Предложение о работе оказалось ловушкой

Тыну Самуэль – легендарный бывший хакер, который на протяжении многих лет фигурировал в разных увлекательных историях, но недавно 54-летний компьютерный эксперт оказался втянут в аферу, в ходе которой связанные с Северной Кореей хакеры пытались похитить криптовалюту и секретные данные. Все началось 16 сентября, когда некий Мухаммад Раза написал эстонцу в LinkedIn – популярной платформе для поиска работы. Мужчина представился руководителем ИИ-компании, проживающим в Дубае, и предложил ему работу.

"Вначале он расхваливал меня, как это обычно и бывает. Затем сказал, что у них есть некий проект, в описании которого фигурирует очень много терминов, которые он мне перечислил. Это, кстати, был первый тревожный сигнал. Потому что если человек начинает буквально засыпать тебя терминами, то, как правило, это мошенник" – рассказал Самуэль.

Аналитик Департамента государственных инфосистем (RIA) Николай Куницын отметил, что суть мошеннической схемы заключается в том, что ее адаптируют под конкретного человека, исходя из его профиля и имеющихся у него навыков. "Тыну, с которым мы также поддерживали связь, довольно быстро удалось распознать, что речь идет о какой-то подозрительной схеме. К счастью, он решил подыграть злоумышленникам, благодаря чему мы смогли получить более подробную информацию о том, как все это работает", – прокомментировал Куницын.

По словам Куницына и бывшего руководителя бюро по борьбе с киберпреступностью Департамента полиции и погранохраны, а ныне руководителя компании Glazer Technologies Аго Амбура, речь идет об одной из схем кибератак, используемых северокорейскими хакерами.

Киберпреступность как источник дохода режима

Северная Корея – необычный игрок на международной киберсцене. Несмотря на экономическую изоляцию и ограничения доступа к интернету для большинства населения, страна обладает значительными возможностями в сфере кибератак.

"Население Северной Кореи примерно в 12–13 раз больше, чем в Эстонии, а ВВП при этом примерно на треть или четверть меньше эстонского. Но в киберпространстве эта страна на самом деле является крупным игроком", – отметил Куницын.

По словам Амбура, речь идет об ущербе в сотни миллионов, а возможно, и миллиарды долларов ежегодно. Эти деньги собирают по всему миру, а затем через различные каналы переводят обратно режиму.

Хотя в экспертной среде северокорейские хакеры и раньше не были неизвестными игроками, впервые мировое внимание они привлекли довольно курьезным образом. Поводом, предположительно, стал фильм "Интервью", в котором высмеивались северокорейская диктатура и покушение на лидера страны. Незадолго до премьеры картины компания подверглась масштабной кибератаке.

"Ко всеобщему удивлению, северокорейские хакеры проникли в компьютерные системы Sony и обнародовали внутреннюю переписку компании, поставив ее в крайне неловкое положение. Тогда считалось, что они смогли атаковать частную компанию, не относящуюся к объектам критической инфраструктуры. Но два года спустя они провели еще более масштабную операцию, воспользовавшись уязвимостью в международной системе межбанковских платежей SWIFT. Операция была проведена с ювелирной точностью. Хакеров разоблачили лишь из-за одной глупой опечатки. Как показало последующее расследование, если бы не эта ошибка, им, вероятно, удалось бы похитить более миллиарда долларов", – рассказал Куницын.

В отличие от Китая и России, которые также обладают мощными возможностями в сфере кибершпионажа, Северная Корея, по словам экспертов, систематически использует кибератаки для хищения денег.

С такими операциями чаще всего связывают хакерскую группировку Lazarus Group, которая, в частности, распространяла вирус-шифровальщик WannaCry. В 2017 году он поразил компьютеры по всему миру, в том числе в Эстонии.

Если раньше интерес северокорейских хакеров мог носить преимущественно идеологический характер, то сегодня их главная цель – заработок. При этом они продолжают заниматься и похищением секретных данных.

