朝鲜黑客组织正演变为超越虚拟资产钱包、掌控电子邮件、云服务和人工智能服务的"全方位攻击"。随着生成式AI的结合，Web3行业整体的安全防线正在动摇。
17日据安全业界消息，卡巴斯基发布了与朝鲜黑客组织"蓝宝石"正在执行的"SnatchCrypto"行动相关的"GhostCall"和"GhostHire"活动分析报告。此次攻击主要针对Web3·区块链企业、投资公司和开发者，其目的已超越单纯的虚拟资产窃取，旨在控制整个数字工作环境。
以假视频会议获取信任…甚至利用AI
"GhostCall"是伪装成视频会议的社会工程学攻击。攻击者通过Telegram等渠道接近投资者或企业相关人员后，发送"Zoom"或"Microsoft Teams"链接。
受害者点击链接后，会播放过去真实受害者的录制视频，使其误以为是实时会议。随后通过"Zoom SDK更新"等熟悉的消息诱导安装恶意软件。分析认为，攻击者尤其通过运用生成式AI精心设计对话流程和情境演绎，从而提高了攻击成功率。
在macOS环境中，还发现了绕过苹果核心安全系统"TCC"窃取摄像头、麦克风、文档访问权限的案例。
以招聘为诱饵针对开发者的"GhostHire"
"GhostHire"是滥用招聘流程的攻击。黑客伪装成全球金融公司招聘负责人接近开发者，随后提议进行编码测试。
在此过程中，通过施加"30分钟内提交"等时间压力，诱导对方在未验证的情况下运行包含恶意代码的项目。攻击使用伪装成GitHub仓库的恶意代码，一旦运行系统权限即被夺取。
最终，攻击者不仅能掌控虚拟资产钱包，还能控制电子邮件、Telegram、云服务、ChatGPT等所有工作相关账户。
一个账户被攻破即蔓延至整个组织
此次攻击的最大危险性在于"扩展性"。被窃取的账户不仅用于单纯资产窃取，更被用作进一步攻击的跳板。
有观点指出，实际受害者的视频会议录像可能被重复用于欺骗其他目标，或利用开发者账户和API密钥导致企业内部系统被渗透。
据卡巴斯基称，该活动自2023年中开始，已在日本、法国、新加坡、香港等多个国家和地区确认受害。特别是新加坡和香港的Web3企业及风险投资高管成为主要目标。
此前，朝鲜关联黑客组织曾于2024年从香港DeFi公司"Radiant Capital"窃取约5000万美元，在2023年Atomic Wallet事件中窃取约1亿美元规模的虚拟资产。
"对要求短时间内执行的情况应保持警惕"
卡巴斯基韩国分公司社长李孝恩表示："Web3·区块链行业从业者应对通过Telegram突然收到的投资或招聘提议，尤其是要求短时间内执行代码的情况保持警惕。"
此次案例表明，虚拟资产黑客攻击已不再局限于钱包或交易所，正朝着针对"人"和"整体工作环境"的方向演变。鉴于其已结合生成式AI，未来攻击很可能更加精密。此刻正是需要全行业进行安全意识转变的关头。
TP AI注意事项 使用基于TokenPost.ai的语言模型对文章进行了摘要。正文主要内容可能被省略或与事实存在出入。