Троян: Северокорейские хакеры используют фейковые собеседования для атак на криптокомпании

Новая волна кибератак на криптоиндустрию показала: теперь под угрозой не только биржи и протоколы, но и специалисты. Северокорейская группировка Famous Chollima использует фальшивые собеседования для установки трояна PylangGhost, сообщили эксперты Cisco Talos.

Как работает схема

Хакеры создают фальшивые сайты, имитирующие известные криптокомпании — такие как Coinbase, Robinhood, Uniswap. Через поддельных рекрутеров они приглашают специалистов на "тестовые задания" и "видеособеседования".

• Кандидат получает ссылку на фейковый сайт.
• Проходит "технический тест".
• Перед собеседованием его просят ввести команду в консоль якобы для запуска камеры.
• Вместо драйвера загружается вредоносный скрипт.

Такой подход работает — потому что он выглядит как часть стандартного IT-процесса.

Что делает троян PylangGhost?

Это RAT (троян удалённого доступа), написанный на Python для Windows. Его задачи:

• Удалённый контроль над системой.
• Кража cookie, паролей и сессий из браузеров.
• Доступ к менеджерам паролей (1Password, NordPass).
• Кража данных из криптокошельков (MetaMask, Phantom, TronLink и др.).
• Создание точки постоянного доступа.

Linux-системы в текущей кампании не атакуются.

Индия как основная цель

Большинство атак направлены на специалистов из Индии — из-за высокой концентрации разработчиков и блокчейн-команд в регионе.

Цель хакеров — не только украсть данные, но и внедрить “своих” в команды криптопроектов, чтобы собирать разведданные и искать уязвимости изнутри.

Что говорят эксперты

«Индия должна ввести обязательные аудиты и заблокировать поддельные HR-порталы» — Дилип Кумар, Digital South Trust

Он также призвал усилить координацию между CERT-In, MEITY и NCIIPC для борьбы с киберугрозами.

Что делать пользователям и разработчикам?

• Не выполнять команды от неизвестных "рекрутеров".
• Проверять адрес сайта и сертификаты безопасности.
• Использовать антивирус и VPN при технических интервью.
• Настроить отдельное виртуальное окружение для интервью.
• Хранить ключи и пароли в зашифрованных офлайн-хранилищах.

Кибератаки становятся умнее. Форма — собеседование. Суть — заражение и шпионаж. Важно быть внимательными даже в таком, казалось бы, рутинном процессе как поиск работы.

В мире, где вирус маскируется под приглашение на интервью — цифровая бдительность важнее, чем когда-либо.