"Северная Корея – одна из подсанкционных стран мира, если не самая подсанкционная. Благодаря деятельности в киберпространстве она может обходить международные санкции. И главная задача таких операций сегодня – финансирование режима, прежде всего различных программ по разработке и производству вооружений. По различным оценкам, которые, скорее всего, занижают реальные масштабы происходящего, за эти годы было похищено от шести до восьми миллиардов долларов", – сообщил Куницын.

Хакеры атакуют и связанные с Эстонией компании

Эстония и ее жители также сталкивались с деятельностью северокорейских хакеров. Еще в годовом отчете за 2021 год Департамент полиции безопасности сообщил об атаках на эстонских дипломатов в период, когда страна была членом Совета Безопасности ООН. Служба внешней разведки Эстонии также посвятила агрессивной деятельности Северной Кореи отдельную главу в своем последнем годовом отчете.

Крупнейший на сегодняшний день финансовый ущерб эстонским компаниям был нанесен три года назад.

"ФБР официально возложило ответственность за инциденты, произошедшие в 2023 году, когда были атакованы две связанные с Эстонией коммерческие структуры, на хакеров, связанных с Северной Кореей. В результате было похищено около 150 миллионов долларов США", – сказал Амбур.

При этом Эстония не входит в число приоритетных целей северокорейских хакеров, считает Куницын. "Но чем активнее развивается наш IT-сектор, чем богаче мы становимся и чем больше криптоактивов оказывается у граждан, тем больше внимания мы начинаем привлекать. Это своего рода эффект распространения, когда последствия более масштабной деятельности затрагивают и нас", – пояснил он.

Фальшивые рекрутеры ищут специалистов в IT

В последнее время все большее распространение получают схемы, в которых злоумышленники используют методы социальной инженерии. В нескольких западных странах уже выявили случаи, когда связанные с Северной Кореей лица выдавали себя за IT-специалистов и устраивались на удаленную работу.

При этом опасность угрожает не только работодателям. Под удар могут попасть и сами специалисты, которые ищут новую работу или рассматривают предложения от потенциальных работодателей.

"Наши граждане и сотрудники, находясь в поиске работы или рассматривая новые предложения, могут столкнуться с фальшивыми рекрутерами, которые на самом деле действуют в интересах северокорейских хакеров или связанных с ними группировок. Их задача – заманить специалистов в ловушку", – объяснил Амбур.

Именно с таким вербовщиком столкнулся Тыну Самуэль. В ходе переписки стороны договорились провести видеозвонок в Google Meet 22 сентября.

"Сначала на экране буквально на секунду появился какой-то мужчина. По внешности я предположил, что он, скорее всего, откуда-то из арабских стран. Но затем он сказал, что выключит камеру, поскольку у него медленный интернет. Для меня это стало еще одним тревожным сигналом", – рассказал Самуэль.

Затем ему предложили выполнить тестовое задание.

Как объяснил Куницын, подобные задания сами по себе являются обычной частью процесса найма IT-специалистов. Работодатель предлагает кандидату поработать с определенным проектом, например на платформе GitHub, где разработчики публикуют свой код и демонстрируют профессиональные навыки.

Однако в данном случае задание оказалось способом заразить компьютер вредоносным программным обеспечением.

"Меня попросили открыть проект. У разработчиков есть распространенный инструмент Cursor. Так получилось, что он у меня был установлен, хотя я, кажется, не пользовался им уже несколько лет. Я запустил через него проект, и именно в этот момент мой компьютер заразился! Внутри программы была последовательность команд. Ты можешь быть профессионалом, но с первого взгляда она тебе ничего не скажет. Смотришь на нее – ничего подозрительного. Но на самом деле она устанавливала соединение с удаленным сервером и начинала принимать оттуда команды. И вот что меня действительно удивило и даже немного разозлило: на дворе 2026 год, а у нас есть программное обеспечение, установленное практически у каждого разработчика, которое даже не предупреждает пользователя, когда делает что-то, чего делать не должно", – сказал Самуэль.

Куницын подчеркнул, что опасность подобных атак заключается именно в их продуманности. Вредоносный код может выглядеть вполне легитимно, особенно если пользователь скачивает его с известной платформы GitHub.

