摘要

近日，FBI、CISA 和美国财政部提交了有关自 2018 年以来朝鲜黑客窃取加密货币的指控书。美国政府对三名属于朝鲜军事情报局侦察总局（RGB）的黑客发起了非公开起诉，指控几人在近年来的多次网络攻击中担任主要角色，从全球窃取了超过 13 亿美元。

同时，FBI、财政部和美国国土安全部的网络安全与基础设施安全局（CISA）也发布了与朝鲜有关的、名为 AppleJeus 的攻击行动的恶意软件详细信息和 IoC 指标。美国政府公开发布了自首次发现该恶意软件以来出现的七个 AppleJeus 变种的详细信息。助理总检察长 John Demers 在准备好的声明中表示美国政府将会继续揭露朝鲜的攻击行动，同时他也强调起诉另一个国家的攻击行为需要建立国际共识。

本月初，监测朝鲜活动的专家小组向联合国安理会提交了一份报告，报告显示朝鲜通过对金融公司和加密货币交易所发起网络攻击以窃取发展核现代化的资金。

其中一个黑客是 Park Jin Hyok（36 岁），在 2018 年美国政府就因参与众多网络攻击对他提起指控，其中包括 2014 年对 SONY 的攻击、2017 年 WannaCry 的攻击以及 2016 年从 Bangladesh 银行盗窃 8100 万美元。

另外两人分别是 Jon Chang Hyok（31 岁）和 Kim Il（27 岁），据称他们与 Park 一起开展了攻击行动。在指控中，美国政府声称这几个人需要为对越南、孟加拉国、中国台湾和其他国家/地区的银行发起的攻击而负责，这些攻击总共窃取了超过 12 亿美元。其他攻击行动也包括 ATM cash-out 攻击、勒索软件攻击、恶意加密货币应用程序的创建和分发以及窃取加密货币。

这三个人都被确定为 RGB 的成员，该组织长期被网络安全行业追踪，如 Lazarus Group、APT38、Stardust Chollima 等。

另外，还一同起诉了一位 37 岁的加拿大裔美国人 Ghaleb Alaumary。目前他对帮助朝鲜进行大规模洗钱已经认罪伏法。

LogRhythm 首席产品官 Rusty Carter 表示：“大家可能会对起诉书中的细节感到惊讶，该组织的核心动机是利益驱动，活动范围广且方法多样。不仅针对政府和大型金融公司，连消费者个人也不放过”。

去年 9 月，Intel 471 检查了多来源数据，得出的结论：朝鲜攻击者也活跃于地下市场，并与讲俄语的顶尖犯罪网络集团（如 TA505）保持密切联系。该公司发现，朝鲜攻击者编写并打算使用的恶意软件很可能是通过属于俄罗斯网络犯罪分子的网络基础设施进行分发传播的。Intel 471 首席执行官 Mark Arena 认为，说俄语的网络犯罪分子为朝鲜的攻击者提供了进入金融机构的通道。在金融机构内部进行后续入侵活动是一项复杂的任务，朝鲜攻击者多年来已经成功地完成了很多次攻击。

包括 NTT Security 和 SentineOne 在内的其他公司也指出，朝鲜攻击者与总部位于俄罗斯的攻击者之间存在潜在的合作关系。

此外，攻击者还通过网络钓鱼和社会工程技巧来分发恶意软件。攻击对象涵盖多个行业：包括政府、金融、能源、技术和电信。受害者包括美国、加拿大、中国、德国、印度、意大利和日本。

参考来源

DarkReading

美国司法部