi di codifica e nei flussi di lavoro di valutazione di cui i programmatori si fidano intrinsecamente, gli attori della minaccia sfruttano la fiducia che i cercatori di lavoro ripongono nel processo di assunzione,” si legge in un estratto di un blog sulla sicurezza di Microsoft di marzo.
Le backdoor cercano poi una breve lista della spesa. Microsoft nomina token API, credenziali cloud, chiavi di firma, portafogli crittografici e file di gestori di password.
L'assunzione è un punto debole ripetuto. Consensys ha catturato un sviluppatore nordcoreano nascosto nel proprio team, un mese dopo l'inizio del lavoro sul codice di MetaMask.
Un appaltatore, trenta porte d'ingresso
L'esca è economica. La portata no.
Stykas ha trovato appaltatori con credenziali attive per ben 30 aziende. Un singolo laptop infetto è diventato trenta vie d'accesso.
Il Boston Children’s Hospital mostra il modello. Stykas ha rintracciato la sua esposizione a un dispositivo personale di un ex appaltatore.
L'ospedale contesta la narrazione. Affermano di aver disattivato le credenziali entro poche ore e di non aver trovato segni di accesso ai propri sistemi.
Le squadre erano anche selettive. Potevano accedere a registri sanitari e database criminali, ma hanno ignorato entrambi.
Hanno puntato invece a portafogli e accesso alla blockchain. Coinbase e Uniswap Labs sono tra le organizzazioni che hanno agito in base ai suoi avvertimenti.
Quella disciplina si riflette nei totali. Le squadre legate alla Repubblica Popolare Democratica di Corea (DPRK) hanno rubato un totale di 2,02 miliardi di dollari in beni digitali durante il 2025.
CrowdStrike ha registrato questo come un aumento del 51% in un anno. Segnala anche una squadra che chiama GOLDEN CHOLLIMA per l'uso di esche di reclutamento per accedere agli ambienti cloud fintech.
Questa è la catena che Stykas ha osservato dall'interno. La via umana continua a vincere.
TRM Labs ha rintracciato il furto di 285 milioni di dollari del Drift Protocol di aprile a incontri di persona tra proxy nordcoreani e personale.
Due attacchi hanno prodotto il 76% delle perdite del 2026 da solo il 3% degli incidenti. Il totale accumulato di Pyongyang ora supera i 6 miliardi di dollari dal 2017.
Stykas afferma che nuove vittime stanno ancora emergendo nei dati. La maggior parte delle organizzazioni, ha avvertito, non ha mai risposto, motivo per cui gruppi come Crypto ISAC ora raccolgono l'intelligence sulle minacce della DPRK.
Fonte: BeInCrypto