"Люди и организации, стоящие за подобными схемами, обладают очень высоким техническим уровнем. Именно поэтому RIA в рамках своих профилактических кампаний постоянно напоминает: не переходите по ссылкам, в надежности которых вы не уверены", – предупредил аналитик.

Злоумышленников интересовали криптовалютные кошельки

Самуэлю удалось избежать серьезных последствий благодаря заранее предусмотренным мерам защиты. Поскольку специалист работает и с клиентами, располагающими конфиденциальной информацией, ему было важно выяснить, что именно интересует злоумышленников – секретные данные или деньги.

"Для меня это был принципиальный вопрос: чего они от меня хотят? Атакуют именно меня или это часть более масштабной кампании? Я некоторое время наблюдал за происходящим и понял, что их интересовали исключительно деньги. Не наличные, конечно, а криптовалютные кошельки и другие подобные активы, которыми они могли бы воспользоваться", – пояснил Самуэль.

После этого он удалил вредоносное программное обеспечение, составил подробный отчет об атаке и направил его в RIA, а также на соответствующие платформы. К настоящему времени RIA получила сообщения о подобных случаях от трех пострадавших в Эстонии. Один из них потерял криптовалюту на сумму 10 000 евро. 20 октября ведомство опубликовало в своем блоге предупреждение о данной схеме.

Однако зарубежные платформы отреагировали на сообщения Самуэля далеко не одинаково.

"Google отклонил мое подробное описание произошедшего, заявив, что мой адрес электронной почты выглядит настолько подозрительным, что они не могут принять письмо. Некоторые платформы, например GitHub, где хранилось вредоносное программное обеспечение, приняли мое сообщение и удалили соответствующие материалы. Это был совершенно правильный шаг. А вот в LinkedIn даже спустя месяц этот профиль оставался активным и продолжал свою деятельность. После того как я некоторое время буквально заваливал платформу письмами, мне сообщили, что аккаунт заблокирован. При этом объяснили, что мой аккаунт якобы скомпрометирован и мне необходимо подтвердить личность, предоставив копию паспорта. Но вот что интересно: они утверждали, что заблокировали аккаунт. Однако он по-прежнему работает. Они вообще не понимают, что делают!" – возмутился Самуэль.

Злоумышленники используют поддельную личность на основе данных людей

С помощью инструмента для проверки биографических данных, разработанного Glazer Technologies, удалось установить, что злоумышленники использовали поддельную личность, созданную на основе данных реальных людей.

На фотографии был изображен Мухаммад Раза Шакил – уроженец Пакистана, проживающий в Дубае. Несколько его аккаунтов были взломаны. Компания, которую якобы представлял собеседник Самуэля, действительно существовала, но прекратила деятельность несколько лет назад. Сам Мухаммад в ней никогда не работал.

По всей видимости, пакистанец даже не подозревает, что северокорейские хакеры использовали его фотографию, пытаясь обмануть эстонского специалиста и, вероятно, других людей.

По словам экспертов, особую опасность такие атаки представляют именно для IT-специалистов.

"И вот что, на мой взгляд, действительно очень опасно. Они могут завербовать настоящего главного инженера, у которого есть доступ практически ко всем системам. Он заражает всю компанию, а сотрудники, в свою очередь, заражают следующие организации. И так угроза распространяется дальше. Риск здесь очень велик, и я не вижу какого-то действительно надежного способа противодействия", – посетовал Самуэль.

Эти слова оказались пророческими. Следующей ночью после интервью, как предполагается, северокорейские хакеры проникли в одну из крупнейших криптовалютных бирж – Binance – и похитили криптовалюту на сумму 6,3 млрд долларов.

Примечательно, что, согласно последним сообщениям, центральную роль в этой атаке сыграло поддельное предложение о работе – точно такое же, с каким столкнулся Самуэль.

"Я не вижу никаких причин, по которым эта схема не могла бы развиваться дальше. Сегодня это предложение о работе, а завтра атака может начаться совершенно с другой стороны. И возможности распознать ее резко сократятся. Более того, я утверждаю, что в большинстве случаев распознать такую атаку практически невозможно. Эти атаки становятся все изощреннее, все правдоподобнее, и распознать их становится практически невозможно", – подытожил Самуэль.