Kudelski Securityは、北朝鮮（DPRK）と中国から活動する脅威グループが「Contagious Interview」と呼ばれるキャンペーンを展開していることを明らかにした。同グループはLinkedInやWhatsApp等で採用担当者を装い、開発者に対し偽の技術面接を仕掛け、悪意のあるコードの実行を誘導している。
開発者を標的にした偽面接の手口
Kudelski Securityの研究チームが追跡したこのキャンペーンでは、脅威グループがLinkedInやWhatsApp、Discord上で採用担当者を装っている。対象となるのは求職中の開発者で、特にブロックチェーン分野の技術者や暗号通貨企業へのアクセス権を持つ人材を狙うケースが見られる。面接と称してコードテストを課し、その過程で被害者の端末に悪意のあるコマンドの実行を強いる。
悪用されるツールと通信インフラ
攻撃では、NirSoft製のCLIユーティリティ「Nircmd」が活用されている。開発者が.batファイルを実行する際、画面表示を隠蔽しながら実行させるために利用されると見られる。また、Astrill VPNのポートフォワーディング機能を用いてコマンドアンドコントロール（C2）サーバーの正体を隠し、中国や北朝鮮からのアクセス制限を回避している。通信はドイツのVPSプロバイダHetzner上に設置されたサーバーを経由し、5秒ごとのビーコンでC2と接続を維持する。
偽GitHubリポジトリを用いたマルウェア配布
攻撃の一部では「Ajuna-solution」というGitHubリポジトリが使用されている。これはスイスの企業「Ajuna-network」になりすましたもので、npm installを実行した際にバックドアを起動させるよう仕掛けられている。リポジトリ内のコードは正当なように装いながら、721文字の空白の後に難読化された悪意のある処理を追記している。これにより、被害者のOS情報やMACアドレス、さらに環境変数に含まれるAPIキーなどの機密情報が窃取される。
実務への影響と対応の必要性
このキャンペーンは、開発者が求職活動の一環として外部のリポジトリをクローンしたり、不明なテストコードを実行したりする行為に依存している。企業や個人開発者は、面接試験で提供されたコードの実行前にその内容を必ず確認する必要がある。また、GitHub上で社名と類似したリポジトリが作成されていないか監視し、不審なnpmパッケージのインストールを避けることが重要となる。
残る論点
Kudelski Securityは検出手法の提案を行っているが、具体的な価格や商用ツールの提供については言及がない。また、攻撃者が使用するNircmdのコマンドライン引数については誤った組み合わせも確認されており、防御側の検知ルール調整が必要となる点が残る。