北朝鮮系ハッカー、偽の採用面接でWeb3関係者230人を標的に

北朝鮮系ハッカー、偽の採用面接でWeb3関係者230人超を標的に

北朝鮮系の脅威グループ「Chollima（Wagemole）」が、暗号資産およびWeb3分野の関係者を標的としたサイバースパイ活動を展開していることが確認された。攻撃では「ClickFake Interview」と呼ばれる手法が用いられ、偽の採用面接を装ってPylangGhostおよびGolangGhostのリモートアクセス型トロイの木馬（RAT）を感染させる。標的は、LinkedInやXなどのSNSを利用するWeb3業界の技術者や関係者が中心となっている。

SOCRadarの脅威調査チームによると、攻撃者は偽の採用プロセスを通じて初期アクセスを獲得している。Coinbase、Robinhood、Uniswap、Archblockなど実在するWeb3企業を装って応募者に接触し、「技術評価」と称して偽のオンライン面接へ誘導する。その過程で、被害者にターミナルコマンドを実行させることでシステムを感染させる手口が確認されている。

攻撃は主にWindowsおよびmacOSを対象としており、PylangGhostとGolangGhost RATを利用してブラウザ拡張機能から認証情報やセッションクッキーを窃取する。特にパスワードマネージャーや暗号資産ウォレットの利用者が標的となり、不正アクセスや資産の窃取につながる恐れがある。

今回のキャンペーンは、北朝鮮系ハッカーによる標的型攻撃の高度化を示す事例とされており、ここ数カ月で230人を超えるWeb3関係者が標的になったと報告されている。採用活動を悪用したソーシャルエンジニアリング攻撃への警戒を強めるとともに、採用プロセス中にターミナルコマンドの実行を求められた場合は慎重に対応することが重要とされている。