JPCERT/CC研究员警告，LinkedIn正被网络犯罪分子利用作为初始感染载体，尤其是Lazarus Group。自2019年起，攻击者通过伪造招聘人员、发送恶意文件等方式，针对国防承包商、加密货币交易所等行业进行攻击。攻击者通常会劫持合法账户，并诱导受害者切换到其他平台，下载执行恶意软件。这些攻击活动包括“梦想工作”、“危险密码”和“AppleJeus”等，突显了企业在工作设备上使用社交媒体的风险，需要加强安全防范。

💼 **梦想工作行动:** 攻击者劫持国防承包商人力资源代表的LinkedIn账户，伪装成招聘人员，诱导受害者在Skype或WhatsApp等平台下载恶意Word文档，从而安装恶意软件。

🔒 **危险密码行动:** 攻击者向加密货币交易所发送包含恶意LNK文件的ZIP文件，伪装成Password.txt.lnk，该恶意软件不仅影响Windows，还影响macOS和Linux系统。

📱 **AppleJeus行动:** 攻击者通过LinkedIn将对话重定向到Telegram，诱骗加密货币用户下载伪装成加密货币交换工具的MSI文件，执行后会安装恶意软件入侵系统。

⚠️ **攻击特征:** 这些攻击通常要求将沟通平台切换到Skype、WhatsApp或Telegram，并持续跟踪下载和执行文件的情况，且使用被劫持的合法LinkedIn账户进行伪装。

JPCERT/CC 的网络安全研究员 Shusei Tomonaga 就 LinkedIn 被网络犯罪分子（尤其是 Lazarus Group）用作初始感染载体一事发出警告。来自日本的最新报告显示，未经授权的访问事件与 LinkedIn 的欺诈性互动有关。这些攻击自 2019 年以来一直在持续，目标是各行各业，包括国防承包商和加密货币兑换商，强调了强大的组织防御的必要性。Tomonaga 的报告重点介绍了 Lazarus Group 精心策划的三个关键攻击行动：梦想工作行动在这次行动中，攻击者劫持了国防承包商人力资源代表的合法 LinkedIn 账户。他们打着招聘人员的幌子接近员工，在将对话转移到 Skype 或 WhatsApp 等其他平台后，说服目标下载恶意 Word 文档。这些文档执行后会在受害者的设备上安装恶意软件。“Tomonaga 解释说：”被利用进行攻击的 LinkedIn 账户可能不是攻击者的，而是被劫持的合法账户，因此有时很难发现任何可疑之处。危险密码行动该行动以加密货币交易所为目标，涉及发送包含恶意 LNK 文件的 ZIP 文件的 LinkedIn 消息，通常伪装成 Password.txt.lnk。随着时间的推移，这种恶意软件不断演变，现在不仅影响 Windows 系统，还影响 macOS 和 Linux 系统。其中一起事件涉及一个被劫持的 LinkedIn 账户与全球金融机构和开发人员联系。AppleJeus 行动该活动以加密货币用户为目标，将 LinkedIn 对话重定向到 Telegram，诱骗受害者下载伪装成加密货币交换工具的 MSI 文件。这些文件一旦被执行，就会安装恶意软件，入侵用户系统。攻击者发送的信息示例 | 资料来源：JPCERT/CCTomonaga 概述了基于 LinkedIn 的攻击的明显特征：要求将通信平台从 LinkedIn 切换到 Skype、WhatsApp 或 Telegram。关于下载和执行文件的持续跟踪。使用乍看合法的被劫持 LinkedIn 账户。通常以英语进行交流，偶尔也会针对本地目标发送日语信息。这些攻击强调了在企业设备上使用 LinkedIn 等社交媒体平台开展业务的危险性。报告警告说：“过去的事件案例表明，在主机上使用 LinkedIn 开展业务非常危险，除非有特殊原因，否则应避免使用。报告敦促企业限制在工作设备上使用 SNS，禁止使用未经授权的应用程序，并制定明确的政策来保护员工。”