不正に操作されたラップトップの秘密映像が、北朝鮮のスパイがどのようにしてあなたのセキュリティチームをすり抜けているかを暴露

北朝鮮の工作員が、セキュリティ研究者によって「開発者用ノートパソコン」に仕掛けられた罠に誘い込まれ、ライブでカメラに捉えられました。Lazarusグループに関連するチームが、正規のAI採用ツールやクラウドサービスを利用して米国の暗号資産関連の求人パイプラインに溶け込もうとする様子が記録されました。

国家支援型サイバー犯罪の進化は、BCA LTD、NorthScan、マルウェア解析プラットフォームANY.RUNの研究者によってリアルタイムで捉えられたと報告されています。

北朝鮮の攻撃者を捕らえる

Hacker Newsは、チームが協調して「ハニーポット」（正規の開発者ノートパソコンに偽装した監視環境）を展開し、Lazarus Groupをおびき寄せた様子を共有しました。

その結果得られた映像は、北朝鮮の部隊、特にFamous Chollima部門が、ターゲットの人事部門に採用されることで従来のファイアウォールを単純に回避している様子を、業界にこれまでで最も鮮明に示しています。

作戦は、研究者が開発者のペルソナを作成し、「Aaron」として知られるリクルーターの偽名からの面接依頼を受け入れたことから始まりました。リクルーターは標準的なマルウェアペイロードを展開する代わりに、Web3業界で一般的なリモート雇用形態へとターゲットを誘導しました。

研究者が「ノートパソコン」（実際には米国拠点のワークステーションを模した厳重に監視された仮想マシン）へのアクセスを許可した際、工作員はコードの脆弱性を悪用しようとはしませんでした。

代わりに、彼らは模範的な従業員としての存在感を確立することに注力しました。

信頼の構築

管理された環境内に入ると、工作員たちは侵入よりも溶け込むことを最適化したワークフローを実演しました。

彼らは、Simplify CopilotやAiApplyなどの正規の業務自動化ソフトウェアを活用し、洗練された面接回答を生成し、大量の応募フォームを自動入力しました。

このような西側の生産性ツールの利用は、国家アクターが企業の採用を効率化するために設計されたAI技術を逆手に取り、それを打ち破ろうとしているという憂慮すべきエスカレーションを示しています。

調査によれば、攻撃者はAstrill VPNを通じてトラフィックをルーティングし、位置情報を隠蔽。盗まれたIDに関連する二要素認証コードの処理にはブラウザベースのサービスを利用していました。

最終目的は即時の破壊ではなく、長期的なアクセスの確保でした。工作員はPowerShell経由でGoogle Remote Desktopを固定PINで設定し、ホストが権限を取り消そうとしてもマシンの制御を維持できるようにしていました。

つまり、彼らのコマンドは管理者権限であり、ハードウェアの検証のためにシステム診断を実行していました。

本質的に、彼らは即座にウォレットを侵害しようとはしていませんでした。

代わりに、北朝鮮の工作員は信頼できる内部者としての地位を確立し、内部リポジトリやクラウドダッシュボードへのアクセスを狙っていました。

10億ドル規模の収益源

この事件は、雇用詐欺を制裁下の政権の主要な収益源に変えた大規模な産業複合体の一部です。

Multilateral Sanctions Monitoring Teamは最近、平壌に関連するグループが2024年から2025年9月までに約28.3億ドル（2.83 billions）のデジタル資産を盗んだと推定しました。

この数字は北朝鮮の外貨収入のおよそ3分の1に相当し、サイバー窃盗が国家の経済戦略となっていることを示唆しています。

この「人的レイヤー」攻撃ベクトルの有効性は、2025年2月のBybit取引所侵害事件で壊滅的に証明されました。

この事件では、TraderTraitorグループに帰属される攻撃者が内部認証情報を悪用し、外部送金を内部資産移動に偽装することで、最終的にコールドウォレットのスマートコントラクトを掌握しました。

コンプライアンス危機

ソーシャルエンジニアリングへのシフトは、デジタル資産業界に深刻な責任危機をもたらしています。

今年初め、HuntressやSilent Pushなどのセキュリティ企業は、BlockNovasやSoftGlideなど、米国の正規法人登録と信頼できるLinkedInプロフィールを持つフロント企業のネットワークを記録しました。

これらの組織は、技術評価を装って開発者に悪意のあるスクリプトをインストールさせることに成功しています。

コンプライアンス担当者や最高情報セキュリティ責任者（CISO）にとって、課題は変質しています。従来のKnow Your Customer（KYC）プロトコルは顧客に焦点を当てていますが、Lazarusのワークフローは厳格な「Know Your Employee」基準を必要とします。

司法省はすでにこれらのITスキームに関連する774万ドル（7.74 millions）を押収するなど、取り締まりを開始していますが、検知の遅れは依然として大きいままです。

BCA LTDの囮捜査が示すように、これらのアクターを捕まえる唯一の方法は、受動的な防御から能動的な欺瞞へとシフトし、脅威アクターが財務の鍵を渡される前にその手口を明らかにさせる管理された環境を作り出すことかもしれません。

この投稿「Secret footage from a rigged laptop exposes how North Korean spies are slipping past your security team」はCryptoSlateに最初に掲載されました。