针对区块链从业者的招聘陷阱：疑似Lazarus（APT-Q-1）窃密行动分析

经过进一步调查，奇安信威胁情报中心发现，攻击者在去年底被披露后仍频繁展开攻击行动，受害者主要是区块链行业的开发者。攻击者在工作平台（比如LinkedIn、Upwork、Braintrust等）上创建虚假的身份，伪装为雇主、独立开发者或初创公司创始人，发布具有丰厚报酬或者紧急任务的工作信息，工作内容通常是软件开发或者问题修复。这些工作信息会吸引到主动搜索而来的开发者，或者借助平台的推送机制呈现在目标人群面前。在讨论具体工作内容时，攻击者试图说服应聘人员在自己设备上运行由他们提供的代码。一旦应聘者不加怀疑地运行程序，其中插入的恶意JS代码将会窃取感染设备上与虚拟货币相关的敏感信息，并植入其他恶意软件。攻击流程如下所示。

这批攻击样本与”Contagious Interview”行动所用的网络基础设施重叠，且攻击者发起网络钓鱼的手法特点和受害者所属行业与Lazarus组织之前的活动相似，因此这次持续进行的攻击行动可能和Lazarus组织有关。

伪造的网站

该域名对应网站如下，主页自称是web3营销和奖励平台。

根据这个域名，我们发现在数月前就有不少区块链行业从业者发帖^[6-9]称，收到与该网站相关的开发工作邀请，委派工作的客户要求他们在本地运行所提供的代码，部分应聘者的加密货币钱包因此失窃。

网络钓鱼方式

对网上公开的攻击活动记录进行整理后，我们发现攻击者利用的工作信息发布平台至少包括LinkedIn^[6,9,10]、Upwork^[7,8]、Braintrust^[11]。

攻击者以伪装的身份与吸引而来的应聘人员进行沟通，向应聘人员呈现详细的项目设计和需求，增加伪装身份的说服力，并通过一系列社会工程学手段诱使应聘者在本地运行攻击者提供的代码，具体方式包括：

(2) 声称项目代码存在问题需要修复，让应聘者运行程序看看是否能重现问题。

恶意代码托管

与攻击活动有关的Github账号如下，部分Github账号有多年的活动记录，看起来与普通账号无异。

Bitbucket存放的恶意代码库如下，代码库链接来自提及freebling网站的攻击活动记录^[7-9]。

攻击者使用的恶意软件与此前披露的”Contagious Interview”攻击活动一致，因此这里只进行简单的说明。

应聘者下载的软件包某个文件中潜藏有恶意JavaScript代码，植入的恶意代码存放在一行之内，攻击者通常在前面加上单行注释和一长串空白符，如果文本编辑器未使用换行模式，将很难发现恶意代码的存在。

JavaScript恶意代码

以样本（MD5: 97868b884fc9d01c0cb1f3fa4d80b09f）为例进行分析，其中携带的恶意JS代码会重复运行主函数nt多次。

主函数nt首先收集Windows, Linux, macOS平台上多款浏览器的敏感信息，尤其是加密货币钱包有关的浏览器插件数据。

将收集的敏感信息回传到C2服务器(147[.]124.214.237:1244)，回传信息的URL为”/uploads”。

从C2服务器的”/clients/”下载后续Python脚本并运行。Linux和macOS平台直接调用python3命令执行；而在Windows平台上会先检查”%HOME%\.pyp\python.exe”是否存在，如果不存在，则从”/pdown”下载包含Python运行环境的ZIP压缩包，并解压到%HOME%目录。

Python恶意代码

该脚本下载额外的两个脚本并执行：

• 从C2服务器的”/payload/”下载脚本，保存为”%HOME%/.n2/pay”；

• 如果运行平台不为macOS，从C2服务器的”/brow/”下载脚本，保存为”%HOME%/.n2/bow”。

Bow脚本同样支持Windows、Linux、macOS三个平台，用于进一步窃取多款浏览器的数据，并将其发送回C2的”/keys” URL。

Pay脚本包含两部分内容。第一部分用于收集设备信息，包括用户名、操作系统版本、IP和地理位置，同样发送回C2的”/keys” URL。

第二部分为Python木马，C2为45[.]61.131.218:1245，木马指令和之前报告披露的一致。其中一个指令ssh_any会从第一阶段C2服务器(147[.]124.214.237:1244)的”/adc/” URL下载用于部署AnyDesk的Python脚本。

Lazarus组织曾利用LinkedIn平台扮演雇主身份，以编码挑战为理由诱使应聘者执行恶意代码^[12]，使用的钓鱼手法和本次活动存在相似之处，且加密货币和区块链行业长期以来都是Lazarus频繁攻击的领域，因此我们认为此次大规模钓鱼攻击可能和Lazarus组织有关。

若需运行，安装来历不明的应用，可先通过奇安信威胁情报文件深度分析平台（https://sandbox.ti.qianxin.com/sandbox/page）进行判别。目前已支持包括Windows、安卓平台在内的多种格式文件深度分析。

目前，基于奇安信威胁情报中心的威胁情报数据的全线产品，包括奇安信威胁情报平台（TIP）、天擎、天眼高级威胁检测系统、奇安信NGSOC、奇安信态势感知等，都已经支持对此类攻击的精确检测。

(JavaScript)

