Forsker hacket Nord-Koreas hackere: 1 640 selskaper i 57 land ble brutt

Ikke alle brudd var like alvorlige. Stykas anslår at 700 til 800 av ofrene opplevde det han kalte "virkelig skadelige" angrep . I disse alvorlige tilfellene fikk angriperne:

• Rottilgang til bedriftsservere
• Full kontroll over Amazon Web Services-miljøer (AWS)
• Lekkasje av masterkrypteringsnøkler, inkludert private nøkler til kryptolommebøker

Navngitte ofre: krypto, helse og forbrukerelektronikk

Stykas navngav offentlig omtrent et dusin organisasjoner som håndterte varslingsprosessen godt eller allerede hadde oppdaget angrepet selv . Blant dem:

• Coinbase og Uniswap Labs (kryptovaluta / finans)
• Oppo (kinesisk smarttelefonprodusent)
• Boston Children's Hospital (helsevesen)
• Italias øverste dommerråd
• AEON Smart Technology (Japan)

Kampanjen var bred og rammet teknologiselskaper, finansinstitusjoner, helsevesen og offentlige organer i titalls land .

Angrepsvektoren: falske jobbintervjuer

Den primære metoden for å få tilgang var en sosial manipulasjonskampanje Stykas identifiserte som "Contagious Interview" . Nord-Koreanske hackere utga seg for å være bedriftsrekrutterere på profesjonelle nettverk som LinkedIn. De målrettet programvareutviklere med fristende jobbtilbud og, under falske intervjuer, lurte ofrene til å laste ned kodeoppgaver, PDF-er eller andre filer infisert med skadevare .

Når en entreprenør eller ansatts enhet var kompromittert, beveget angriperne seg inn i bedriftsnettverket. I noen tilfeller infiltrerte Nord-Koreanske IT-arbeidere selskaper direkte gjennom falske fjernarbeidsforhold .

Hvordan Stykas kom seg inn – og ble værende

Stykas fikk tilgang ikke gjennom et sofistikert angrep, men fordi Nord-Koreanske hackere ved et uhell smittet sine egne arbeidsstasjoner med sin egen skadevare . Dette operasjonelle sikkerhetsbruddet ga Stykas et fotfeste i deres kommandoserver. Derfra fikk han tilgang til deres interne Slack- og Discord-kanaler, lette gjennom stjålne data og hentet ut utviklernøkler, kildekode og intern kommunikasjon .

Han brukte 22 måneder på å stille overvåke operasjonene deres uten å bli oppdaget .

Hva Stykas presenterte på Black Hat 2026

På Black Hat avslørte Stykas :

• Det fulle omfanget av 1 640 offerorganisasjoner i 57 land.
• At hackerne i økende grad brukte AI-verktøy for å skalere operasjonene sine .
• En delvis offerliste inkludert Coinbase, Oppo og Boston Children's Hospital .
• Bevis for at hundrevis av ofre opplevde alvorlige kompromitteringer – rottilgang til servere, AWS-kontroll og lekkasje av kryptografiske nøkler .
• Detaljene om Contagious Interview-kampanjen som den primære metoden for tilgang .

Implikasjoner

Stykas' funn understreker en kritisk sårbarhet i moderne bedriftssikkerhet: avhengigheten av fjernarbeidere og ansettelsesprosessen i seg selv som en angrepsflate. De viser også hvordan statssponsede hackergrupper kan skjule et svimlende antall brudd – langt flere enn tidligere kjent – i årevis.

At en individuell forsker kunne infiltrere og overvåke en nasjonalstats hakkeapparat i nesten to år, tyder også på betydelige operasjonelle sikkerhetshull i Nord-Koreas cyberenheter .