Græsk forsker hackede Nordkoreas hackere: 1.640 virksomheder i 57 lande ramt

Ikke alle angreb var lige alvorlige. Stykas vurderede, at 700 til 800 af ofrene led det, han beskrev som "virkelig skadelige" indtrængen . I disse alvorlige tilfælde opnåede angriberne:

• Root-adgang til virksomhedsservere
• Fuld kontrol over Amazon Web Services (AWS)-miljøer
• Eksfiltrering af master-kryptografiske nøgler, herunder private cryptocurrency-wallet-nøgler

Navngivne ofre: krypto, sundhedspleje og forbrugerelektronik

Stykas navngav offentligt omkring et dusin organisationer, der håndterede afsløringsprocessen godt eller allerede selv havde opdaget angrebet . Blandt dem:

• Coinbase og Uniswap Labs (kryptovaluta / finans)
• Oppo (kinesisk smartphone-producent)
• Boston Children's Hospital (sundhedspleje)
• Italiens Øverste Dommerråd (Supreme Council of the Judiciary)
• AEON Smart Technology (Japan)

Kampagnen var bred og ramte teknologivirksomheder, finansielle institutioner, sundhedsudbydere og offentlige organer i dusinvis af lande .

Angrebsvektoren: falske jobsamtaler

Den primære metode til indledende adgang var en social engineering-kampagne, som Stykas identificerede som "Contagious Interview" . Nordkoreanske hackere udgav sig for at være virksomhedsrekrutterere på professionelle netværk som LinkedIn. De målrettede softwareudviklere med lokkende jobtilbud og narrede under falske samtaler ofrene til at downloade malware-inficerede kodetests, PDF'er eller andre filer .

Når en enkelt medarbejders eller contractors enhed var kompromitteret, bevægede angriberne sig videre ind i virksomhedens netværk. I nogle tilfælde infiltrerede nordkoreanske IT-medarbejdere også virksomheder direkte gennem svigagtig fjernansættelse .

Hvordan Stykas kom ind – og blev

Stykas fik adgang ikke gennem en sofistikeret indtrængen, men fordi de nordkoreanske hackere ved et uheld smittede deres egne arbejdsstationer med deres egen malware . Denne operationelle sikkerhedsbrist gav Stykas et fodfæste på deres kommando- og kontrolservere. Derfra fik han adgang til deres interne Slack- og Discord-kanaler, gennemgik stjålne data og udtrak udviklernøgler, kildekode og intern kommunikation .

Han brugte 22 måneder på stille og roligt at overvåge deres operationer uden at blive opdaget .

Hvad Stykas præsenterede på Black Hat 2026

På Black Hat afslørede Stykas :

• Det fulde omfang af 1.640 offerorganisationer i 57 lande.
• At hackerne i stigende grad brugte AI-værktøjer til at skalere deres operationer .
• En delvis offerliste, der inkluderede Coinbase, Oppo og Boston Children's Hospital .
• Bevis for, at hundredvis af ofre led alvorlige kompromitteringer – root-adgang til servere, AWS-kontrol og eksfiltrering af kryptografiske nøgler .
• Detaljerne om Contagious Interview-kampagnen som den primære metode til indledende adgang .

Implikationer

Stykas' resultater understreger en kritisk sårbarhed i moderne virksomhedssikkerhed: afhængigheden af fjernarbejdere og selve ansættelsesprocessen som en angrebsflade. De fremhæver også, hvordan statsstøttede hackinggrupper kan skjule et svimlende antal angreb – langt flere end tidligere kendt – i årevis.

Det faktum, at en enkelt forsker kunne infiltrere og overvåge en stats hackerapparat i næsten to år, antyder også betydelige operationelle sikkerhedsbrister inden for nordkoreanske cyberenheder .