Северокорейские хакеры давно охотятся на участников криптоиндустрии, и их методы становятся все изощреннее. Один из случаев описал пользователь X под ником 陈剑Jason (@jason_chen998).
По его словам, под видом старого друга к нему постучался человек, который почти наверняка не был тем, за кого себя выдавал. Вычислить подмену помогла одна провокационная фраза.
Как выглядела атака
Утром Jason получил сообщение в Telegram от знакомого, с которым не общался около двух лет. Тот предложил обсудить проект, над которым якобы работает, а перед этим попытался завязать непринужденный разговор. Jason понял, что собеседник неловко выдергивал темы из их старой переписки.
Затем «друг» прислал приглашение через календарь. Сайт выглядел нормально. Jason забронировал встречу на четыре часа дня. Когда время подошло, ссылки на звонок в почте не оказалось. На вопрос, где проходит встреча, собеседник прислал ссылку и поторопил: мол, все давно ждут.
Тут и возникли подозрения. Во-первых, с хорошо знакомым человеком проще созвониться прямо в Telegram, а не устраивать формальную процедуру. Во-вторых, домен ссылки не относился к привычным сервисам вроде Google или Tencent. Это был некий «teamlive», о котором Jason никогда не слышал. Сложив все детали воедино, он решил, что с большой вероятностью общается с северокорейским хакером.
Проверка одной фразой
Jason предложил собеседнику написать: «Ким Чен Ын — полный идиот». Ответа он так и не дождался. Вместо этого вся история переписки внезапно исчезла. В Telegram можно в одностороннем порядке удалить все сообщения у обеих сторон, чем «друг» и воспользовался. Заодно он удалил Jason из контактов.
Все произошло так быстро, что сделать скриншоты не удалось. Единственным доказательством осталось письмо с приглашением на встречу.
Jason написал в X предупреждение. Если давно пропавший друг внезапно выходит на связь, первым делом стоит попросить его произнести кодовую фразу про северокорейского лидера. Настоящий знакомый посмеется, а вот у хакера из КНДР с этим возникнут проблемы.
