Bilifrizurás birodalom: kódba bújt tolvajok és a védekező fél fenyegetése

Van két hír Észak-Koreából, amelyek első pillantásra nem tartoznak össze — az egyik a kiberbűnözésről szól, a másik a hagyományos fegyvercsörtetésről —, valójában azonban ugyanannak az éremnek a két oldala. Az egyik oldalon Phenjan csendben, ügynökök hadával lopja a világ pénzét, hogy fenntartsa a maga bilifrizurás dinasztiáját; a másikon hangosan fenyegetőzik, valahányszor egy szomszéd védekezni merészel.

Kezdjük a csendesebb, de talán ijesztőbb hadszíntérrel. Az Amazon Threat Intelligence július 29-én tett közzé egy részletes jelentést, amelyben négy npm ellátásilánc-támadást — az Axios, a debug, a chalk és a typo-crypto nevű JavaScript-csomagokat érintően — egyetlen, Észak-Koreához köthető fenyegető szereplőhöz kötött. A csoportnak több neve is van a kiberbiztonsági szakmában: Sapphire Sleet, Stardust Chollima, BlueNoroff, és így tovább — a lényeg, hogy egy phenjani, pénzügyileg motivált állami hekkercsapatról van szó. Hogy megértsük, mekkora fegyverről beszélünk, érdemes tudni, mik ezek a csomagok.

Az npm-csomagok nyílt forráskódú JavaScript-építőelemek, amelyekre a világ szoftvereinek jó része épül. Az Axios például hetente több mint 100 millió letöltést ér el, és több mint 170 000 további csomag épül rá. A debug heti nagyjából 300 millió, a chalk pedig körülbelül 700 millió letöltésnél jár. Ha a géped bármit futtat, ami Node.js-re épül, jó eséllyel legalább az egyik ott van a rendszeredben — most, ebben a pillanatban is. A négy csomag együttes heti letöltésszáma jóval egymilliárd fölött van.

A ravaszság

A phenjani hekkerek nem az npm technikai réseit törték fel — sokkal alattomosabb utat választottak. Egyszerűen összebarátkoztak a népszerű csomagokat karbantartó fejlesztőkkel. Ahogy az Amazon egyik szakértője fogalmazott: „hibákat javítanak, válaszolnak a pull requestekre, dokumentációt írnak" — vagyis pontosan úgy viselkednek, mint egy hasznos, jó szándékú tag a nyílt forráskódú közösségben, amely történetesen épp jó szándékú tagokat keres. Aztán, amikor megszerezték a bizalmat és a belépési adatokat, a legitim fiókról feltöltenek egy megfertőzött frissítést. A többi magától megy: aki automatikusan behúzza a legújabb verziót, az behúzza a kártevőt is. Egy biztonsági cég becslése szerint a debug és a chalk fertőzött verziója két óra alatt elérte a felhőkörnyezetek nagyjából 10 százalékát. A kártevő pedig kriptovaluta-tárcákra, API-kulcsokra és jelszavakra vadászik — ami nem véletlen. Észak-Korea egyre inkább a kriptó- és kiberlopásra támaszkodik, hogy megkerülje a nemzetközi szankciókat: korábbi jelentések szerint 2025-ben több mint 2 milliárd dollárnyi kriptovalutát lopott, ami a valaha mért legnagyobb éves zsákmánya, vagyis a rezsim gyakorlatilag egy állami méretű zsebtolvaj-hálózatot üzemeltet, csak épp a zsebek helyett a világ szoftver-infrastruktúráját fésüli át.

Az egész művelet legötletesebb — és leginkább nyugtalanító — technikai megoldását külön kutatók tárták fel. Két másik rosszindulatú csomagban, amelyek Tailwind CSS-bővítménynek álcázták magukat, egy „NullReceiver" nevű trükköt fedeztek fel. A lényege, hogy a vezérlőszerver IP-címét egy üres, nulla értékű Ethereum-tranzakció címzettmezőjébe kódolják. Így a kártevő utasításai megkülönböztethetetlenné válnak a normál kriptóátutalásoktól — a védők pedig nem tudják egyszerűen „lekapcsolni" a szervert, hiszen az utasítás egy nyilvános, decentralizált blokkláncon utazik. Vagyis a rezsim egy olyan postaládát talált magának, amelyet senki sem tud lezárni. Ezt a kampányt a szintén észak-koreai hátterű „Contagious Interview" (Fertőző állásinterjú) művelethez kötötték — a névből is sejthető a módszer: hamis állásajánlatokkal csalják tőrbe a fejlesztőket.

