Північнокорейське хакерське угруповання TraderTraitor використовувало фриланс-вакансії для отримання доступу до хмарних систем IT-компаній і викрадення криптоактивів. Про це свідчать звіти Google Cloud і Wiz.
Група зловмисників, також відома як UNC4899, у період із липня 2024 по січень 2025 року зламала щонайменше дві неназвані компанії. Хакери видавали себе за кандидатів на фриланс-посади та через соцмережі переконували співробітників цільових організацій запустити шкідливе ПЗ на робочих комп’ютерах.
У такий спосіб зловмисники отримували доступ до хмарних середовищ Google Cloud та Amazon Web Services і ідентифікували хости, які обробляли криптотранзакції.
У результаті було викрадено криптовалюту на «кілька мільйонів доларів».
У Google зазначили, що атаки під виглядом працевлаштування набули значного поширення серед хакерів із КНДР.
«Вони часто видають себе за рекрутерів, журналістів, галузевих експертів або викладачів коледжів, коли виходять на зв’язок із потенційними жертвами», — зазначили експерти.
Для створення переконливих листів і написання скриптів зловмисники застосовують ШІ. Атаки на хмарні системи дають змогу охопити широкий спектр цілей і збільшити потенційний прибуток.
За даними Wiz, кампанії TraderTraitor почалися ще у 2020 році. За вразливостями стоять підрозділи Lazarus Group, APT38, BlueNoroff і Stardust Chollima. За перші два роки хакерам вдалося зламати низку організацій, зокрема сайдчейн Ronin Network гри Axie Infinity на $620 млн.
У 2024 році активність групи зросла завдяки розсилці підроблених резюме кандидатів на роботу в біткоїн-біржах. TraderTraitor вважають причетними до зламу японської біржі DMM Bitcoin на $305 млн та атаки на Bybit з потенційними втратами у $1,5 млрд.
Згідно з оцінками TRM Labs, у першій половині 2025 року пов’язані з КНДР угруповання викрали $1,6 млрд, що становить 70% від загального обсягу втрат у галузі.
Нагадаємо, що кіберзлочинці прискорили темпи відмивання вкрадених активів — рекордна швидкість переказу склала 4 секунди.
