Nordkoreanisch Netzwerk verwendet gefälschte Identitäten und Laptop-Farmen, um Remote zu mieten und Abzweigung Payroll

Eine anhaltende Kampagne von Arbeitsbetrug im Zusammenhang mit Nordkorea hat sich außerhalb des traditionellen Bereichs der Hacking entwickelt: Statt Netzwerkverwundbarkeiten zu nutzen, haben die Betreiber Zugang zu Unternehmen erhalten, indem sie sie als Remote-Mitarbeiter mit falschen oder gestohlenen Identitäten eingestellt. Die jüngsten Untersuchungen von Sicherheitsfirmen, die von privaten Quellen und einer internationalen Multi-Agentur-Benachrichtigung zitiert werden, beschreiben ein Netzwerk von Menschen und Moderatoren, die Fernarbeiter in Technologie-, Gesundheits-, Finanz- und öffentlichen Sektor-Unternehmen platzieren, um westliche Löhne zu sammeln und diese Gelder an das Pyongyang-Regime zu leiten.

Was passiert ist (bestätigte Fakten): Mehrere private Cyber-Sicherheitsteams haben spezielle Fälle dokumentiert, in denen Arbeitnehmer, die als legitime Kandidaten von VPNs und Proxies verbunden schienen, erstellte oder geänderte Identitätsdokumente vorgelegt und, einmal angeheuert, Hardware und Software verwendet, um anhaltende Fernsteuerung über Geräte auf "portable Farms" zu halten. Unternehmen wie Huntress und Recorded Future haben Analysen veröffentlicht, die auf die Nutzung von Dienstleistungen wie Astrill VPN, IPRoyal Proxy, PiKVM / TinyPilot (KVM über IP) und File Exchange Services hindeuten, um die Supplantierung zu erleichtern. Darüber hinaus gibt es öffentliche Urteile und Gerichtsverfahren gegen Personen, die Laptop-Farmen betreiben, die nach Staatsanwälten dazu beigetragen haben, Remotearbeiter für die Kampagne zu platzieren. Die Vereinten Nationen und Sicherheitsbehörden in mehreren Ländern haben einen gemeinsamen Aufruf zur Stärkung der Identitäts- und Rekrutierungskontrollen herausgegeben.

Wie es technisch funktioniert (Betriebsmechanismus): die typische Kette verbindet Social Engineering, synthetische oder usurped Identitäten und physische Elemente. Betreiber erstellen oder kaufen Dokumente und Fotos (manchmal von IA generiert), verwalten mehrere Profile durch separate Browser und Multi-Account-Tools und wenden sich massiv auf Stellenangebote an. Um die "Remote"-Arbeit zu betreiben, verwenden sie Laptopfarmen: physische Maschinen, die in den Händen von Moderatoren sind und mit denen der Bediener über KVM über IP (z.B. PiKVM) oder Fernsteuerungssoftware verbunden ist. Die Verwendung von Geräten wie USB-Capture-Karten ermöglicht es, das Videosignal dieser Maschinen als legitime Webcam in Zoom / Teams präsentiert werden, um telematische Beweise für Präsenz zu vermeiden. Die Zahlungen werden an sanktionierte Konten oder Unternehmen oder an Geldwäscher gerichtet.

Wer ist betroffen und wie (aktuelle Wirkung): Unternehmen aller Größen - vor allem in Technologie, Gesundheit, Biotechnologie, Finanzdienstleistungen und Beratung - sind direkte Opfer. Das unmittelbare Risiko besteht aus geistigem Eigentum, Zugang zu internen Systemen und Filtration sensibler Daten. Aber es gibt erhebliche rechtliche und regulatorische Konsequenzen: Die Bezahlung oder die Beschäftigung von Menschen im Zusammenhang mit Nordkorea kann gegen internationale Sanktionen und Compliance-Verpflichtungen verstoßen (z.B. nationale und UN-Sanktionslisten). Es besteht auch ein hohes Ansehensrisiko und die operativen Kosten der Abhilfe, wenn ein solcher Eingriff entdeckt wird.

Was gegen Schätzungen und Unsicherheiten bestätigt wird: wird durch mehrere Berichte die Existenz eines Netzwerks bestätigt, das entfernte Arbeiter mit betrügerischen Identitäten platziert und das PiKVM und Proxies verwendet, um den tatsächlichen Standort zu verbergen. Mehrere kriminelle Überzeugungen gegen Laptop-Farmbetreiber werden ebenfalls öffentlich gemacht. Schätzungen - zitiert von Geheimdiensten - auf übertragenen Beträgen (z.B. etwa 1,97 Millionen in einem bestimmten Zeitraum) und dem genauen Ausmaß, in dem die Fonds Waffenprogramme unterstützen, sind Aussagen auf der Grundlage von Fluss- und Sanktionsanalysen und stellen daher plausible Inferenzen dar, die jedoch einer vollständigen Rechnungsprüfung unterliegen. Schließlich können einige direkte Verbindungen zwischen den nordkoreanischen Wirtschaftsbeteiligten und den staatlichen Stellen von den umständlichen Indikatoren (Werkzeugmuster, Infrastruktur und Finanzwege) abhängen und, obwohl die Zuteilung von mehreren Unternehmen und Regierungen erhalten wird, ist in der technischen und finanziellen Zuteilungskette immer ein Unsicherheitsfaktor.