A kiberszál a nagypolitikába is átér. A megállapítások pár nappal azután születtek, hogy augusztus 1-jén az Egyesült Államok, Dél-Korea, Japán és nyolc további ország — összesen tizenegy állam — közös figyelmeztetést adott ki. Az üzenet: észak-koreai IT-dolgozók hamis személyazonossággal és mesterséges intelligencia eszközökkel szereznek távoli állásokat nyugati cégeknél, a fizetésüket pedig Phenjan fegyverprogramjaiba csatornázzák. Az FBI szerint 2026-ban már nyolc személyt ítéltek börtönbüntetésre az ilyesfajta ügyekben. Phenjan reakciója pedig tankönyvi. A KCNA állami hírügynökségen keresztül „politikailag motiváltnak" minősítette a figyelmeztetéseket, és — kapaszkodjunk meg — azzal vádolta az Egyesült Államokat, hogy „militarizálja a kiberteret". Egy külügyi szóvivő szerint az egész csak arra irányul, hogy „befeketítsék az országot". Van abban valami költői, ahogy a világ egyik legszervezettebb állami hackerbandáját működtető rezsim épp másokat vádol a kibertér militarizálásával. Nagyjából olyan, mintha a zsebtolvaj méltatlankodna, hogy megbélyegzik, amiért túl sok zsebbe nyúlt bele.

A bilifrizurájú húga is megjelenik

Augusztus 5-én Kim Yo Jong — Kim Jong Un befolyásos húga, a rezsim egyik legélesebb hangja — azzal fenyegetőzött, hogy Phenjan „további katonai lépéseket" tesz Japánnal szemben. A kiváltó ok: Tokió július 28-án először tesztelt éles amerikai gyártmányú Tomahawk cirkálórakétát, méghozzá a Tengeri Önvédelmi Erők Chokai nevű Aegis-rombolójáról, a Csendes-óceánon, az amerikai haditengerészet támogatásával. Kim a szokásos regiszterben szólalt meg. Azzal vádolta Japánt, hogy elhagyja a védekező pozícióját, és megelőző csapásokra, sőt tengerentúli hadműveletekre képes katonai hatalommá alakul — egyenesen „háborús bűnös államnak" nevezve. A felelősséget persze Washingtonra is kiterjesztette: „Az USA áll Japán ilyen veszélyes katonai lépései mögött" — mondta, arra utalva, hogy Amerika szállítja a rakétákat, alakítja át a hadihajókat, és teremti meg a tesztek feltételeit. Hogy pontosan mik lennének azok a „további katonai lehetőségek", arról egy szót sem ejtett — ami önmagában is árulkodó.

Itt érdemes egy pillanatra a valóság talaján maradni. Kim Yo Jong felháborodásában van egy zavaró aszimmetria. Az a rezsim tiltakozik hangosan egy japán önvédelmi rakétateszt miatt, amelyik maga évek óta sorozatban lő ki ballisztikus rakétákat a Japán-tenger fölé, atomprogramot fejleszt, és amelynek húsvér katonái ma Ukrajnában, orosz oldalon harcolnak egy Európa elleni agresszív háborúban.

A japán oldal reakciója szándékosan visszafogott maradt. Tokió védelmi minisztériuma hangsúlyozta, hogy „védelmi képességeink a minimálisan szükséges szinten maradnak", és „szigorúan az önvédelem elvén és pacifista alkotmányunk keretein belül" működnek. A kontextus viszont valós: Japán 2025-ben 9,7 százalékkal, 62,2 milliárd dollárra emelte védelmi kiadásait — a GDP 1,4 százalékára, ami 1958 óta a legmagasabb arány —, és 2027 végéig 400 Tomahawk rakétát tervez beszerezni. Ez a második világháború utáni pacifista irányvonaltól való érdemi elmozdulás, amelyet a 2026-os japán védelmi fehér könyv nyíltan Kína, Oroszország és Észak-Korea növekvő fenyegetéseivel indokol.

Miért egy történet a kettő?

Mert a két szál ugyanazt a mintát rajzolja ki. Az elemzők szerint Kim Yo Jong fenyegetőzésének valódi célja nem Japán elrettentése, hanem az, hogy Japán haderő-modernizációját közvetlen fenyegetésként állítsa be — és ezzel igazolja Észak-Korea saját, megállíthatatlan fegyverkezését. Pontosan ugyanaz a logika, mint a kiberszálnál: a rezsim előbb elköveti a dolgot (lop, fegyverkezik), majd amikor lelepleződik vagy amikor valaki védekezni kezd, ő maga játssza az áldozatot és mutogat a másikra. A bilifrizurás dinasztia működési elve tehát mindkét fronton azonos: a támadás a normális üzemmód, a felháborodás pedig a füstfüggöny. A kérdés csak az, meddig veszi be a világ, hogy aki egyszerre lopja a pénzünket a kódsorainkon keresztül és fenyegeti a szomszédait rakétákkal, az valójában a sértett fél.

Ugar