Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Kampanie typu ClickFake to rozwinięcie oszustw rekrutacyjnych, w których napastnicy podszywają się pod pracodawców lub rekruterów, aby skłonić ofiarę do samodzielnego uruchomienia złośliwego kodu. W najnowszych przypadkach celem stali się specjaliści z obszaru kryptowalut i Web3, a cały scenariusz bazuje na fałszywych rozmowach kwalifikacyjnych, interaktywnych portalach oraz komunikatach o rzekomych problemach technicznych podczas wideokonferencji.
To podejście jest szczególnie niebezpieczne, ponieważ nie opiera się wyłącznie na klasycznym phishingu. Atakujący wykorzystują presję czasu, realizm procesu rekrutacyjnego i naturalną skłonność kandydatów do wykonywania instrukcji mających rzekomo przywrócić działanie kamery, mikrofonu lub narzędzia do spotkań online.
W skrócie
Kampania ClickFake została powiązana z północnokoreańskim ekosystemem zagrożeń i jest wymierzona w kandydatów pracujących w sektorze Web3 oraz kryptowalut. Napastnicy wykorzystują fałszywe procesy rekrutacyjne, aby nakłonić ofiary do pobrania lub uruchomienia komponentów malware, w tym trojanów zdalnego dostępu.
- Celem są głównie specjaliści techniczni związani z Web3, blockchainem i kryptowalutami.
- Atak bazuje na socjotechnice, a nie na automatycznym wykorzystaniu podatności.
- Ofiara jest kierowana do fałszywego portalu rekrutacyjnego lub środowiska rozmowy.
- Kluczowym etapem jest nakłonienie użytkownika do uruchomienia poleceń lub plików pod pretekstem rozwiązania problemu technicznego.
- Finalnym skutkiem może być trwały dostęp do urządzenia i kradzież danych lub zasobów kryptograficznych.
Kontekst / historia
Fałszywe oferty pracy od lat stanowią istotny element operacji przypisywanych grupom powiązanym z Koreą Północną. Wcześniejsze kampanie, często opisywane jako Contagious Interview, opierały się na kontaktowaniu się z programistami oraz specjalistami od aktywów cyfrowych przez platformy zawodowe i komunikatory, a następnie kierowaniu ich do zainfekowanych zadań technicznych, repozytoriów lub testów kompetencyjnych.
Obecna ewolucja tego modelu pokazuje przesunięcie w stronę bardziej dopracowanych scenariuszy socjotechnicznych. Zamiast wysyłać jedynie podejrzane archiwa lub projekty, napastnicy tworzą kompletny kontekst biznesowy: profile rekruterów, strony firmowe, harmonogramy rozmów i fałszywe środowiska spotkań online. Dzięki temu kampania staje się trudniejsza do wykrycia zarówno dla użytkowników, jak i dla wielu tradycyjnych mechanizmów ochronnych.
W realiach rynku Web3 taki model działania ma szczególną skuteczność. Branża jest silnie rozproszona, opiera się na pracy zdalnej, a procesy zatrudnienia i współpracy kontraktowej często przebiegają całkowicie online. To tworzy warunki sprzyjające wiarygodnym oszustwom rekrutacyjnym.
Analiza techniczna
Łańcuch ataku zazwyczaj rozpoczyna się od kontaktu ze strony rzekomego rekrutera lub przedstawiciela firmy. Ofiara otrzymuje zaproszenie do rozmowy technicznej, prezentacji projektu albo testu kompetencyjnego. Następnie jest przekierowywana do kontrolowanego przez napastników portalu, który imituje legalne narzędzie spotkań lub platformę rekrutacyjną.
W kluczowym momencie użytkownik widzi komunikat o błędzie związanym z kamerą, mikrofonem albo dostępem do sesji. Zamiast klasycznego exploitu przeglądarkowego stosowany jest mechanizm oparty na aktywnym udziale ofiary. Użytkownik otrzymuje instrukcje, aby pobrać plik, uruchomić skrypt lub wkleić komendę do terminala bądź systemowego okna poleceń.
Jest to wariant socjotechniki zbliżony do schematów ClickFix, w których napastnik nie musi samodzielnie wykonać kodu na urządzeniu. Inicjatorem staje się użytkownik, co pozwala obejść część zabezpieczeń zaprojektowanych z myślą o blokowaniu automatycznego uruchamiania podejrzanych ładunków.
W analizowanych kampaniach wskazywano wykorzystanie trojanów zdalnego dostępu oraz technik maskowania ładunków. Obejmują one między innymi przygotowywanie komponentów w sposób utrudniający analizę, ograniczający czytelność artefaktów i zmniejszający skuteczność detekcji sygnaturowej. Z perspektywy obrońców oznacza to konieczność badania nie tylko samych plików wykonywalnych, ale również całej infrastruktury wspierającej operację.
