PurpleBravo攻击者如何通过虚假招聘和恶意GitHub仓库渗透IT软件供应链

PurpleBravo对IT软件供应链的攻击

严重等级: 中危
类型: 攻击活动

PurpleBravo是一个朝鲜国家支持的黑客组织，主要针对IT软件供应链发起攻击，其核心手段是通过虚假招聘活动，诱骗加密货币和软件行业的开发者上钩。该组织的恶意工具包包括BeaverTail、PyLangGhost和GolangGhost等恶意软件，专门用于窃取浏览器凭据和加密货币数据。PurpleBravo运用高度复杂的社会工程学手段，包括创建虚构身份和搭建恶意GitHub仓库，以此渗透IT服务公司。虽然其主要影响范围在南亚和北美，但由于外包依赖关系，PurpleBravo对包括欧洲在内的全球供应链构成显著风险。该组织与另一朝鲜黑客组织PurpleDelta共享基础设施和战术手段。此攻击活动影响数千个IP地址和多个行业，凸显了在软件开发和供应链安全方面保持警惕的必要性。目前尚无已知的公开漏洞被利用，但威胁仍在持续演变。依赖外包IT服务或涉及加密货币业务的欧洲机构尤其需要提高警惕。由于该攻击具有明确的目标性，并可能导致凭据被盗和供应链遭入侵，其威胁等级被评定为中危。

技术分析

PurpleBravo是一个朝鲜国家支持的网络间谍组织，重点攻击IT软件供应链，尤其通过虚假招聘活动针对软件开发者。其主要目标为加密货币和软件开发领域的个人及机构。该组织综合运用社会工程学手段，包括虚构身份和恶意GitHub仓库，诱使受害者下载恶意软件。其恶意工具包涵盖BeaverTail、PyLangGhost和GolangGhost，旨在窃取浏览器凭据和加密货币相关信息。该活动已危害超过3100个IP地址和20家机构，主要分布在南亚和北美，但由于攻击的供应链特性，包括欧洲在内的全球下游组织都可能受到波及。PurpleBravo与另一朝鲜威胁行为者PurpleDelta共享基础设施和运作模式，表明这是一次协同行动。该组织的战术包括使用远程访问木马、窃取凭据，以及利用软件供应链弱点入侵IT服务公司。该威胁尤其危险，因为它针对软件开发生命周期，攻击者可能借此插入恶意代码或窃取可用于后续攻击的凭据。尽管目前没有已知的公开漏洞被利用，但PurpleBravo的复杂性和持久性使其对依赖外包IT服务或从事加密货币业务的机构构成重大威胁。该活动凸显了社会工程学与供应链攻击相结合的风险，强调需要加强对第三方开发者和代码仓库的审查与监控。

潜在影响

对于欧洲机构而言，PurpleBravo活动主要通过IT软件供应链构成重大风险，特别是那些将软件开发或IT服务外包给南亚等地区的机构。开发者凭据被泄露或恶意代码被植入软件产品，可能导致广泛的下游影响，包括数据泄露、知识产权被盗以及关键业务运营中断。欧洲的加密货币公司也面临敏感钱包凭据和资金被盗的风险。浏览器凭据失窃还可能助长攻击者在企业网络内进行横向移动和间谍活动。鉴于该组织的国家支持背景及其与朝鲜的联系，针对战略性行业的间谍和破坏活动风险更高。供应链攻击向量的存在意味着，即使非直接目标的机构，如果其供应商被入侵，也可能受到牵连。这可能影响金融、技术和关键基础设施等领域。该活动利用复杂的社会工程学和恶意软件工具，提高了渗透成功的可能性，可能导致攻击者在网络中长期潜伏而不被发现。中危评级反映了该威胁具有针对性但仍具破坏力的特点，若未采取缓解措施，可能导致严重的机密性和完整性破坏。

缓解建议

欧洲机构应对外包软件开发者及IT服务提供商实施严格的审查和持续监控，尤其要关注那些位于南亚或从南亚采购服务的供应商。对所有开发者和管理账户强制执行严格的访问控制和多因素认证（MFA），以降低凭据被盗后被利用的风险。监控GitHub仓库及其他代码仓库的可疑活动，包括意外的代码变更或来自未知贡献者的仓库复刻。部署端点检测与响应（EDR）解决方案，能够检测BeaverTail、PyLangGhost和GolangGhost等恶意软件家族，重点关注浏览器凭据窃取和远程访问木马行为。定期开展安全意识培训，强调社会工程学风险，特别是虚假招聘骗局和网络钓鱼尝试。实施网络分段，以限制入侵发生后的横向移动。利用威胁情报源及时获取PurpleBravo的入侵指标和战术信息，并将其集成到安全信息和事件管理（SIEM）系统中以实现主动检测。定期审计和更新供应链安全策略，包括使用软件物料清单（SBOM）来追踪依赖关系和潜在风险。最后，建立专门针对供应链入侵场景的应急响应计划，以便快速进行遏制和修复。

