Contagious-Interview

ESET ระบุว่า DeceptiveDevelopment กลุ่มสายเกาหลีเหนือ ขยับจากการหลอกนักพัฒนาด้วยงานปลอมมาเป็นการโจมตีซัพพลายเชน ระหว่างเมษายนถึงกันยายน 2569 กลุ่มนี้ใช้สิทธิ์ Git, SSH และ token ที่ขโมยจากนักพัฒนาแก้โค้ดใน repository ของเหยื่อ แล้วแต่ง commit history แพ็กเกจที่ถูกฝังกระจายผ่าน npm, Go module mirror, Packagist, PyPI และร้านส่วนขยายเบราว์เซอร์ ปลายทางเป็น OmniStealer และ DEV#POPPER RAT ที่ฝังตัวใน VS Code, Cursor และ Discord นักพัฒนาไม่ควรรันโค้ดจากผู้สรรหาบนเครื่องทำงาน

คำแนะนำร่วมด้านความมั่นคงไซเบอร์จากญี่ปุ่น สหรัฐฯ ออสเตรเลีย และเยอรมนี เตือนว่าผู้ก่อภัยเกาหลีเหนือเบื้องหลังแคมเปญ Contagious Interview เจาะอุปกรณ์อย่างน้อย 30,000 เครื่องในกว่า 100 ประเทศ และดูดเงินหรือข้อมูลจากกระเป๋าคริปโตกว่า 7,000 ใบ รวมมูลค่าอย่างน้อย 10.71 ล้านดอลลาร์ เป้าหมายคือนักพัฒนาและผู้เชี่ยวชาญคริปโต บล็อกเชน และ Web3 โดยหลอกผ่านการสัมภาษณ์งานปลอมและแบบทดสอบเขียนโค้ด

นักวิจัยพบกลุ่มแพ็กเกจ npm 13 ตัวที่ปล่อยสตีลเลอร์ JavaScript ตัวใหม่ชื่อ WeaselBiscuit ซึ่งมีฟังก์ชันทับซ้อนกับ BeaverTail และ OtterCookie สองมัลแวร์ในแคมเปญ Contagious Interview ของเกาหลีเหนือ แต่ตัวเล็กและเรียบง่ายกว่า มันถูกกระตุ้นผ่านการ import แพ็กเกจ ดึงมัลแวร์หลักจาก dead drop มารันในหน่วยความจำ แล้วดูดข้อมูลในที่เก็บของส่วนขยาย Chrome ทั้งบน Windows macOS และ Linux พร้อมบันทึกคลิปบอร์ดและคีย์บนเครื่อง Windows นักวิจัยยังไม่ฟันธงว่าเป็นฝีมือเกาหลีเหนือ

นักวิเคราะห์ของ OpenSource Malware พบเทคนิคซ่อนเซิร์ฟเวอร์สั่งการชื่อ NullReceiver ที่ฝังหมายเลข IP ไว้ในที่อยู่ผู้รับของธุรกรรม Ethereum ที่ไม่มีมูลค่าและไม่มีข้อมูลแนบ พบใช้งานในแพ็กเกจ npm ประสงค์ร้าย 2 ตัวที่ปลอมเป็นปลั๊กอินของ Tailwind CSS และเชื่อมโยงกับปฏิบัติการ Contagious Interview ที่มีเกาหลีเหนือหนุนหลัง เทคนิคนี้ต่างจาก EtherHiding ตรงที่ไม่ใช้ calldata หรือสัญญาอัจฉริยะ จึงตรวจจับได้ยากกว่า แต่ก็บรรจุข้อมูลได้จำกัดเพียงระดับหมายเลข IP เท่านั้น

บริษัท AllSecure เปิดเผยแคมเปญ malvertising บน macOS ที่เชื่อมโยงกับเกาหลีเหนือ ซึ่งเป็นวิวัฒนาการใหม่ของ Contagious Interview โดยเหยื่อคลิกผลค้นหาแบบสปอนเซอร์แล้วเจอหน้าอัปเดต macOS ปลอมเต็มจอที่แอบคัดลอกคำสั่งลงคลิปบอร์ดแล้วหลอกให้วางใน Terminal ตามเทคนิค ClickFix เพย์โหลดคือแบ็กดอร์ Node.js ที่ดึงที่อยู่เซิร์ฟเวอร์ควบคุมจากสัญญาอัจฉริยะ Ethereum แบบ EtherHiding แล้วโหลดตัวขโมยข้อมูลที่เล็งกระเป๋าคริปโต 157 ยี่ห้อ พร้อมส่วนขยาย Chrome ปลอมชื่อ Google Drive Offline สำหรับดูดเงินในกระเป๋า

