สรุปสั้น
ผู้ก่อภัยคุกคามชาวเกาหลีเหนือที่อยู่เบื้องหลังแคมเปญ Contagious Interview ได้เจาะอุปกรณ์อย่างน้อย 30,000 เครื่องในกว่า 100 ประเทศ และดูดเงินหรือข้อมูลรับรองบัญชีจากกระเป๋าเงินคริปโตเคอร์เรนซีมากกว่า 7,000 ใบ ตามคำแนะนำร่วมด้านความมั่นคงไซเบอร์ฉบับใหม่จากหน่วยงานของญี่ปุ่น สหรัฐฯ ออสเตรเลีย และเยอรมนี ประเมินว่ากลุ่มนี้ขโมยคริปโตไปแล้วมูลค่าอย่างน้อย 10.71 ล้านดอลลาร์สหรัฐ โดยเป้าหมายหลักคือนักออกแบบเว็บ วิศวกร และผู้เชี่ยวชาญด้านคริปโตเคอร์เรนซี บล็อกเชน และเทคโนโลยี Web3 รายบุคคล
แคมเปญนี้อาศัยการปลอมตัวเป็นนายจ้างหรือผู้สรรหาพนักงานเพื่อทาบทามเหยื่อผ่านแพลตฟอร์มโซเชียลอย่าง LinkedIn ด้วยข้อเสนองานที่น่าดึงดูด ก่อนจะหลอกให้ทำแบบทดสอบเขียนโค้ดที่ทริกเกอร์ห่วงโซ่การติดมัลแวร์หลายขั้น ชุมชนความปลอดภัยติดตามกลุ่มนี้ภายใต้หลายชื่อ เช่น Famous Chollima, WaterPlum, DeceptiveDevelopment, UNC5342 และ Void Dokkaebi งานนี้เชื่อมโยงอย่างแนบแน่นกับปฏิบัติการ IT worker เกาหลีเหนือที่หารายได้เข้ารัฐผ่านการสมัครงานด้วยตัวตนปลอม ซึ่ง Cloud Thunder เคยรายงานแง่มุมการใช้ตัวแทนหน้ากล้องและ AI ไว้ในโพสต์ 131
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 22 กันยายน พ.ศ. 2569 ว่า หน่วยงานด้านความมั่นคงไซเบอร์และข่าวกรองจากญี่ปุ่น สหรัฐฯ ออสเตรเลีย และเยอรมนี ออกคำแนะนำร่วมเปิดโปงขอบเขตของแคมเปญ Contagious Interview
คำแนะนำระบุว่ากลุ่มภัยคุกคามนี้ “ก่อการโจมตีไซเบอร์ด้วยการแทรกซึมเข้าเครือข่ายคอมพิวเตอร์ของผู้หางานที่ไม่ทันระวังตัว เก็บเกี่ยวข้อมูลอ่อนไหว และขโมยคริปโตเคอร์เรนซี” ชุมชนความปลอดภัยในวงกว้างติดตามกิจกรรมนี้ภายใต้หลายชื่อรหัส ได้แก่ CL-STA-0240, DeceptiveDevelopment, DEV#POPPER, Famous Chollima, Gwisin Gang, PurpleBravo, Tenacious Pungsan, UNC5342, Void Dokkaebi และ WaterPlum
รายงานยังชี้ว่ามีข้อสงสัยว่าทั้ง WaterPlum และ IT worker เกาหลีเหนือบางส่วน (หรือที่รู้จักในชื่อ PurpleDelta หรือ Wagemole) ปฏิบัติงานภายใต้ “สำนักงานใหญ่ที่ 313” ของกรมอุตสาหกรรมยุทโธปกรณ์ ซึ่งสอดคล้องกับการประเมินของบริษัท DTEX เมื่อเดือนมิถุนายน 2568 ยิ่งไปกว่านั้นทั้งสองคลัสเตอร์ยังเชื่อมโยงกันอย่างลึกซึ้ง ในบางกรณีถึงกับใช้ที่อยู่ IP เดียวกันเมื่อเข้าถึงฟาร์มแล็ปท็อปและสมัครงานที่ตลาดแลกเปลี่ยนคริปโตในญี่ปุ่น