受影响国家

英国、德国、法国、荷兰、瑞典、意大利、西班牙、波兰

入侵指标（IoC）

哈希

• 1ddb90ee672c86e09168792871f6d6d00919b57d24da98d91764e292e765cd29

IP地址

• 103.111.113.26, 103.125.234.107, 103.125.234.161, 103.125.234.210, 103.125.234.62, 103.130.145.210, 103.157.217.145, 103.16.228.16, 103.172.26.58, 103.50.33.16, 104.168.14.206, 104.223.63.2, 107.150.38.250, 107.167.244.42, 107.167.25.130, 107.189.24.80, 108.181.41.234, 125.227.75.208, 125.227.80.190, 125.227.82.145, 125.227.90.115, 135.181.7.162, 14.37.47.13, 142.214.202.2, 144.172.100.124, 144.172.100.142, 144.172.102.148, 144.172.102.21, 144.172.103.97, 144.172.104.113, 144.172.105.189, 144.172.105.235, 144.172.106.133, 144.172.106.7, 144.172.109.155, 144.172.109.98, 144.172.112.106, 144.172.95.226, 146.70.253.107, 147.124.197.138, 147.124.212.125, 147.124.213.19, 147.124.213.232, 147.124.214.129, 147.124.214.131, 147.124.214.237, 151.243.101.229, 154.58.204.15, 154.62.226.22, 155.94.199.59, 158.255.76.195, 158.62.198.177, 16.173.115.200, 162.251.62.70, 162.251.70.66, 165.140.85.105, 165.140.86.154, 165.140.86.160, 165.140.86.181, 165.140.86.227, 166.0.190.170, 167.88.61.117, 167.88.61.148, 169.38.75.87, 169.38.98.22, 172.86.109.49, 172.86.113.115, 172.86.116.90, 172.86.123.55, 172.86.73.198, 173.211.70.246, 173.254.200.134, 176.222.52.77, 178.159.7.34, 178.175.128.98, 185.135.76.115, 185.135.76.89, 188.43.33.252, 192.161.60.132, 192.74.247.161, 193.19.205.26, 194.33.45.162, 195.146.5.31, 198.2.228.23, 198.23.148.18, 202.87.221.237, 204.152.202.111, 204.44.96.131, 205.234.203.122, 206.206.127.135, 206.206.127.80, 211.21.6.136, 211.21.6.181, 211.22.147.226, 211.72.116.247, 211.72.35.109, 211.72.35.118, 211.75.42.136, 211.75.74.223, 212.81.47.217, 216.126.229.166, 216.173.115.200, 216.45.56.2, 217.138.212.194, 23.104.209.6, 23.106.161.1, 23.106.70.154, 23.160.56.155, 23.227.202.244, 23.228.120.12, 31.57.243.190, 31.57.243.29, 31.57.243.55, 31.7.63.94, 37.120.151.162, 37.120.154.98, 37.120.210.2, 38.134.148.218, 38.146.28.177, 38.170.181.10, 38.246.149.2, 38.32.68.195, 38.75.137.213, 38.92.47.118, 38.92.47.151, 38.92.47.152, 38.92.47.155, 38.92.47.85, 38.92.47.91, 43.230.201.57, 43.230.201.68, 45.126.210.144, 45.250.255.140, 45.250.255.59, 45.43.11.201, 45.59.163.23, 45.59.163.56, 45.61.128.61, 45.61.133.110, 45.61.135.4, 45.61.150.30, 45.61.160.28, 45.61.165.45, 5.42.206.34, 50.7.251.66, 51.195.140.214, 60.234.42.250, 60.249.92.67, 61.218.132.193, 61.218.138.181, 61.219.114.7, 61.221.116.109, 61.221.116.19, 61.221.116.28, 63.143.61.57, 66.187.75.186, 66.235.168.17, 66.235.168.232, 66.235.168.238, 66.235.175.109, 66.235.175.117, 67.203.7.163, 67.203.7.200, 67.203.7.205, 67.43.48.10, 67.43.49.10, 67.43.54.10, 74.222.14.74, 74.222.14.83, 80.90.48.191, 82.103.129.80, 82.223.120.180, 84.17.38.140, 85.195.119.90, 85.195.72.66, 88.218.0.78, 89.163.154.155, 89.187.161.220, 89.187.185.11, 91.207.174.99, 91.207.206.10, 94.46.23.20, 95.143.193.150, 95.179.135.133, 95.216.14.148

URL

• http://154.58.204.15

域名

• lumanagi.online
• powervps.net
• residentialvps.com
  aeYFGlNGPch5/i0AskAWpmMVXj3lzK9JFM/1O1GWF7Awdscl+9sSxIRaGCdm0U02dIGQdf7WWKJepTz42KJ7grRtrntfpFcqUzuwBIiKGWAWk700vflyyXXOjGcbJ3mC