虚假编程测试瞄准安全公司，员工Mac被植入后门

假招聘面试早已成为针对开发者的一种惯用手段。

开发者是极具吸引力的目标。他们的笔记本电脑和账户往往能接触到源代码、构建系统和生产基础设施，因此攻击者会花大力气攻入他们的设备。假招聘是达成这一目的最成熟的手段之一：攻击者冒充雇主，走一套看似合理的面试流程，然后要求候选人下载并运行一份编程作业。

本周币安（Binance）63亿美元被盗事件让这种手法登上新闻，而这一切正是从一场求职面试开始的。据币安称，一名软件工程师在9月通过一个正规招聘平台被接触，并被要求将一份编程作业下载到他的工作电脑上。FBI已将此次攻击归咎于朝鲜。

今年9月，一家行业合作伙伴通过情报共享渠道向我们示警：我们一名员工的Mac已被攻陷。就在前一天，类似的诱饵也送到了我们另一名员工手上，该员工在VS Code中打开了一份GitHub上的“编程作业”。工作区设置中隐藏的一条命令在终端一打开时就执行了，不到两分钟，BeaverTail加载器和InvisibleFerret后门就已经运行起来。需要说明的是，我们并不认为这一定就是币安事件中所用的同一款恶意软件。更广泛的担忧在于，以就业为主题的社会工程手段被多个朝鲜威胁组织所使用。所以这并非某次行动中孤立出现的伎俩，而是一套更广泛、成熟且成体系的攻击剧本的一部分。

来自外部的提醒是份礼物，但也非常令人不安。等提醒到来时，你的大多数其他控制措施往往已经失效了。我们的控制失效原因很平常：那台Mac的端点代理坏了。未受保护的资产是我们在客户群中见到的最常见、也最不起眼的失效点之一。这一次，它影响到了我们自己。

我们一贯会为此类事件发布根因分析。详情请见INC-2026-002，其中介绍了攻击过程和我们采取的纠正措施。

两次攻击都滥用了可信的开发者工具。我们这次用的是VS Code的一个工作区功能和几个脚本。据币安称，其攻击者将工程师Homebrew安装中合法的pyenv组件替换为恶意版本，利用它连接攻击者控制的服务器，并在过程中清除痕迹。币安表示其端点工具未能检测到该恶意软件。而我们的端点防护已经检测到了针对我们所用的payload：SophosLabs确认，落到那台Mac上的第一个脚本已被检测为Troj/Dloadr-EJE。只要代理正常工作，就能阻断整条攻击链。

找出那些“沉默”的端点。我们本已部署了设备合规检查和端点覆盖率监控，但这次事件暴露了两者之间的缺口。将身份登录数据与端点遥测数据关联起来，就补上了这个缺口：一台设备仍在登录，却未向你的端点控制台上报，这就是一个覆盖率缺口。把这两个视图关联起来后，我们发现了那些通过了身份和设备管理合规检查、却未向公司控制台上报的设备。

值得一提的是，我们发现了大量导致这些数据无法顺利关联的边缘情况（有些是Sophos特有的，比如我们在内部测试端点测试版的方式）。这种复杂性曾让以往的对账尝试屡屡受挫，但这一次，借助一个AI agent，我们得以更高效地处理这些棘手的细节。解决部分历史遗留的复杂问题后，我们收紧了设备管理合规检查，以防再次发生。此次调查还为针对这类可见性缺口的检测方案提供了依据。

把朝鲜针对IT人员的攻击视为一种威胁。一年前，我们发布了关于朝鲜IT工作者的CISO playbook，其中包括控制矩阵、实施指南和培训幻灯片，全部基于我们自身的招聘控制措施和CTU的研究。该playbook的重点是把欺诈性雇员挡在门外。假面试则是同一套手法反着用：攻击者不是冒充候选人来混进你的公司，而是冒充雇主来攻入你员工的笔记本电脑。此次调查还为针对这类可见性缺口的检测方案提供了依据。

许多控制措施是重叠的：身份验证、最小权限、监控未经授权的远程访问工具，以及真正能正常工作的端点。正如币安事件所凸显的，防御开发者设备被攻陷虽然困难，却至关重要。在Sophos，我们的主要风险之一就是确保在公司环境与产品环境之间有一道强大的“防火带”。我们的威胁模型考虑到了特权开发者端点或身份，以及IT系统管理员端点或身份被攻陷的情况。

限定你的AI工具能触及的范围。币安事件中的攻击者利用一个内部AI工具，从一名工程师横向移动到另外两名工程师。无论工具是被提示注入滥用，还是被已攻陷的用户滥用，防御思路都是一样的：假定AI层会被突破，并限制它能触及的范围。我们在关于“致命三要素”的博客中提出了七种实现方式，包括凭据隔离、封闭的工具端点和不可逆操作需人工审批。

朝鲜是一个不同寻常的国家行为体。大多数国家支持的组织窃取机密，而朝鲜还大规模窃取资金来为政权提供资金。Chainalysis估计，朝鲜在2025年窃取了20.2亿美元的加密货币，其中大部分来自15亿美元的Bybit被盗案。仅币安这一次攻击的金额就约为该数字的三倍。

它的创新方式也像一家初创公司。Sophos Counter Threat Unit（CTU）的研究人员追踪着多个相互重叠的朝鲜组织：

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）