Contagious Interview ซึ่งถูกเปิดโปงครั้งแรกโดยบริษัท Palo Alto Networks Unit 42 เป็นแคมเปญที่ดำเนินมายาวนานตั้งแต่อย่างน้อยปี 2565 พุ่งเป้าไปยังนักพัฒนาซอฟต์แวร์และผู้เชี่ยวชาญไอทีทั่วโลก เมื่อสร้างความไว้ใจได้แล้ว ผู้โจมตีจะสั่งให้เป้าหมายทำแบบประเมินหรือทดสอบเขียนโค้ด ซึ่งทริกเกอร์ห่วงโซ่การติดเชื้อหลายขั้นตอนที่นำไปสู่การติดตั้งมัลแวร์หลายตระกูล
วิธีการโจมตี
ห่วงโซ่การติดเชื้อของ Contagious Interview นำไปสู่การวางมัลแวร์หลายตระกูล รวมถึง BeaverTail, InvisibleFerret, FlexibleFerret, GolangGhost, PylangGhost, OtterCookie, RATatouille, OtterCandy และ StoatWaffle จากนั้นสิทธิ์การเข้าถึงแบบแบ็กดอร์ที่ได้มาจะถูกนำไปใช้ส่งโทรจันควบคุมระยะไกล (RAT) เพื่อคงการเข้าถึงถาวรและดึงข้อมูลออก
หน่วยงานระบุว่าผู้ปฏิบัติการบางรายของ WaterPlum ยังทำงานในฐานะ IT worker เกาหลีเหนือ รับงานออกแบบและพัฒนาระบบเว็บให้ลูกค้าองค์กร และมีการระบุตัวและทลายฟาร์มแล็ปท็อปที่ดำเนินการโดยผู้อำนวยความสะดวกในญี่ปุ่นได้แล้ว WaterPlum ยังถูกพบว่าใช้แพลตฟอร์มแชตออนไลน์ติดต่อกับนักพัฒนาในสหรัฐฯ และญี่ปุ่น ควบคู่กับการใช้ผู้อำนวยความสะดวกในญี่ปุ่น สหรัฐฯ และประเทศอื่นเพื่อจัดตั้งและบริหารฟาร์มแล็ปท็อปสำหรับจัดการอุปกรณ์จากระยะไกล “นอกเหนือจากการขโมยข้อมูลรับรองในทันที การติดเชื้อที่สำเร็จยังเปิดโอกาสให้ผู้ปฏิบัติการ WaterPlum แทรกซึมเข้าองค์กรที่จ้างนักพัฒนาที่ตกเป็นเป้า เพื่อสอดแนม ขโมยทรัพย์สินทางปัญญา และเคลื่อนตัวในแนวข้างในสภาพแวดล้อมองค์กร” หน่วยงานระบุ พร้อมเสริมว่าภาพบัตรประชาชนที่ขโมยมายังถูกนำไปใช้ให้ IT worker สวมรอยเป็นเหยื่อเพื่อหารายได้เป็นเงินตราต่างประเทศ
ปฏิบัติการ IT worker และการใช้ Discord จ้างตัวแทน
เสริมกับขีดความสามารถเชิงรุกของเกาหลีเหนือคือ “ปฏิบัติการ IT worker” ที่มีหน้าที่หารายได้ผิดกฎหมายให้ระบอบด้วยการเข้าไปรับงานในบริษัทตะวันตกและที่อื่น ๆ ภายใต้ตัวตนปลอม และพึ่งพา AI มากขึ้นในการสร้างตัวตนปลอมและขยายกิจกรรมไปทั่วโลก บริษัท Sekoia อธิบายว่าโครงการ IT worker เป็นการปรับใช้แนวปฏิบัติที่มีมาแต่เดิม ซึ่งการส่งแรงงานเกาหลีเหนือไปทำงานต่างประเทศเพื่อหาเงินตราต่างประเทศมีมาตั้งแต่ทศวรรษ 1960-1970 เริ่มจากงานตัดไม้ในตะวันออกไกลของสหภาพโซเวียตก่อนขยายสู่งานก่อสร้าง สิ่งทอ และร้านอาหารในรัสเซีย จีน อ่าวเปอร์เซีย และแอฟริกา