Aus technischer Sicht gibt es mehrere Elemente, die die Wahrscheinlichkeit des Betrugs erhöhen: wiederholte Verwendung der gleichen VPNs / Proxies in mehreren Profilen, Ähnlichkeiten in den vorgelegten Dokumenten, Residenzrechnungen mit sprachlichen Fehlern oder fremden Formaten und Präsenz in Unternehmensgeräten von atypischen Werkzeugen und Peripheriegeräten (KVMs, Capture Cards). In mindestens einem dokumentierten Fall ersetzte der "Beschäftigte" das Foto der realen Person in einer bestehenden Identität mit seiner Identität, um an Bord zu gehen, und in anderen Fällen nutzten die Betreiber IA, um Antworten in technischen Interviews zu erzeugen.

Praktische Auswirkungen auf Organisationen: Neben Datendiebstahl und unberechtigtem Zugang zu Systemen stehen Unternehmen vor einem ernsten regulatorischen Risiko: Die Bezahlung von Löhnen an Arbeitnehmer, die mit sanktionierten Organisationen verbunden sind, kann zu Verletzungen nationaler und UN-Sanktionen führen. Es erhöht auch das Risiko von Seitenbewegungen innerhalb des Unternehmensnetzwerks und industrieller Spionagekampagnen.

Besondere und handlungsfähige Maßnahmen, die vom Leser zu ergreifen sind (Unternehmen und technische Beamte): Erstens, um robuste Identitätsprüfungen während des Rekrutierungsprozesses einzubeziehen: offene Überprüfungen für kritische Stellen oder biometrische Überprüfungen, die mit offiziellen Quellen kontrastiert werden, um Identitätsprüfungsdienste zu verwenden, die Dokumente gegen staatliche Basen validieren, und umgekehrte Bildsuche zu verwenden, um von IA generierte oder wiederverwendete Fotos zu erkennen. Akzeptieren Sie keine Zahlungen oder diese Zahlrolle ist ohne vollständige Sorgfalt mit persönlichen Konten oder Vermittlern verbunden; benötigen Sie geprüfte Unternehmenskonten für Zahlungen und Audits von externen Vermittlern.

Von IT-Sicherheit aus, verbieten oder beschränken Sie die Verwendung von nicht autorisierten Hardware: erfassen und überwachen Sie alle USB- und Peripheriegeräte, überprüfen Sie das Vorhandensein von Capture-Geräten oder KVM in Endpunkten und stellen EDR-Lösungen zur Verfügung, die ungewöhnliche Prozesse oder Verbindungen erkennen. Fernsteuerungssoftware (AnyDesk, etc.), verbieten ihre Installation außerhalb von genehmigten Kanälen und erfordern Multifaktor-Authentifizierung für Fernzugriff. Überprüfen Sie Workday Konfigurationen oder andere RR-Systeme. HH öffentlich belichtet und begrenzt die Möglichkeit für einen Benutzer, sensible Informationen zu erstellen oder zu modifizieren, ohne die doppelte menschliche Überprüfung. Stellen Sie eine forensische Überprüfung der neu eingebauten Geräte fest, wenn es Verpflichtungsindikatoren gibt.

In Übereinstimmung, halten Sanktionen Kontrolllisten bis heute (UN, OFAC und lokale Äquivalente) und Cross-Kandidaten und Moderatoren mit diesen Listen vor Abschluss von Verträgen oder Zahlungen. Beraten Sie die Rechtsberatung, wenn mögliche Links zu Sanktionen festgestellt werden. Schließlich, Integration Erkennung konzentriert auf Rekrutierungsanomalien: Warnungen für übermäßige Nutzung von VPNs während Interviews, Metadaten Zufall zwischen Dokumenten oder Massenanwendung Mustern aus dem gleichen IP-Block.

Diese Bedrohung verbindet Social Engineering, Dokumentarbetrug, Hardware und Cloud-Dienste, um offensichtliche Arbeitsumgebungen zu schaffen, die in vielen Fällen gut genug funktionieren, um grundlegende Audits zu bestehen. Die erste effektive Kontrolle ist genau der Mensch: die Due Diligence bei der Rekrutierung zu stärken, die Rückverfolgbarkeit der Zahlungen zu verlangen und die technischen Inventare zu schließen. Weitere Informationen über Sanktionen und den rechtlichen Kontext finden Sie auf der Seite des UN-Sicherheitsrats in Nordkorea ( https: / / www.un.org / securitycouncil / sanctions / 1718) und der Blog der Huntress-Firma, die technische Analyse zum Schema veröffentlicht hat ( www.huntress.com / Blog)