Noord-Koreaanse hackers overspoelen de crypto-banenmarkt met geplagieerde cv's

Als gevolg van een al lang bestaand embargo tegen het Noord-Koreaanse regime hebben lokale autoriteiten ontelbare keren de krantenkoppen gehaald voor ongebruikelijke – en vaak illegale – manieren om geld in te zamelen.

Van het hacken van reguliere banken tot het kweken van in-game valuta's via botting, de methoden variëren van in wezen ongevaarlijk tot regelrechte bedreigingen voor de nationale veiligheid.

Crypto-markten gericht op volle kracht

De afgelopen jaren heeft het Noord-Koreaanse regime zijn zinnen gezet op de cryptomarkt, met meerdere aanvallen op crypto-uitwisselingen door de Lazarus Group en anderen. Echter, een recente verslag van Bloomberg en beveiligingsonderzoekers van Mandiant geven aan dat door de Noord-Koreaanse overheid gesponsorde hackers zich nu meer gaan richten op een andere methode van fondsenwerving via de cryptomarkt.

In plaats van kwetsbare crypto-uitwisselingen en andere projecten te hacken, zoals: Harmonie, laat de Lazarus Group leden zich nu voordoen als IT-professionals op LinkedIn en Indeed, waarbij ze zich de cv's van legitieme gebruikers toe-eigenen.

Volgens Joe Dobson - een van de analisten bij Mendiant - worden deze vervolgens bewerkt en verzonden naar bedrijven die blockchain-ontwikkelaars inhuren in de hoop voorkennis te krijgen en achterdeurtjes te creëren waarmee de betreffende platforms op een later tijdstip kunnen worden uitgebuit.

“Het komt neer op bedreigingen van binnenuit. Als iemand wordt ingehuurd voor een cryptoproject en ze worden een kernontwikkelaar, dan kunnen ze dingen beïnvloeden, al dan niet voorgoed.”

Geplagieerde cv's

Hoewel de cv's meestal geplagieerd zijn, bevatten sommige ook flagrant valse informatie - zoals whitepapers voor uitwisselingen die nooit hebben bestaan, opzettelijk vage functiebeschrijvingen, enz. Mandiant heeft verschillende bedrijven geïdentificeerd die zogenaamd nep-werkzoekenden van de Lazarus Group hebben aangenomen, maar heeft daarvan afgezien van het publiceren van de informatie.

Op Twitter duiken echter verhalen op van interviewers die het doelwit zouden zijn van het nieuwste project van Lazarus.

Geen bullshit, ik denk dat ik net een Noord-Koreaanse hacker heb geïnterviewd.

Angstaanjagend, hilarisch en een herinnering om paranoïde te zijn en je OpSec-praktijken drie keer te controleren.

Hier is hoe het ging:

??

— jonwu.(?, ?) (@jonwu_) 29 april 2022

Het rapport geeft aan dat de meeste toegeëigende cv's verwijzen naar de vaardigheden van Chinese en Russische individuen, terwijl een kleiner aantal cv's wordt gekopieerd van ontwikkelaars in Afrika en Zuidoost-Azië. Deze cv's worden vervolgens gebruikt om meerdere nepprofielen voor werkzoekenden te maken, waarvan vele bijna identieke taal gebruiken om hun vaardigheden te beschrijven.

Een kleinere groep beweerde ook Zuid-Koreaanse, Japanse of Amerikaanse telewerkers te zijn. In ieder geval hebben bijna alle geïdentificeerde cv's gesolliciteerd op functies in de VS en Europa.

Het rapport adviseert recruiters om waakzaam te blijven bij het screenen van sollicitanten, waarbij wordt gewezen op de aanzienlijke schade aan het bedrijf die kan worden veroorzaakt door zelfs maar een kleine verbintenis met zijn interne softwaresystemen.