北朝鲜IT工作者误入虚假加密创业公司:隐藏的间谍网络与AI工具的暗战

去中心化金融 (DeFi) 新闻 加密交易所新闻 加密货币的机构采用

在数字化时代,网络间谍活动早已超越传统的情报战,转而深入到看似无害的商业招聘与加密行业之中。近期,一家名为《Ballena Azul》(蓝鲸)的虚假加密创业公司被曝光,它通过精心设计的骗局,成功吸引并监控了多名疑似北朝鲜IT工作者。这场由网络安全专家Mauro Eldritch与网络威胁情报分析师Heiner García共同策划的调查,不仅揭露了北朝鲜IT工作者的运作模式,还暴露了他们如何利用AI工具、远程桌面软件以及伪造身份来掩盖真实意图。这背后,是一场围绕加密货币与网络安全的隐形战争,而北朝鲜政权的资金来源与网络攻击能力,正在通过这种看似合法的方式不断扩张。**虚假公司的诞生:从注册到伪装**为了让骗局更加逼真,Eldritch与García选择了一个已解散的英国公司名称"Ballena Azul"作为幌子,并通过网络安全平台ANY.RUN提供的虚拟桌面环境,构建了一个几乎与真实加密创业公司无异的工作环境。Eldritch本人则扮演了公司联合创始人"Leonardo Nelson"的角色,而García则化身为团队负责人"Andy Jones"。

这种伪装不仅需要技术上的精准模拟,还需要对北朝鲜IT工作者的招聘流程有深入了解。调查显示,北朝鲜IT工作者通常通过招聘平台或中介机构进入目标公司。在Ballena Azul的案例中,García通过GitHub联系了一名与"著名千里马"(Famous Chollima,一个与北朝鲜IT工作者相关的威胁组织)有关联的招聘人员。这名招聘人员随后推荐了三名疑似北朝鲜IT工作者:"Jack Anderson""Angelo Espree"与"Lucas Theo"。其中至少两人提供了美国身份证件,进一步增强了骗局的可信度。**AI工具与远程桌面:间谍活动的新工具**在Ballena Azul的虚拟工作环境中,疑似北朝鲜IT工作者展现出了对AI工具的高度依赖。

研究人员发现,这些工作者主要使用ChatGPT来协助编写代码、解决技术难题,甚至回答基础问题。而在图像处理与文档伪造方面,他们则更倾向于使用Google Gemini。这种对AI工具的依赖,不仅反映了他们在技术能力上的局限性,也暴露了北朝鲜网络间谍组织在人才培养与技术储备上的不足。除了AI工具,远程桌面软件、加密钱包以及二次验证码共享服务也是他们日常工作中不可或缺的工具。这些工具不仅帮助他们绕过企业网络的安全限制,还为他们提供了合法访问内部系统与源代码的机会。一旦进入目标公司,他们可以长期潜伏,窃取敏感信息或植入恶意软件,而这一切都在雇主毫无察觉的情况下进行。

**隐藏的服务器与网络基础设施**在Ballena Azul的调查中,最具价值的发现之一是疑似北朝鲜IT工作者使用的外部服务器。这些服务器通常作为中间节点,在连接到Ballena Azul的受控虚拟桌面之前进行数据传输。研究人员发现,这些服务器与多个北朝鲜网络攻击活动相关,包括分发恶意软件家族如InvisibleFerret与BeaverTail/OtterCookie。更令人担忧的是,一些服务器在此之前从未被网络安全研究人员发现,它们既未出现在主流的黑名单中,也未被威胁情报平台标记。这些服务器不仅用于恶意软件分发,还可能作为指挥控制中心(C2)或代理服务器,为北朝鲜网络间谍提供日常工作的掩护。研究人员指出,这种基础设施的重复使用不仅节省了成本,还使得北朝鲜网络攻击组织能够长期维持其运作能力。

即使某些服务器被发现并关闭,其他服务器仍然可以继续为攻击活动提供支持。**从招聘骗局到资金来源**北朝鲜IT工作者通过伪造身份进入目标公司不仅是为了窃取数据,更是为了获取合法收入。根据美国财政部的数据,2024年北朝鲜通过IT工作者骗局共获取了近8亿美元,这些资金被用于支持平壤政权的大规模杀伤性武器计划。这意味着,每一个成功潜入企业内部的北朝鲜IT工作者,不仅为间谍活动提供了资金支持,还直接助长了北朝鲜的军事扩张。在Ballena Azul的案例中,疑似北朝鲜IT工作者通过虚拟桌面环境进行编程任务,而研究人员则通过监控他们的行为,收集了大量情报,包括聊天记录、AI对话、加密钱包信息、VPN出口节点以及数小时的实时视频录像。这些数据不仅揭露了他们的工作模式,还暴露了他们与外部服务器的连接方式,为后续的网络安全研究提供了宝贵的参考。

