针对区块链从业者的招聘陷阱：疑似Lazarus（APT-Q-1）窃密行动分析
内容提要
APT组织Lazarus Group持续对区块链行业发起钓鱼攻击，利用虚假身份发布工作信息吸引开发者。攻击者要求应聘者在本地运行恶意JS代码，窃取加密货币相关信息。攻击样本与之前的攻击活动相似，可能与Lazarus Group有关。
延伸解读
攻击目标为何锁定区块链开发者
区块链行业远程开发工作普遍，开发者常需运行陌生代码进行测试或修复，这为攻击者提供了可乘之机。Lazarus组织利用虚假招聘身份，以高薪或紧急任务为诱饵，诱使开发者在本地执行恶意代码，进而窃取加密货币钱包信息。由于攻击者准备了看似正规的网站和设计文档，求职者很难辨别真伪，一旦运行代码便可能造成财产损失。
恶意代码的隐蔽性与传播链条
攻击者将恶意JavaScript代码隐藏在正常软件包中，通常置于一行内，并利用注释和空白符掩盖，普通文本编辑器难以发现。代码通过Base64编码和字符串切分保护关键字符串，运行后收集多平台浏览器中的加密货币钱包插件数据、密码和钥匙串文件，回传至C2服务器，并下载后续Python脚本，进一步窃取数据或部署远程控制工具。
与'Contagious Interview'活动的关联
此次攻击样本与Unit 42披露的'Contagious Interview'活动使用的恶意软件BeaverTail和InvisibleFerret一致，且C2服务器存在重叠，表明这是该活动的延续。攻击者使用的钓鱼手法与Lazarus组织此前针对西班牙航空航天公司的行动相似，加上区块链行业长期是Lazarus的攻击重点，因此安全研究人员认为此次行动可能与该组织有关。
求职者应如何防范此类陷阱
面对招聘方要求本地运行代码的请求，求职者应保持警惕，尤其是涉及加密货币钱包或敏感数据的操作。建议在隔离环境（如虚拟机）中运行未知代码，并检查代码中是否包含可疑的网络请求或数据收集行为。同时，注意核实招聘方身份，避免使用个人设备处理来源不明的项目，以降低敏感信息泄露和资产损失的风险。
Q&A
Lazarus Group的主要攻击目标是什么？
Lazarus Group主要攻击金融机构和虚拟货币行业，尤其是区块链行业的开发者。
攻击者是如何诱使应聘者运行恶意代码的？
攻击者通过伪装成雇主，发布高薪工作信息，声称是编码挑战或项目修复，诱使应聘者在本地运行恶意代码。
此次攻击活动与之前的攻击有什么相似之处？
此次攻击活动与之前的'Contagious Interview'攻击活动相似，使用的恶意软件和网络钓鱼手法一致。
恶意代码是如何传播的？
恶意代码通过代码托管平台隐藏在正常软件包中，供应聘者下载，难以被发现。
应聘者在运行恶意代码后会面临什么风险？
应聘者可能会遭遇财产损失和敏感数据泄露，尤其是与加密货币相关的信息。
如何防范类似的钓鱼攻击？
应聘者应提高警惕，避免在不明来源的工作信息中运行代码，并核实雇主的身份。
