SecTor 2025 | Unmasking a North Korean IT Farm

• 1

  1. 北韓 IT 工作者計畫是系統性的資金籌措行動

• 2

  這不是單一入侵，而是工業化規模的偽裝就業。攻擊者收買美國本地人提供真實身份與地址，以合法員工名義入職並領取薪資，再將資金轉回朝鮮，目的是讓行動具有財務可持續性。

• 3

  2. 整套遠控不依賴任何傳統惡意軟體

• 4

  被入侵的筆電上沒有任何惡意執行檔，攻擊者透過 Python 腳本自動化操控 Zoom（使用 AppleScript 或協議處理程序）、透過 WebSocket 接收 C2 指令、透過 ARP 數據包在內網廣播命令，所有活動都發生在正常上班時段內，混入日常操作雜訊。

• 5

  3. ARP 數據包作為隱蔽通道是關鍵創新點

• 6

  ARP 數據包正常只用 28 位元組，但總長 64 位元組，剩餘空間可攜帶加密指令。腳本將指令拆碎附掛在廣播 ARP 封包中，受害機器解密後執行，結果再拆碎打包回傳，整條通訊鏈在標準網路監控工具下幾乎不可見。

• 7

  4. 偵測盲點在於「協議濫用」而非「新型惡意程式」

• 8

  攻擊者清楚知道防禦方在找什麼（可疑連線、權限提升、密碼變更），所以刻意選用合法協議與應用程式。真正的防禦思路需要轉向：監控應用程式的使用行為模式，而非只比對已知惡意特徵。

• 9

  --

• 數字與規模
• FBI 確認：至少 21 個 C2 伺服器（2024 年 8 月—2025 年 2 月）
• 至少 6 個國家、7 個組織遭北韓 IT 工作者滲透
• 受害組織涵蓋：金融業數家、醫療保健業、1 家國防承包商
• ARP 數據包總長 64 字節，正常使用 28 字節，剩餘空間用於攜帶加密 payload
• Bybit 事件：同一北韓組織劫持 15 億美元（2025 年 2 月）
• 工具與技術
• Zoom 6.2.6（後續版本已修補此漏洞）
• Python + Scapy 函式庫（用於 ARP 封包監聽與注入）
• WebSocket（C2 指令通道）
• AppleScript / Zoom 協議處理程序（自動化開啟會議、接受遠控請求）
• TCPdump、Wireshark（Signia 重現時用於驗證）
• 腳本功能清單（從筆電提取）
• User Presence Beacon Script：偵測上班時段是否登入，回報給 C2 作為「綠燈」
• Command Replay Relay Script：接收 C2 的 WebSocket 指令，轉為 ARP 廣播封包推送至內網
• Input Simulation Agent Script：解碼 ARP 封包指令，注入鍵盤/滑鼠輸入，含速率限制防禦機制
• Zoom Control Script：透過 WebSocket 指令自動開啟 Zoom、建立會議、截圖辨識「接受遠控」按鈕位置並模擬點擊（RGB 過濾定位）
• Network Listener Script：被動監聽 ARP 封包，提取隱藏 payload，轉發至 C2，並休眠以降低偵測機率
• 偵測建議（具體）
• 監控異常或偽造的來源 MAC 地址（ARP 封包使用廣播地址全為零）
• 監控 WebSocket 持久連線（應用層 HTTP 監控的延伸）
• 記錄 Zoom 等應用程式的使用行為日誌（何時啟動、是否異常請求遠控授權）
• 面試流程：要求在多輪面試中確認同一人出現於鏡頭
• --

“北韓 IT 滲透攻擊的核心洞見是：最危險的攻擊往往不依賴惡意程式，而是濫用你已信任的人、工具與協議，防禦必須從「行為模式是否符合預期」出發，而非只比對已知威脅特徵。”