研究者らは、採用後の手口を明らかにするために、北朝鮮出身と疑われるIT労働者を雇った

Why it matters

Remote hiring is an insider-security boundary: a fraudulent employee can arrive with valid credentials and legitimate access to code, wallets and internal systems.

Mauro Eldritch (@MauroEldritch) と Heiner Garcia Perez は、北朝鮮と疑われる3人のIT労働者を偽の暗号通貨スタートアップに雇い、開発者たちが職場への正当なアクセスを得た後に偽造身分、AIツール、リモートアクセス基盤をどのように利用したかを記録したと述べています。

研究者たちはその活動をANY.RUNが8月10日に発表した調査で詳述しました。彼らは労働者たちを、偽名で西側企業に開発者を送り込むことで知られる北朝鮮系の活動体 Famous Chollima に帰属させました。CrowdStrike は少なくとも2018年から Famous Chollima の活動を追跡しており、Microsoft は北朝鮮に連なるリモートワーカー作戦に Jasper Sleet という名称を使っています。(any.run)

Eldritch は脅威インテリジェンス企業 BCA LTD の創業者であり Bitso の Quetzal 脅威リサーチチームのリーダーで、Garcia Perez は NorthScan に関連する金融犯罪およびサイバー脅威インテリジェンスのアナリストです。二人は以前にも、疑わしい工作員にラップトップや面接支援を提供する仲介者を装っていました。今回の第二の実験はオンボーディングから日常的なエンジニア業務に至るまでのスキームを追跡しました。(any.run)

詐称スタートアップは盗む価値のあるアクセスを提供した

Eldritch と Garcia Perez は、Ballena Azul LTD（Blue Whale LTD）を大口の暗号資産保有者向けの架空の分散型金融プロトコルとして作成しました。彼らはウェブサイト、ブランディング、ドキュメント、オンラインプレゼンスを構築し、遠隔開発者を採用する経営陣を装って面接を行いました。

疑わしい Famous Chollima の人材斡旋者がスマートコントラクト、フロントエンド、バックエンドの各エンジニア職に対して3人の候補者を紹介しました。研究者たちは全員を面接して採用しました。Ballena Azul はオンボーディング時に雇用者が通常収集するであろう身分、住所、銀行および暗号通貨ウォレット情報を求めました。(any.run)

書類には複数の警告サインがありました。ある候補者はテキサス州パサデナに住んでいると主張しながらカリフォルニアの運転免許証とニューヨークの銀行情報を提示しました。ANY.RUN の報告では、その免許証画像のメタデータが Google Gemini で処理され、SynthID の透かしが含まれていたとされています。別の候補者は別人名義のニューヨークの免許証の写真を提出しました。三人目はテキサスの免許証、Social Security number と銀行情報を提出しました。

これらの発見は、確立された北朝鮮のリモートワーカーの手口と一致します。FBI はこれらのスキームが盗用身分、偽名アカウント、プロキシコンピュータ、雇用者支給機器を受け取る仲介者を利用していると述べています。Microsoft は別途、AIで強化された写真、捏造されたプロファイル、職務経歴書のカスタマイズ、VPNアカウント、支払い記録が疑わしい北朝鮮労働者に関連していると文書化しています。(fbi.gov)

正当な認証情報が扉を開けた

研究者たちは物理的なラップトップを送る代わりに、各採用者に ANY.RUN が構築した仮想デスクトップを提供しました。3つの分離された環境はファイル、ネットワーク接続、ユーザー活動を記録しつつ、通常の企業用マシンのように見えるように設定されていました。

労働者たちはまず dxdiag、systeminfo、wmic などの Windows ユーティリティでシステムを点検し、見えているIPアドレスを確認し、リモートアクセスソフトをインストールしました。ある労働者は Google アカウントを仮想デスクトップと同期させ、GitHub を開いて作業を始める前にアカウントデータを計測環境にさらしました。(any.run)

観測されたツールセットには AnyDesk、Google Remote Desktop、AstrillVPN、および ChatGPT、Gemini、Cursor、Visual Studio Code、Remix が含まれていました。ブラウザ拡張には Saved Prompts for GPT、Simplify Copilot、AIApply、Final Round AI が含まれていました。研究者たちはさらに、二要素認証コードを共有するために使われるサービス、暗号通貨ウォレット、仲介アクセス点として機能する仮想プライベートサーバーも観測しました。(any.run)

ワークフロー全体にわたって AI が現れていました。労働者たちはコーディングやトラブルシューティングに ChatGPT を使用し、Gemini に関連する免許証は面接前に生成ツールが身分偽装を支援できることを示しました。Google は以前、北朝鮮の関係者が Gemini を使ってカバーレターを書き、給与や職務を調査し、コードを生成し、偽の労働者応募を支援しているのを観測しています。(cloud.google.com)

報告によれば、開発者たちの技術的な成果は均一ではありませんでした。彼らは基本的なスマートコントラクトの手順を検索し、ChatGPT の応答を開発ツール間で移し、テスト用の暗号通貨を入手するのに苦労しました。ただし、スキルレベルは彼らが得たアクセスに比べれば二次的でした。Ballena Azul は彼らを従業員として扱い、コードや業務システムに触れるための資格情報と権限を与えました。

その違いにより、リモートワーカーのスキームは従来のアカウント乗っ取りではなく内部関係者の脅威になります。Mandiant は、疑わしい北朝鮮の労働者が割り当てられた職務を遂行しつつ、コードの変更やシステム管理の権限を保持しているのを観測しています。司法省は、関連する作戦がラップトップファームと盗用身分を使って何百もの米国企業に影響を及ぼし、海外の労働者に数百万ドルを稼がせていると述べています。(cloud.google.com)

FBI は繰り返しの身元確認、発送先と就業場所の慎重な確認、リモートデスクトップソフトの制限、不正なアクセスツールの監視を推奨しています。ANY.RUN の実験は、雇用契約が締結された後もこれらのチェックを継続する必要がある理由を示しています。虚偽の採用者はソフトウェアの脆弱性を悪用しなくても、有効な認証情報、承認済みデバイス、通常のエンジニアリングワークフローを使って侵害を行うことができます。(fbi.gov)