文章总结： 朝鲜黑客组织设备意外感染LummaC2信息窃取木马，暴露了与14亿美元Bybit加密货币盗窃案的直接关联。被感染设备属于朝鲜国家背景黑客组织的恶意软件开发人员，设备上发现的关键证据包括用于攻击的邮箱地址和域名。取证分析显示该设备为专业级恶意软件开发平台，通过AstrillVPN隐藏IP，并准备钓鱼攻击。这一罕见事件为安全研究人员提供了观察黑客组织内幕的珍贵窗口，揭示了国家资助黑客行动中的资源共享机制。
综合评分： 86
文章分类： 恶意软件,漏洞分析,威胁情报,应急响应,安全大事件
大翻车！朝鲜黑客遭反杀，14 亿加密货币案露馅
易云安全应急响应中心
2025年12月9日 16:52
江苏
点击蓝字，关注我们
一起罕见的”反杀”事件曝光：朝鲜国家资助的黑客组织设备感染了通常用于攻击他人的同类型恶意软件，意外揭露其运营细节与史上最大规模加密货币盗窃案之一的直接关联。
网络安全情报公司Hudson Rock在分析LummaC2信息窃取木马日志时发现这起非常规感染。被入侵设备属于朝鲜国家背景黑客组织内的一名恶意软件开发人员。
Part01
牵涉Bybit交易所14亿美元盗窃案
Hudson Rock将数据与威胁情报公司Silent Push的早期发现进行比对，双重验证表明：这台被感染的设备曾用于支撑14亿美元Bybit加密货币盗窃案的基础设施搭建。2025年2月针对Bybit交易所的数据泄露事件，长期被认为与朝鲜黑客组织有关，普遍推测涉及Lazarus集团。
根据Hudson Rock向Hackread.com提供的报告，最关键的证据来自受感染设备上发现的凭证信息。其中包含邮箱地址[email protected]——该邮箱已被Silent Push标记为可疑。攻击者使用同一邮箱注册了域名bybit-assessment.com，该域名在Bybit盗窃案发生前数小时创建，用于伪装交易所并支撑攻击基础设施。
虽然该设备用户可能未直接参与盗窃，但数据揭示了国家资助黑客行动中各环节的资源共享机制：开发设备、钓鱼域名、凭证组和通信基础设施都在同一体系内流转。这台设备恰好成为暴露该体系的突破口，揭示了通常隐藏在VPN和虚假身份背后的操作细节。
Part02
被入侵设备配置与工具分析
取证数据显示，这台高性能设备搭载第12代英特尔酷睿i7处理器和16GB内存，安装有Visual Studio Professional 2019和Enigma Protector等开发工具。Enigma常用于打包可执行文件以规避杀毒软件检测——这绝非业余爱好者的实验设备，而是专业级的恶意软件开发平台。
浏览器历史和应用数据进一步显示：用户通过Astrill VPN使用美国IP路由流量，但浏览器默认设置为简体中文，翻译历史包含直接韩语查询。设备上还装有Slack、Telegram、Dropbox和BeeBEEP等通信工具，既用于内部联络也可能充当命令控制通道。Dropbox文件夹结构尤其表明攻击者正在上传窃取数据以备后续使用。
Part03
Astrill VPN与伪造Zoom安装程序
值得注意的是，Hackread.com在2025年11月的报道曾指出，伪装成西方IT职位应聘者的朝鲜黑客同样使用Astrill VPN隐藏IP地址。该系统还暴露出钓鱼攻击准备：攻击者注册了callapp.us和callservice.us等域名及zoom.callapp.us子域名，用于诱骗目标下载伪造软件更新。伪造Zoom安装程序的本地IP地址也追溯至同一设备。
特殊之处在于，攻击者似乎未察觉设备已被入侵。LummaC2等窃密木马通常被攻击者用于窃取普通用户的浏览器数据、凭证和钱包，但本次事件中恶意软件反噬其主，意外曝光了史上最精密加密货币盗窃案背后的基础设施片段，为安全研究人员提供了罕见的研究样本。Hudson Rock甚至构建了模拟被入侵设备的仿真环境，供业界分析软件配置、浏览器活动及失窃数据。
Part04
窃密木马首例，黑客曝光非首次
虽然这是首例朝鲜黑客感染窃密木马的公开案例，但并非该国黑客设备首次遭入侵。2025年8月，某黑客组织公布了据称来自朝鲜黑客的9GB失窃数据，泄露内容包含内部工具、日志、敏感文档等，直指参与网络攻击行动的核心人员。更早的2020年7月，IBM X-Force曾发现伊朗黑客40GB的训练视频库，实时演示邮箱账户劫持的全流程。
此类高级别失误实属罕见，一旦发生就会短暂打开观察黑客组织内幕的珍贵窗口。
文章来源 ：FreeBuf
免责声明
本文素材(包括内容、图片)均来自互联网，仅为传递信息之用。如有侵权，请联系我们删除。
END
淮安易云科技有限公司–网络安全部**
我们致力于保障客户的网络安全，监控事件并采取适当措施，设计和实施安全策略，维护设备和软件，进行漏洞扫描和安全审计,团队协调处理网络攻击、数据泄露等安全事故，并负责安全服务项目实施，包括风险评估、渗透测试、安全扫描、安全加固、应急响应、攻防演练、安全培训等服务，确保客户在网络空间中的安全。
易云安全应急响应中心
专业的信息安全团队，给你最安全的保障。定期推送漏洞预警、技术分享文章和网络安全知识，让各位了解学习安全知识，普及安全知识、提高安全意识。
点分享
点收藏
点在看
点点赞
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：易云安全应急响应中心 《大翻车！朝鲜黑客遭反杀，14 亿加密货币案露馅》