<div id="post_message_798422">

Северокорейская хакерская группировка Famous Chollima создала новый троян PylangGhost. Злоумышленники распространяют его через поддельные собеседования для специалистов в криптоиндустрии, сообщили исследователи из <a href="https://blog.talosintelligence.com/python-version-of-golangghost-rat/" target="_blank">Cisco Talos</a>.<br/>
<br/>
<b><font size="4">Как работает схема</font></b><br/>
<br/>
Злоумышленники создают мошеннические сайты, которые имитируют известные компании вроде Coinbase, Robinhood и Uniswap.<br/>
<br/>
<img alt="" border="0" class="bbCodeImage" src="https://forklog.com/wp-content/uploads/Snimok-ekrana-2025-06-20-124447-1024x451.webp"/><br/>
<div style="margin:20px; margin-top:5px; ">
<!-- <div class="smallfont" style="margin-bottom:2px">Quote:</div> -->
<table border="0" cellpadding="6" cellspacing="0" width="100%">
<tr>
<td class="alt2" style="background: rgb(37, 37, 37) none repeat scroll 0% 0%; border: 1px solid rgb(0, 0, 0); border-radius: 5px; font-size: 11px; text-shadow: none;">

Пример фейкового сайта по поиску работы. Данные: Cisco Talos.

</td>
</tr>
</table>
</div>Рекрутеры направляют на них соискателей для прохождения тестов. После этого кандидатам предлагают включить камеру для видеоинтервью. Для этого нужно выполнить команду в консоли, которая якобы устанавливает видеодрайвер. На самом деле эта команда загружает вредоносное ПО.<br/>
<br/>
<b><font size="4">Возможности трояна</font></b><br/>
<br/>
PylangGhost — это троян удаленного доступа (RAT), написанный на Python и предназначенный для систем на Windows. Он является аналогом ранее известного вируса GolangGhost для macOS. Системы на базе Linux в этих кампаниях не затрагиваются. <br/>
<br/>
После запуска вирус дает удаленный контроль над зараженной системой. Он крадет файлы cookie и учетные данные из более чем 80 браузерных расширений. Целями являются менеджеры паролей вроде 1Password и NordPass, а также криптокошельки вроде MetaMask, Phantom, Bitski и TronLink.<br/>
<br/>
Вирус обеспечивает хакерам постоянный удаленный доступ к зараженной системе.<br/>
<br/>
Исследователи отметили, что хакеры, скорее всего, не использовали большие языковые модели для написания кода вируса.<br/>
<br/>
<b><font size="4">Индия — главная мишень</font></b><br/>
<br/>
В основном злоумышленники нацелены на специалистов из Индии. Эксперты отметили, что это часть более широкой стратегии Северной Кореи. Группировка не только крадет средства с бирж, но и пытается внедрить своих людей в криптокомпании для сбора разведданных.<br/>
<br/>
Директор Digital South Trust Дилип Кумар заявил <a href="https://decrypt.co/326187/new-malware-crypto-job-scams-north-korea" target="_blank">Decrypt</a>, что для борьбы с подобными инцидентами «Индия должна ввести обязательные аудиты кибербезопасности для блокчейн-компаний и контролировать поддельные порталы по поиску работы».<br/>
<br/>
<div style="margin:20px; margin-top:5px; ">
<!-- <div class="smallfont" style="margin-bottom:2px">Quote:</div> -->
<table border="0" cellpadding="6" cellspacing="0" width="100%">
<tr>
<td class="alt2" style="background: rgb(37, 37, 37) none repeat scroll 0% 0%; border: 1px solid rgb(0, 0, 0); border-radius: 5px; font-size: 11px; text-shadow: none;">
<font size="3">«CERT-In должна выпускать красные предупреждения, а MEITY и NCIIPC — усилить глобальную координацию в борьбе с трансграничной киберпреступностью», — сказал он.</font>
</td>
</tr>
</table>
</div>Кумар также призвал к «усилению правовых положений» в рамках Закона об информационных технологиях и «кампаниям по повышению цифровой осведомленности».<br/>
<br/>
Напомним, в апреле эксперты Silent Push <a href="https://forklog.com/news/hakery-iz-kndr-sozdali-fiktivnye-firmy-dlya-obmana-polzovatelej" target="_blank">сообщили</a>, что группа Contagious Interview, связанная с <a href="https://forklog.com/cryptorium/chto-izvestno-o-lazarus-group-podozrevaemoj-vo-vzlome-bybit" target="_blank">Lazarus</a>, зарегистрировала три подставные компании для распространения вредоносного ПО. Фирмы используются для обмана пользователей через фейковые собеседования.<br/>
<br/>
<a href="https://forklog.com/news/hakery-atakovali-soiskatelej-v-kriptoindustrii-cherez-fejkovye-intervyu" target="_blank">@ ForkLog</a>
</div>