Znaczenie mają tutaj także fałszywe domeny, portale stylizowane na narzędzia biznesowe, profile pracowników oraz pozorowane ścieżki rekrutacyjne. Techniczna analiza zagrożenia powinna więc obejmować:
- wzorce rejestracji domen i ich powiązania infrastrukturalne,
- artefakty pozostawiane przez skrypty i narzędzia developerskie,
- nietypowe uruchomienia interpreterów i shelli,
- zależności między portalami a payloadami,
- elementy socjotechniczne wspierające infekcję.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem udanej operacji jest przejęcie urządzenia należącego do osoby mającej dostęp do kodu źródłowego, kluczy API, repozytoriów, komunikatorów firmowych i narzędzi administracyjnych. W sektorze Web3 ryzyko jest jeszcze większe, ponieważ kompromitacja pojedynczego endpointu może otworzyć drogę do portfeli kryptowalutowych, kluczy prywatnych, seed phrase, środowisk CI/CD czy paneli zarządzania infrastrukturą.
Z punktu widzenia organizacji nie jest to wyłącznie problem jednego użytkownika. Przejęcie konta kandydata, kontraktora lub pracownika może zostać wykorzystane jako punkt wejścia do szerszej kompromitacji łańcucha dostaw, kradzieży własności intelektualnej, nadużyć finansowych oraz dalszego rozpoznania środowiska przed kolejnymi etapami ataku.
Nie można też pomijać wymiaru reputacyjnego i regulacyjnego. Firmy działające w obszarze aktywów cyfrowych funkcjonują pod presją zgodności i zaufania rynkowego. Incydent związany z kompromitacją procesu rekrutacji lub współpracy zdalnej może przełożyć się na utratę wiarygodności w oczach partnerów, klientów i inwestorów.
Rekomendacje
Organizacje powinny traktować proces rekrutacyjny jako pełnoprawny wektor ataku i objąć go takimi samymi kontrolami jak inne obszary wysokiego ryzyka. Kluczowe jest również uświadamianie kandydatów i pracowników, że legalna rozmowa techniczna nie powinna wymagać uruchamiania niezweryfikowanych skryptów, poleceń terminalowych ani pobierania rzekomych poprawek z przypadkowych portali.
- Realizować testy techniczne wyłącznie w zweryfikowanych środowiskach i przez oficjalne kanały komunikacji.
- Wprowadzić wyraźną separację urządzeń prywatnych i służbowych, szczególnie w zespołach mających dostęp do zasobów kryptograficznych.
- Blokować uruchamianie niepodpisanych skryptów i monitorować interpretery, shelle oraz narzędzia developerskie pod kątem anomalii.
- Rozszerzyć telemetrię EDR/XDR na procesy takie jak PowerShell, shell, Python, Node.js i mechanizmy ładowania bibliotek.
- Chronić klucze prywatne, sekrety aplikacyjne i portfele za pomocą MFA, segmentacji oraz dedykowanych systemów zarządzania sekretami.
- Weryfikować tożsamość rekruterów, domen i zaproszeń na spotkania przed rozpoczęciem rozmowy.
- Analizować w sandboxie wszystkie materiały rekrutacyjne dostarczane przez zewnętrzne podmioty.
Zespoły SOC powinny dodatkowo budować reguły detekcji dla sekwencji typowych dla ClickFake, takich jak otwarcie strony rekrutacyjnej, kopiowanie poleceń z przeglądarki, uruchomienie terminala przez użytkownika, pobranie ładunku i szybkie połączenia wychodzące do świeżo utworzonych domen.
Podsumowanie
Kampania ClickFake pokazuje, że nowoczesna socjotechnika wymierzona w specjalistów technicznych może skutecznie omijać wiele klasycznych zabezpieczeń. Zamiast szukać wyłącznie podatności technicznych, napastnicy wykorzystują realistyczny scenariusz biznesowy i skłaniają ofiarę do samodzielnego wykonania działań prowadzących do infekcji.
Dla firm z sektora Web3 i kryptowalut to wyraźny sygnał, że bezpieczeństwo procesów rekrutacyjnych, współpracy z kontraktorami i pracy zdalnej powinno być traktowane na równi z ochroną poczty, endpointów i infrastruktury produkcyjnej.
Źródła
- https://www.infosecurity-magazine.com/news/north-korean-clickfake-campaign/
- https://socradar.io/blog/dprk-clickfake-pylangghost-golangghost-rats/
- https://blog.sekoia.io/wp-content/uploads/2025/05/From-contagious-to-clickfake-interview-sekoia.io-march-2025-tlp-clear.pdf
- https://www.bleepingcomputer.com/news/security/north-korean-hackers-adopt-clickfix-attacks-to-target-crypto-firms/
- https://www.fireblocks.com/blog/contagious-interview-recruiting-scam