DeceptiveDevelopment: от примитивной кражи криптовалюты до сложного обмана на базе ИИ

DeceptiveDevelopment действует как минимум с 2023 года и нацелена на финансовую выгоду. Ее активность пересекается с кампаниями Contagious Interview, DEV#POPPER и Void Dokkaebi. Группа атакует разработчиков программного обеспечения во всех основных операционных системах - Windows, Linux и macOS - особенно тех, кто работает в сфере криптовалют и проектов Web3. Первоначальное проникновение осуществляется исключительно с помощью методов социальной инженерии, таких как ClickFix, и поддельных профилей рекрутеров, аналогичных операции DreamJob группы Lazarus, для доставки троянизированных баз кода в ходе фиктивных собеседований.

Операторы DeceptiveDevelopment выдают себя за рекрутеров на платформах LinkedIn, Upwork, Freelancer и Crypto Jobs List, предлагая ложные высокооплачиваемые вакансии. Жертвам предлагают выполнить тестовое задание - скачать проект из частных репозиториев GitHub, GitLab или Bitbucket. Эти репозитории содержат вредоносный код, часто скрытый в длинных комментариях, выходящих за пределы окна редактора кода. Выполнение задания запускает первую стадию вредоносной программы BeaverTail.

Новая техника социальной инженерии ClickFix была впервые задокументирована компанией Sekoia.io в марте 2025 года. Злоумышленники направляют жертву на поддельный сайт собеседования, где требуется заполнить подробную анкету. На последнем этапе сайт запрашивает доступ к камере для записи видео, но вместо этого выдает ошибку и предлагает ссылку «Как исправить». Эта ссылка ведет к инструкции скопировать и выполнить в терминале команду, которая на самом деле загружает и запускает вредоносное программное обеспечение.

Арсенал DeceptiveDevelopment в основном кроссплатформенный и включает начальные обфусцированные скрипты на Python и JavaScript, базовые бэкдоры на Python и Go, а также проект из даркнета на .NET. Основные полезные нагрузки - это инфостилеры BeaverTail, OtterCookie и WeaselStore, а также модульный троянец удаленного доступа (RAT) InvisibleFerret.

BeaverTail - это простой похититель данных и загрузчик, который собирает информацию из кошельков криптовалют, связок ключей и сохраненных логинов браузера. Его основная функция - загрузка второго этапа, InvisibleFerret. InvisibleFerret - это модульное вредоносное ПО на Python с расширенными возможностями похищения данных и удаленного управления. Оно обычно включает модули для кражи данных браузера, полезной нагрузки (RAT), записи ввода с клавиатуры и буфера обмена, а также развертывания инструмента удаленного доступа AnyDesk.

По мере развития DeceptiveDevelopment отдельные команды внутри группы начали модифицировать код и создавать новые инструменты. Одним из примеров является WeaselStore (также известный как GolangGhost и FlexibleFerret) - кроссплатформенный инфостилер, первоначально написанный на Go, а позже переписанный на Python. Его особенность заключается в доставке на систему жертвы в виде исходного кода Go вместе с бинарными файлами окружения для компиляции, что позволяет атаковать Windows, Linux и macOS.

В ноябре 2024 года была обнаружена новая вредоносная цепочка под названием TsunamiKit, предназначенная для кражи информации и криптовалюты. Анализ показывает, что TsunamiKit, вероятно, является модификацией проекта из даркнета, а не собственной разработкой злоумышленников, так как его следы датируются как минимум декабрем 2021 года.

Наиболее сложной полезной нагрузкой, связанной с DeceptiveDevelopment, является Tropidoor. Исследование выявило, что Tropidoor разделяет большие части кода с троянцем PostNapTea, который использовался группой Lazarus в 2022 году. Это указывает на возможное заимствование или сотрудничество с более технически продвинутыми северокорейскими группами.

Деятельность DeceptiveDevelopment тесно переплетена с кампаниями северокорейских ИТ-работников, которых исследователи обозначают как WageMole. В то время как DeceptiveDevelopment компрометирует системы соискателей, posing as recruiters, ИТ-работники используют полученную информацию для того, чтобы выдавать себя за job seekers. Они применяют тактики прокси-собеседований, используют украденные личности и создают синтетические идентичности с помощью инструментов на базе искусственного интеллекта, включая замену лиц в реальном времени во время видеоинтервью.

Согласно открытым источникам, эти ИТ-работники действуют рассредоточено, часто находясь в Китае, России и странах Юго-Восточной Азии. Они работают по 10-16 часов в день, занимаясь поиском работы, выполнением задач и самообразованием. Для трудоустройства они используют поддельные документы, резюме и портфолио. Также были зафиксированы случаи использования готовых скриптов для найма реальных людей в качестве прокси для прохождения собеседований.

Анализ поддельных резюме показывает, что изначально ИТ-работники ориентировались на рынок труда США, но в последнее время сместили фокус на Европу, включая Францию, Польшу, Украину и Албанию.

Тактика, техника и процедуры (TTP) DeceptiveDevelopment демонстрируют более распределенную, ориентированную на объем модель операций. Несмотря на частую недостаточную техническую сложность, группа компенсирует это масштабом и креативной социальной инженерией. Ее кампании показывают прагматичный подход: эксплуатация инструментов с открытым исходным кодом, повторное использование доступных проектов из даркнета, адаптация вредоносного ПО, вероятно, арендованного у других северокорейских групп, и использование человеческих уязвимостей через фиктивные предложения о работе и платформы для собеседований.

Деятельность северокорейских ИТ-работников представляет собой гибридную угрозу. Эта схема мошенничества сочетает в себе классические преступные операции, такие как кража личных данных и мошенничество с синтетическими идентичностями, с цифровыми инструментами. Прокси-собеседования несут серьезный риск для работодателей, поскольку нанятый нелегальный сотрудник из страны, находящейся под санкциями, может быть не только недобросовестным, но и превратиться в опасную инсайдерскую угрозу.

Находки подчеркивают размытые границы между целевой APT-активностью и киберпреступностью, особенно в зоне пересечения кампаний вредоносного ПО от DeceptiveDevelopment и операций северокорейских ИТ-работников. Эти тактики двойного назначения - сочетание киберкражи и кибершпионажа с немошенническими схемами трудоустройства - подчеркивают необходимость для защитников рассматривать более широкие экосистемы угроз, а не изолированные кампании.