上周四 Google TAG 的报告很多人应该已经看过了。拖到现在才转发还是因为懒得上网。

https://blog.google/threat-analysis-group/active-north-korean-campaign-targeting-security-researchers/

韩国北边的那个国家这几年一直在针对网上做安全研究的社区搞杀猪盘：

• 胖胖胖家的社工黑客又被封号了
  

• “免费” IDA Pro 安装包里放后门，胖胖胖黑客太骚了

套路就是建立社交账号，疯狂转发技术文章混社区。接着撒网私信骗取信任，以合作分析等为名发送恶意文件。甚至还搞过在盗版 IDA Pro 里放后门。值得一提的是之前中国内地已经有过中招的人。

除了安全的圈子，这伙人在币圈也尝试过很多攻击，据说获利颇丰。

七月份 GitHub 又曝光了他们疯狂在 nodejs 的 npm 包管理上传恶意代码投毒：

https://github.blog/2023-07-18-security-alert-social-engineering-campaign-targets-technology-industry-employees/#indicators

这帮人真是，好烦啊。

这次的手法还是跟 GitHub 有关。攻击者在 GitHub 上注册了 dbgsymbol 的用户名（已被封禁，archive.org 有镜像），写了个“工具”号称可以帮助 Windows 开发者更方便地下载调试符号。

实际上工具里有一个“自动更新”的典型下载者后门逻辑，运行后会下发执行真正的恶意程序。

目前对应的 GitHub 账号和仓库都已经下线，但是那个所谓的官网截止目前还在。友情建议不要好奇去访问，天知道这伙人有没有偷到浏览器的 0day。

这伙人显然是有针对性地找目标。主要上网套近乎开杀猪盘的就是这个 Paul091_ 的 X（前小蓝鸟）账号。

从 Google 报告刚发出来到账号被封，中间隔了几个小时。上去看了一眼，哇。这个 Follows you 说明，有足足 455 个大冤种的目标清单，我也在里面。

由于 Google TAG 并没有在发布报告之后联系 infosec.exchange 采取行动，站长对此颇有微词。

这种杀猪盘能得手似乎说明，技术圈子大部分人都还不错，不排斥新人——哪怕是来历不明的，也能混到一些互动。

以后肯定还得多个心眼了。