2025-10-17 13:47:11

朝鲜黑客利用区块链恶意软件升级攻击，比特币安全受威胁

摘要

思科 Talos 与谷歌威胁情报小组联合发现，朝鲜相关黑客组织正通过区块链隐藏的恶意软件工具，实施针对加密货币和网络安全从业者的复杂攻击。新型恶意软件结合社会工程与去中心化命令控制，加剧全球网络安全风险。

根据思科 Talos 和谷歌威胁情报小组的最新研究，与朝鲜相关的网络威胁行为者正在采用基于区块链的工具，进一步扩展其复杂的网络攻击活动。

这些攻击行动通过精心设计的招聘骗局窃取加密货币、渗透关键网络并规避执法机构的侦查。

恶意软件技术不断演进，功能更加强大

思科 Talos 的研究人员发现，隶属于朝鲜的黑客组织 Famous Chollima 正在进行一系列新型网络攻击。该组织使用了两种高度互补的恶意软件工具——BeaverTail 和 OtterCookie。这些工具最初用于窃取凭证和泄露数据，如今已发展出新的功能，并实现了更高的互操作性。

在最近一起涉及斯里兰卡的事件中，攻击者伪装成招聘方，通过虚假的工作机会诱骗求职者安装伪装成技术评估工具的恶意代码。尽管目标机构本身并非直接攻击对象，但思科 Talos 分析师还发现了一个与 OtterCookie 相关的键盘记录和截图模块。这一模块能够秘密捕获击键信息并截取桌面图像，随后将数据自动传输至远程命令服务器。

这表明，与朝鲜有关的威胁行为者正持续改进其社会工程攻击策略，以针对毫无戒心的个人和组织。

区块链成为指挥和控制基础设施

谷歌威胁情报小组 (GTIG) 发现，与朝鲜相关的攻击者 UNC5342 开发了一种名为 EtherHiding 的新恶意软件。这种工具将恶意 JavaScript 负载隐藏在公共区块链上，从而构建一个去中心化的命令和控制 (C2) 网络。

通过利用区块链技术，攻击者无需依赖传统服务器即可动态更改恶意软件的行为，显著增加了执法部门追踪和打击的难度。此外，GTIG 报告称，UNC5342 在一项名为“传染性访谈”的社会工程活动中使用了 EtherHiding。这一活动此前已被 Palo Alto Networks 发现，进一步凸显了朝鲜相关威胁行为者的持久性和适应能力。