บริษัท Socket พบแพ็กเกจ npm ใน namespace @joyfill สองตัวรุ่นเบต้าถูกฝังโค้ดอันตรายที่ทำงานทันทีที่ Node.js โหลด entry point ไม่ใช่ตอนติดตั้ง มัลแวร์ดึงเพย์โหลดผ่านธุรกรรมบนบล็อกเชน Tron, Aptos และ BNB Smart Chain ปลายทางเป็น RAT ตระกูล DEV#POPPER และอินโฟสตีลเลอร์ OmniStealer เชื่อมโยงกับคลัสเตอร์ PolinRider ในเครือ Contagious Interview ของเกาหลีเหนือ นักพัฒนาที่ติดตั้งไปแล้วต้องถอนออกจาก lockfile แคช และ build image พร้อมหมุนเปลี่ยนข้อมูลรับรอง

บริษัท Elastic Security Labs เปิดโปงแคมเปญ REF9403 ของแฮ็กเกอร์เกาหลีเหนือในเครือ Contagious Interview ที่ซ่อนมัลแวร์ด้วยเทคนิค Steganography ในไฟล์ภาพ SVG รูปธงชาติ ผู้โจมตีเข้าหาเหยื่อผ่านช่อง #jobs ใน Slack ชุมชนนักพัฒนา อ้างว่าจ้างงานแล้วส่งข้อสอบเขียนโค้ดที่ฝังมัลแวร์ไว้ เมื่อรันโปรเจกต์จะได้เพย์โหลด 4 ชั้นสอดคล้องกับ OtterCookie ทั้งขโมยรหัสผ่าน กระเป๋าคริปโต ไฟล์ และเปิดช่องควบคุมระยะไกล

นักวิจัยจาก Socket.dev เปิดโปงแคมเปญ PolinRider ที่เชื่อมโยงกลุ่มเกาหลีเหนือ Contagious Interview/Famous Chollima ซ่อน JavaScript loader ในคลังโค้ด open source พบ 162 artifact ใน 108 แพ็กเกจทั้ง npm, Packagist, Go modules และ Chrome extension มัลแวร์ปลอมเป็นไฟล์ฟอนต์ woff2 ดึงเพย์โหลด DEV#POPPER และ OmniStealer ขโมยข้อมูลรับรองและกระเป๋าคริปโต โดยเล็งเป้าที่ตัวนักพัฒนาโดยตรง

บริษัท JFrog เปิดเผยชุดแพ็กเกจ npm อันตรายที่เชื่อมโยงกับเกาหลีเหนือ ปลอมตัวเป็นเครื่องมือ Rollup polyfill ทั้งชื่อ เมทาดาทา และโครงสร้างเลียนแบบโปรเจกต์จริง เพื่อเปิดทางเข้าถึงระยะไกลและขโมยข้อมูล เพย์โหลดหลายชั้นดึงมัลแวร์ JavaScript มาขโมยข้อมูลรับรอง คีย์คลาวด์ SSH และกระเป๋าเงินคริปโตจากเครื่องนักพัฒนา รูปแบบคล้ายแคมเปญ Lazarus ก่อนหน้า ท่ามกลางการโจมตี supply chain โอเพนซอร์สอีกหลายคลัสเตอร์

นักวิจัยจาก Proofpoint เปิดโปงแคมเปญ UNK_DeadDrop ที่เชื่อมโยงกับเกาหลีเหนือ โจมตีนักพัฒนาในเกือบ 100 องค์กรด้วยอีเมลฟิชชิงหลอกให้โคลน GitHub Repository อันตรายแล้วเปิดใน VS Code ซึ่งจะรันมัลแวร์อัตโนมัติทั้งบน Windows, macOS และ Linux พร้อมกันนี้ยังพบ VS Code Extension ที่เป็น Backdoor บน Marketplace อย่างเป็นทางการอีกด้วย