Badacz ukrył się w serwerach hakerów KRLD, znalazł 1 640 ofiar

Grecki badacz bezpieczeństwa Vangelis Stykas, dyrektor ds. technologii w firmie Kumio, przez około 22 miesiące miał ukryty dostęp do serwerów dowodzenia i kontroli grup hakerskich powiązanych z Koreą Północną. Na konferencji Black Hat w Las Vegas przedstawił wyniki obserwacji i kopię danych z tych serwerów.

Stykas skopiował około 5 terabajtów danych zawierających klucze deweloperskie, prywatny kod źródłowy oraz konwersacje ze Slacka i Discorda. Z analizy wynika lista 1 640 organizacji z 57 krajów; badacz ocenia, że 700–800 z tych przypadków to poważne naruszenia obejmujące uzyskanie uprawnień root na serwerach, dostęp root do środowisk Amazon Web Services oraz przejęcia kluczy portfeli kryptowalut.

Atakujący najczęściej stosowali metody socjotechniczne w procesach rekrutacyjnych. Kandydatom proponowano atrakcyjne oferty pracy, potem proszono o wykonanie zadań programistycznych, które instalowały złośliwe oprogramowanie. W analizach pojawiają się przykłady fałszywych paczek kodu publikowanych w serwisach z repozytoriami; otwarcie takiej paczki w edytorze może uruchomić kod atakujących. W raporcie Microsoftu znalazło się ostrzeżenie: „Wstrzykując ukierunkowane złośliwe oprogramowanie bezpośrednio w narzędzia rekrutacyjne, zadania programistyczne i procesy ocen, którym deweloperzy ufają, atakujący wykorzystują zaufanie kandydatów do procesu rekrutacji.”

Stykas opisał przypadki, w których pojedynczy zainfekowany laptop kontraktora dawał dostęp do infrastruktury nawet 30 różnych firm. Jako przykład podał powiązanie ekspozycji Boston Children’s Hospital z prywatnym urządzeniem byłego kontraktora; placówka poinformowała, że zablokowała dane logowania w ciągu kilku godzin i nie znalazła dowodów na naruszenie własnych systemów. Firma Consensys wykryła natomiast ukrytego dewelopera powiązanego z Koreą Północną miesiąc po rozpoczęciu pracy nad kodem MetaMask.

Grupy powiązane z Koreą Północną koncentrowały się na kradzieży aktywów cyfrowych i dostępie do środowisk blockchain. Zbiorcze raporty za 2025 rok odnotowały kradzieże aktywów cyfrowych o wartości 2,02 mld USD, co oznacza wzrost o 51 proc. rok do roku. TRM Labs powiązało kradzież 285 mln USD z protokołu Drift z kontaktami między pośrednikami a pracownikami firm. Agencje szacują, że od 2017 roku łączna wartość środków przejętych przez tego typu operacje wynosi około 6 mld USD. W 2026 roku dwie duże kradzieże odpowiadały za 76 proc. strat, mimo że stanowiły tylko 3 proc. wszystkich incydentów.

Stykas przesłał ostrzeżenia do wielu firm; większość nie odpowiedziała. W odpowiedzi branżowe grupy zajmujące się wymianą informacji o zagrożeniach, w tym organizacje z sektora kryptowalut, zwiększyły współpracę przy udostępnianiu sygnatur i wskaźników kompromitacji. Badacz kontynuuje analizę skopiowanych danych i wskazuje, że liczba zidentyfikowanych ofiar może nadal rosnąć.