1640 organizācijas 57 valstīs nonākušas Ziemeļkorejas hakeru redzeslokā
Grieķu kiberdrošības pētnieks Vangelis Stikas 22 mēnešu laikā atklājis pazīmes, kas liecina par ar Ziemeļkoreju saistītu hakeru iekļūšanu 1640 organizāciju sistēmās 57 valstīs. Aptuveni 700–800 gadījumos uzbrukumi varēja novest pie nopietnas IT infrastruktūras kompromitēšanas.
Starp potenciāli cietušajām organizācijām minētas tādas kompānijas un iestādes kā Coinbase, Uniswap Labs, Boston Children’s Hospital, Japānas AEON Smart Technology, Ķīnas viedtālruņu ražotājs Oppo, Itālijas Augstākā tiesnešu padome, Saūda Arābijas Al Rajhi Bank struktūrvienība un Beļģijas Flandrijas valdības digitālais dienests.
Tomēr jāuzsver, ka lielākā daļa šo gadījumu nav ieguvuši neatkarīgu apstiprinājumu. Vairākas organizācijas ir atzinušas atsevišķus incidentus, savukārt Coinbase un Boston Children’s Hospital norādīja, ka to iekšējās sistēmās uzlaušanas pēdas nav konstatētas.
Pētnieks ieguva piekļuvi hakeru serveriem
Vangelis Stikas ir kiberdrošības uzņēmuma Kumio tehniskais direktors un līdzdibinātājs. Viņš apgalvo, ka ieguvis piekļuvi vairākiem hakeru komandvadības (Command and Control jeb C2) serveriem, kurus uzbrucēji izmantoja inficēto datoru pārvaldībai un nozagto datu apkopošanai.
Drošības apsvērumu dēļ pētnieks neatklāja, kā izdevās piekļūt šiem serveriem. Pēc viņa teiktā, dažos gadījumos paši uzbrucēji nejauši inficējuši savas darba stacijas ar pašu izstrādāto ļaunprogrammatūru, kas ļāvis iegūt piekļuvi viņu Slack un Discord saziņas kanāliem.
Stikas analizējis aptuveni 5 TB datu, meklējot izstrādātāju atslēgas, programmkodu, mākoņpakalpojumu piekļuves datus un citus digitālos pierādījumus. Pēc iespējamo upuru identificēšanas viņš informējis attiecīgās organizācijas.
Pēc pētnieka teiktā, uzbrucēju rīcībā nonākusi piekļuve serveriem ar administratora tiesībām, AWS infrastruktūrai, blokķēdes sistēmām un kriptovalūtu uzņēmumu privātajām atslēgām.
Ziemeļkorejas aģenti gadiem ilgi slepeni strādājuši DeFi projektos
Daļa organizāciju apstiprināja incidentus
Japānas datorincidentu reaģēšanas komanda apstiprināja Stikasa secinājumus par uzbrukumu AEON Smart Technology un palīdzēja uzņēmumam novērst sekas.
Arī Flandrijas valdība paziņoja, ka 2026. gada 3. martā pēc pētnieka ziņojuma saņēmusi brīdinājumu no Beļģijas Kiberdrošības centra. Pēc tam tika izolēta skartā darba stacija, bet kompromitētās piekļuves tiesības un drošības atslēgas nekavējoties nomainītas.
Savukārt Boston Children’s Hospital skaidroja, ka incidents skāris bijušā ārštata darbinieka personīgo datoru, nevis slimnīcas infrastruktūru. Pārbaude neuzrādīja nesankcionētu piekļuvi slimnīcas iekšējām sistēmām.
Coinbase apstiprināja, ka 2025. gada nogalē uzņēmums bija nolīdzis īstermiņa ārštata speciālistu no ASV. Drošības sistēmas drīz pamanīja aizdomīgas darbības, ierobežoja viņa piekļuvi un sadarbību pārtrauca jau pēc nepilna mēneša. Vēlāk Stikas nodeva uzņēmumam informāciju par iespējamu šīs personas saistību ar plašāku Ziemeļkorejas operāciju.
Tomēr Coinbase norādīja, ka nav atrasti pierādījumi tam, ka šis darbinieks būtu saistīts ar Ziemeļkorejas valdību. Uzņēmums arī uzsvēra, ka atrastie dati bija nebūtiski un nesaturēja klientu informāciju.
Tikmēr Uniswap Labs, Oppo un vairākas citas publikācijā minētās organizācijas uz WIRED jautājumiem neatbildēja.
Uzbrukumi sākās ar viltus darba intervijām
Lielākajā daļā analizēto gadījumu hakeri izmantoja viltotus darba piedāvājumus, uzdodoties par kriptovalūtu vai mākslīgā intelekta uzņēmumu personāla atlases speciālistiem.
Intervijas laikā kandidātam tika lūgts lejupielādēt un palaist NPM pakotni no GitHub, GitLab vai Bitbucket. Pēc koda izpildes datorā tika instalēta ļaunprogrammatūra jeb “backdoor”, kas uzbrucējiem nodrošināja attālinātu piekļuvi.
Jaunākajos uzbrukumos izmantotas arī Visual Studio Code darba vides konfigurācijas.
Microsoft šādas aktivitātes novēro vismaz kopš 2022. gada decembra. Uzņēmuma dati liecina, ka izmantotie rīki spēj zagt API piekļuves tokenus, mākoņpakalpojumu kontu datus, digitālās parakstīšanas atslēgas, kriptovalūtu maku informāciju un paroļu pārvaldnieku failus. Daļa ļaunprogrammatūras spēj arī uzņemt ekrānattēlus, nolasīt starpliktuves saturu un attālināti izpildīt komandas.
Pēc Stikasa teiktā, īpaši liels risks rodas gadījumos, kad ārštata speciālistiem ir piekļuve vairāku klientu infrastruktūrai. Vienā no izmeklētajiem incidentiem inficētais dators piederēja speciālistam, kurš vienlaikus strādāja aptuveni ar 30 dažādām organizācijām.
Pētnieks uzskata, ka, lai gan uzbrucēji ieguvuši piekļuvi lielam sensitīvu datu apjomam, viņu galvenais mērķis bijuši kriptovalūtu maki un ar tiem saistītās privātās atslēgas.
Avots: Wired