จากการวิเคราะห์โครงสร้างพื้นฐานภายในเมื่อเดือนกรกฎาคม 2569 บริษัท Kudelski Security ระบุว่าเป้าหมายหลักดูจะเป็นสหรัฐฯ และญี่ปุ่น โดยผู้ก่อภัยใช้บริการ VPN อย่าง Astrill VPN และ Mullvad เพื่อให้ได้ exit node ในประเทศเหล่านี้ ส่วนในรายงานเมื่อสัปดาห์ก่อน บริษัท Silent Push ระบุว่าพบ IT worker เกาหลีเหนือกระจายกลโกงรับสมัครงานปลอมผ่านเซิร์ฟเวอร์ Discord ชื่อ “Mouse Review” โดยเจาะจงจ้างบุคคลในสหรัฐฯ สหภาพยุโรป และละตินอเมริกามาเป็นตัวแทนเข้าสัมภาษณ์งานเพื่อหลบเลี่ยงมาตรการคว่ำบาตร การบล็อกตามภูมิภาค และการตรวจสอบการปฏิบัติตามข้อกำหนด โฆษณางานที่สร้างด้วย AI เสนอค่าตอบแทนราว 3,000–5,000 ดอลลาร์แก่ผู้ที่ได้งาน พร้อมแบ่งสัดส่วนรายได้ 35% ให้ตัวแทน และ 65% ให้ IT worker เกาหลีเหนือ (แง่มุมนี้ Cloud Thunder รายงานไว้ในโพสต์ 131 )
ผลกระทบ
แคมเปญนี้สะท้อนว่าเกาหลีเหนือได้เปลี่ยนกระบวนการจ้างงานและการสัมภาษณ์งานให้กลายเป็นช่องทางโจมตีที่ได้ทั้งเงินและการเข้าถึงองค์กร กลุ่มเป้าหมายที่เป็นนักพัฒนาและผู้เชี่ยวชาญคริปโตทำให้ความเสียหายไม่ได้จบที่การขโมยคริปโตของบุคคล แต่ยังเปิดประตูให้แทรกซึมองค์กรที่จ้างคนเหล่านั้น นำไปสู่การสอดแนม ขโมยทรัพย์สินทางปัญญา และการเคลื่อนตัวในเครือข่าย การที่กว่า 100 ประเทศได้รับผลกระทบและมูลค่าความเสียหายทะลุ 10 ล้านดอลลาร์ แสดงถึงขนาดของปฏิบัติการที่เป็นระบบและได้รับการสนับสนุนระดับรัฐ ทั้งยังใช้ตัวแทนต่างชาติและ AI เพื่อขยายผลและอำพรางตัวตนได้แนบเนียนขึ้น
คำแนะนำ
- ให้ความรู้แก่นักพัฒนาและพนักงานเรื่องกลโกงสัมภาษณ์งานปลอม โดยเฉพาะข้อเสนอผ่าน LinkedIn หรือโซเชียลที่ให้ดาวน์โหลดโค้ดหรือทำ “แบบทดสอบเขียนโค้ด” บนเครื่องส่วนตัว
- ห้ามรันโค้ดหรือโปรเจกต์จากผู้สรรหางานที่ไม่รู้จักบนเครื่องที่มีข้อมูลสำคัญ ควรใช้เครื่องแยกหรือแซนด์บ็อกซ์
- องค์กรควรเข้มงวดกระบวนการตรวจสอบตัวตน (KYC/identity verification) ผู้สมัครงานทางไกล เฝ้าระวังการใช้เครื่องมือรีโมทและฟาร์มแล็ปท็อป
- เฝ้าระวังตัวชี้วัดของมัลแวร์ตระกูล BeaverTail, InvisibleFerret, OtterCookie และอื่น ๆ ที่ระบุในคำแนะนำร่วม รวมถึงพฤติกรรมการเชื่อมต่อออกที่ผิดปกติหลังการทดสอบเขียนโค้ด
- ผู้ถือครองคริปโตควรแยกกระเป๋าเงินสำคัญออกจากเครื่องที่ใช้งานทั่วไป และระวังการขอสิทธิ์เข้าถึงหน้าจอจากบุคคลที่อ้างเป็นผู้ว่าจ้าง