0f229f0929c081cab93f8276e29fe11b

7624fc8b47cb58444ff0176edd7f15cb

7859ef9ca6f7fa800a058d3586164672

4120ce03d7d662d5ddf10e4565495055

560a2438bea7a7421b92f66b4d7c756b

1ca6bcea09b3b9b3cb338faf8161b7e8

ac55b61572eb8424192316c0970ccb54

6e5a8473832d376165906a99395ec1bd

ca294d9ccb1e41dd8592cec7158590cb

770ce85b7d4658812562be93e7a5ea52

51494dc0c88cc2d8733dd82c2e63e0d6

c753611ab87bd41cdf4ff9b140440fe2

979bb789ecd5a3881ad3d4823ca8fdc1

1a7581f412ff361d82091eb5f07c27a8

804ac0a47f7bb78afa666358325629bc

c1c1c5b2a76a3d463cb4f7c22c88bbe5

1e20dfc8145abced35dd934d5136e5dd

78f972104c48c25b6f5e7d3ffc2b4e1a

67d5c6db5cc292e00fdcfeb11fda9e0e

b73ba1327abb95eba44a233d9d502c79

e8fcc05c328b612918b3384638873a6d

5cb77e93ebe96f22741285592cd35100

647d26e94b9be5a1237a59d0b2b38442

67cee5b180370eb03d9606f481e48f36

1822bea1d0ec9ae1db9c265386699102

ce00e20489f75fde53992bc69abe7b62

d6c5c1d4510d0fccad5e0bc1de3cf80e

(压缩包)

c4c62c35ac06ffa843d2f84af089c94c

04e5082bdeebfbbc2aef66b17e64e2f7

d7783ba8476f1a2f0831f32abf9c3e69

1948c99104e09ecaa0f4cb3fdac276d5

2ed1b50ed4ca84c0fdde84a585fac536

48fc7c946c34771b82a5e49a93d405a6

c2d7a7460bb15b3a9c082f6d88ee0b84

dbda4a6e6741fa3d7819c3c88ed22e88

f1b78698b108fbf5bfcbb6d7f3bbad76

93b7dbf5980de29cf7fb9a610229bb5a

907f39788d1d1439eed333091fd16730

eb0ba3a1623e95e57fb5a2aedb97d45f

95362a0f440990992cc9ad04e6675e77

58db0d021b75eb2a581c7773844703b5

110a7556e2ebcca7255be1c6ee999b94

37f4c3fb5925f0e39b2c9e7e5eb4450d

53ec27df858d3d133808ec338df29fc6

7a5a694ac7d4068f580be624ece44f4f

fa174cdd22080f11e13844c1e3326cd2

e6d09c7ad340d10109e6781bfb05a319

aad9dcd3a2045dafea47eef776ec5b8a

d3a85f6ccf117fb1cdb506094edddd22

31922228868dc24dfe9b067d2b3c6d18

97868b884fc9d01c0cb1f3fa4d80b09f

46b2cfef633e6e531928a9c606b40b16

355b1bedeb19b546800de5ecc7933849

2a16962b336cc5296bb4e4230a5e5404

6ca874b098ba768ad5814bef9cf409fa

a07cd2703361ad566c5857a4e8e1652a

ebe250b7ca9122231f1d114b12d27821

3b5501885ba5283ec08101bc4cb9d613

8e13d8b8d0c965b95408a2efdde32847

31725dc195bb09fc32a842a554cc931b

a6fad33175e33ab7306e879f4f022662

093ea7c80ab1a192a91f4132078c02b1

5e5f51a859b170151714df1c5b648e31

C&C

http://172.86.97.80:1224

http://172.86.123.35:1244

http://147.124.212.89:1244

http://147.124.212.146:1244

http://147.124.213.11:1244

http://147.124.213.29:1244

http://147.124.214.129:1244

http://147.124.214.131:1244

http://147.124.214.237:1244

http://67.203.7.171:1244

http://67.203.7.245:1244

http://91.92.120.135:3000

45.61.131.218:1245

173.211.106.101:1245

[2].https://twitter.com/dimitribest/status/1782609281897902426

[3].https://twitter.com/asdasd13asbz/status/1782951380568936481

[4].https://twitter.com/BaoshengbinCumt/status/1783402882903277983

[5].https://unit42.paloaltonetworks.com/two-campaigns-by-north-korea-bad-actors-target-job-hunters/

[6].https://www.linkedin.com/posts/abhisheksinghsoni_blockchainsecurity-cryptoscamalert-defijobs-activity-7127542067001475073-71xU

[7].https://www.linkedin.com/pulse/i-got-hacked-what-did-do-after-lokicheck-zuzkc

[8].https://twitter.com/syedasadkazmii/status/1769710505953026109

[9].https://www.linkedin.com/posts/nikhil-jain-385456190_cryptoscam-jobsecurity-walletsecurity-activity-7166506226401329153-wnGJ

[10].https://github.com/0x50D4/0x50d4.github.io/blob/main/_posts/2024-04-03-python-malware.md

[11].https://github.com/tayvano/lazarus-bluenoroff-research/blob/main/hacks-and-thefts/braintrust_job_dev_scam.md

[12].https://www.welivesecurity.com/en/eset-research/lazarus-luring-employees-trojanized-coding-challenges-case-spanish-aerospace-company/