Yunan Araştırmacı Kuzey Koreli Bilgisayar Korsanlarını Hackledi: 57 Ülkede 1.640 Şirket İhlal Edildi

Tüm ihlaller eşit değildi. Stykas, bu mağdurlardan 700 ila 800'ünün "gerçekten yıkıcı" olarak tanımladığı saldırılara maruz kaldığını tahmin etti . Bu ciddi vakalarda saldırganlar şunları elde etti:

• Kurumsal sunuculara kök düzeyinde erişim
• Amazon Web Services (AWS) ortamlarının tam kontrolü
• Kripto para özel cüzdan anahtarları da dahil olmak üzere ana kriptografik anahtarların çalınması

İsim Verilen Mağdurlar: Kripto, Sağlık ve Tüketici Elektroniği

Stykas, ifşa sürecini iyi yöneten veya ihlali bağımsız olarak zaten keşfetmiş olan yaklaşık bir düzine kuruluşu kamuya açıkladı . Bunlar arasında:

• Coinbase ve Uniswap Labs (kripto para / finans)
• Oppo (Çinli akıllı telefon üreticisi)
• Boston Çocuk Hastanesi (sağlık)
• İtalya Yüksek Yargı Kurulu
• AEON Smart Technology (Japonya)

Kampanya, düzinelerce ülkedeki teknoloji firmaları, finans kurumları, sağlık hizmeti sağlayıcıları ve devlet kurumlarını hedef alarak geniş tabanlıydı .

Saldırı Vektörü: Sahte İş Görüşmeleri

Birincil ilk erişim yöntemi, Stykas'ın "Contagious Interview" (Bulaşıcı Mülakat) olarak tanımladığı bir sosyal mühendislik kampanyasıydı . Kuzey Koreli korsanlar, LinkedIn gibi profesyonel ağlarda kurumsal işe alım uzmanı gibi davrandı. Yazılım geliştiricileri cazip iş teklifleriyle hedef aldılar ve sahte görüşmeler sırasında, kurbanları kötü amaçlı yazılım bulaşmış kodlama testlerini, PDF'leri veya diğer dosyaları indirmeleri için kandırdılar .

Bir taşeron veya çalışanın cihazı tehlikeye girdikten sonra, korsanlar kurumsal ağa geçtiler. Bazı durumlarda, Kuzey Koreli BT çalışanları da sahte uzaktan istihdam yoluyla doğrudan şirketlere sızdı .

Stykas Nasıl İçeri Girdi ve Kaldı

Stykas'a erişim karmaşık bir saldırıyla değil, Kuzey Koreli korsanların kendi iş istasyonlarını yanlışlıkla kendi kötü amaçlı yazılımlarıyla enfekte etmesiyle sağlandı . Bu operasyonel güvenlik hatası, Stykas'a komuta-kontrol sunucularına bir dayanak noktası kazandırdı. Oradan, dahili Slack ve Discord kanallarına erişti, çalınan verileri didik didik etti ve geliştirici anahtarlarını, kaynak kodunu ve dahili iletişimleri çıkardı .

22 ay boyunca fark edilmeden sessizce operasyonlarını izledi .

Stykas'ın Black Hat 2026'da Sundukları

Black Hat'te Stykas şunları ifşa etti :

• 57 ülkedeki 1.640 mağdur kuruluşun tam kapsamı.
• Korsanların operasyonlarını ölçeklendirmek için giderek artan şekilde AI araçlarını kullandıkları .
• Coinbase, Oppo ve Boston Çocuk Hastanesi'ni de içeren kısmi bir mağdur listesi .
• Yüzlerce mağdurun ciddi ihlallere maruz kaldığına dair kanıtlar — kök düzeyinde sunucu erişimi, AWS kontrolü ve kriptografik anahtar hırsızlığı .
• Ana erişim vektörü olarak Contagious Interview kampanyasının detayları .

Sonuçlar

Stykas'ın bulguları, modern kurumsal güvenlikte kritik bir zafiyetin altını çiziyor: uzaktan çalışanlara güven ve işe alım sürecinin bir saldırı yüzeyi olarak kullanılması. Ayrıca, devlet destekli korsanlık gruplarının, daha önce bilinenden çok daha fazla sayıda ihlali yıllarca nasıl gizleyebildiğini de vurguluyor.

Bireysel bir araştırmacının bir ulus-devletin korsanlık aygıtına sızıp onu neredeyse iki yıl boyunca izleyebilmesi, Kuzey Kore siber birimleri içinde önemli operasyonel güvenlik açıkları olduğunu da gösteriyor .