**AI在网络攻击中的双重角色**北朝鲜网络间谍组织对AI工具的使用并不限于日常工作。据路透社报道,另一支名为"金正熙"(Kimsuky)的北朝鲜黑客组织正在将AI工具用于更具攻击性的用途。他们通过在本地运行AI工具,实现网络攻击的自动化、被窃数据的分析以及更具说服力的网络钓鱼活动。这表明,北朝鲜正在将AI技术整合到其网络战略中,以提高攻击效率与隐蔽性。相比之下,Ballena Azul的疑似北朝鲜IT工作者更多地将AI作为一种"拐杖",用于弥补他们在编程与技术方面的不足。然而,这种对AI工具的依赖也暴露了他们在技术能力上的短板,同时也为网络安全研究人员提供了新的切入点。

**从虚假公司到真实威胁**Ballena Azul的骗局最终以一场精心设计的"公司倒闭"收场。研究人员通过引入虚构的联合创始人"Benito Camella",在会议中质疑疑似北朝鲜IT工作者的身份与文件真实性。这一策略成功地引发了混乱,疑似工作者纷纷离开会议室,而研究人员则继续在公司的Telegram频道中制造矛盾,最终以"非法员工"与"糟糕招聘决策"为由解雇了"Andy Jones"。然而,骗局结束后,研究人员发现其中一名疑似北朝鲜IT工作者私下联系了García,表达歉意并询问其是否安好。这表明,即使在骗局被揭穿后,这些工作者仍然对其雇主保持忠诚,而他们背后的组织也可能继续寻找新的目标。**北朝鲜IT工作者的演变:从自由职业者到网络间谍**北朝鲜IT工作者的运作模式正在不断演变。

早期,他们主要通过自由职业平台如Upwork或Toptal获取远程工作机会,但随着平台加强了身份验证与背景调查,他们开始转向更隐蔽的招聘渠道。在Ballena Azul的案例中,招聘人员通过GitHub联系潜在候选人,这种方式不仅降低了被发现的风险,还能更精准地筛选出具备特定技能的工作者。此外,北朝鲜IT工作者还通过"笔记本农场"(laptop farms)来进一步掩盖其真实位置。这种模式下,北朝鲜工作者可以远程访问位于美国或其他国家的计算机,从而伪装成当地员工。今年5月,两名美国"笔记本农场"运营者因协助北朝鲜IT工作者伪装成美国员工,被判处18个月监禁。这表明,北朝鲜网络间谍组织正在不断寻找新的方法来绕过安全检查。

**加密行业的安全挑战**北朝鲜IT工作者对加密行业构成了严重的安全威胁。今年7月,Consensys公司透露,他们曾通过第三方服务提供商雇佣了一名与北朝鲜有关联的开发者,但在发现威胁后立即切断了其访问权限。而在2025年,美国检察官对四名北朝鲜籍男子提起诉讼,指控他们使用虚假身份获取远程IT工作,并从两家公司(包括一家美国区块链研发公司)窃取了超过90万美元的加密货币。这些案例表明,北朝鲜网络间谍组织正在将目标瞄准加密行业,利用其技术优势与资金流动的复杂性来掩盖其非法活动。对于加密公司而言,加强员工背景调查、实施多层身份验证以及监控异常网络行为已成为必不可少的安全措施。**未来的网络安全格局**Ballena Azul的骗局不仅揭露了北朝鲜IT工作者的运作模式,也为网络安全研究人员提供了新的思路。

随着AI技术的普及与网络攻击手段的不断升级,网络安全威胁将变得更加复杂与隐蔽。对于企业与政府机构而言,仅仅依靠传统的安全措施已远远不够。未来,网络安全研究人员需要更深入地了解北朝鲜网络间谍组织的运作方式,并开发出更先进的检测与防御技术。同时,加强国际合作,共享威胁情报,也是应对北朝鲜网络威胁的关键。只有通过技术创新与全球协作,才能有效遏制北朝鲜网络间谍组织的扩张,保护全球数字经济的安全与稳定。**结论:数字间谍战的无形战场**Ballena Azul的骗局是一场精心设计的网络安全调查,但它所揭露的问题却远不止于此。

北朝鲜IT工作者通过伪装身份、利用AI工具与远程桌面软件,不仅窃取了企业的敏感信息,还为政权提供了资金支持。这背后,是一场围绕数字经济与网络安全的无形战争。对于企业与个人而言,提高网络安全意识、加强身份验证与监控异常行为,已成为抵御网络间谍活动的必要手段。而对于网络安全研究人员而言,深入了解北朝鲜网络间谍组织的运作模式,将为未来的网络安全防护提供宝贵的参考。在这个数字化时代,网络间谍活动早已超越了传统的情报战,转而深入到我们日常生活的方方面面。只有通过技术创新、国际合作与全民参与,我们才能在这个无形的战场中守护自己的数字家园。

。