Auf den Punkt: Ein von Sicherheitsforschern aufgesetztes Fake-Krypto-Start-up entlarvte drei mutmaßlich nordkoreanische IT-Operateure bereits am ersten Arbeitstag anhand gefälschter Dokumente, verräterischer VM-Aktivitäten und typischer Verschleierungsmuster wie AstrillVPN-Nutzung.
Sicherheitsforscher bauten mit Ballena Azul ein fiktives DeFi-Unternehmen auf, um die Einstellungsmethoden nordkoreanischer IT-Arbeiter zu dokumentieren. Alle drei eingestellten Bewerber flogen bereits am ersten Arbeitstag auf einer überwachten Sandbox-Maschine auf.
Die Threat-Intelligence-Firma BCA LTD, die Recherche-Initiative NorthScan und der Sandbox-Anbieter ANY.RUN gründeten das fiktive DeFi-Unternehmen Ballena Azul, um verdeckt Bewerbungsprozesse zu beobachten. Über einen auf GitHub aktiven Vermittler kamen die Forscher an einen ersten Entwickler, der wiederum weitere Kandidaten empfahl – eine klassische Referral-Kette. Bei allen drei eingereichten Bewerbungsunterlagen fanden sich Fälschungsspuren: Ein Bewerber gab eine Adresse in Texas an, schickte aber einen kalifornischen Führerschein und ein New Yorker Bankkonto. Die Bilddaten zeigten Bearbeitungsspuren von Googles KI-Modell Gemini samt SynthID-Wasserzeichen. Der zweite Bewerber übermittelte einen texanischen Führerschein mit gültiger Sozialversicherungsnummer und ein Bankkonto in Kansas City, der dritte einen New Yorker Führerschein einer fremden Person zusammen mit einem echten iPhone-15-Foto, aus dem zuvor die GPS-Koordinaten entfernt worden waren.
Alle drei Kandidaten durchliefen den regulären Einstellungsprozess inklusive Vorstellungsgespräch, Vertrag und Zugriff auf eine präparierte, vollständig überwachte Arbeits-VM. Bereits am ersten Arbeitstag führten sie Systembefehle wie dxdiag, systeminfo und wmic aus, um die Maschine auszuspähen, und prüften das scheinbare Herkunftsland ihrer Internetverbindung. Ein Operateur installierte zusätzlich Chrome Remote Desktop und synchronisierte sein persönliches Google-Konto mit der Sandbox, wodurch Browserverlauf, gespeicherte Passwörter und Erweiterungen offengelegt wurden; er meldete sich zudem auf derselben Maschine bei GitHub an. Auf den Rechnern fanden sich KI-gestützte Bewerbungs- und Interview-Erweiterungen wie AIApply, Final Round AI, Simplify Copilot sowie ein Tool zur Verwaltung gespeicherter ChatGPT-Prompts. Zur Verschleierung nutzten die Operateure den Dienst 2fa.cn zum Austausch von Zwei-Faktor-Codes zwischen mehreren Beteiligten sowie durchgehend AstrillVPN-Ausgangsknoten; die zugehörige Infrastruktur lag bei den Hostern Vultr und Gorilla Servers.
Für CISOs liegt die praktische Relevanz in den konkreten Erkennungsmustern, die auch außerhalb dieser Untersuchung greifen: gefälschte oder mit Bildbearbeitung veränderte Ausweisdokumente, ein und derselbe Account, der kurzfristig von zahlreichen unterschiedlichen Adressen aus genutzt wird, sowie maschinell übersetzt wirkende Profiltexte. Ein gemeinsamer Warnhinweis von elf Regierungen vom 31. Juli 2024 benennt diese Indikatoren explizit und weist darauf hin, dass nordkoreanische IT-Arbeiter gezielt Remote-Verträge anstreben, um Gehälter an übergeordnete Behörden in Nordkorea weiterzuleiten. Das US-Justizministerium hatte bereits im April zwei US-Bürger verurteilt, die ein vergleichbares Schema unterstützten und Nordkorea nach Behördenangaben mehr als 5 Millionen US-Dollar über mehr als 100 betroffene US-Unternehmen und mindestens 80 gestohlene Identitäten einbrachten.
Die Forscher, die ihre Ergebnisse auf der DEF CON 34 in Las Vegas vorstellten, ordnen die drei Personen der Gruppe Famous Chollima zu, die sie dem breiteren Lazarus-Umfeld zurechnen. Für Unternehmen empfehlen sie, Identitätsprüfungen nicht nur einmalig bei der Einstellung, sondern regelmäßig wiederkehrend durchzuführen, bei vollständig remote arbeitenden Teams persönliche Verifizierungen einzuplanen, Recruiter gezielt auf entsprechende Muster zu schulen und Zugriffe über AstrillVPN gezielt zu unterbinden oder zumindest zu überwachen.
Quelle: www.it-daily.net · Erschienen 16. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.