研究人员雇用了疑似朝鲜籍的 IT 工人，以揭露他们被雇用后的操作手法

Why it matters

Remote hiring is an insider-security boundary: a fraudulent employee can arrive with valid credentials and legitimate access to code, wallets and internal systems.

Mauro Eldritch (@MauroEldritch) 和 Heiner Garcia Perez 表示，他们将三名疑似朝鲜 IT 员工雇入一家虚假的加密货币初创公司，然后在这些开发者获得合法的工作场所访问权限后，记录了他们如何使用伪造身份、AI 工具和远程访问基础设施。

研究人员在 在 ANY.RUN 于 8月10日 发布的调查 中详细描述了这项行动。他们将这些员工归属于 Famous Chollima，这是一项与朝鲜有关、以假身份将开发者安置到西方企业著称的行动。CrowdStrike 至少自 2018 年起就跟踪 Famous Chollima 的活动，而 Microsoft 则使用 Jasper Sleet 这一名称来指代与朝鲜有关的远程员工行动。 (any.run)

Eldritch 是威胁情报公司 BCA LTD 的创始人，也是 Bitso 的 Quetzal 威胁研究团队的负责人，他与 Garcia Perez——一名与 NorthScan 相关的金融犯罪与网络威胁情报分析师——共同实施了该项目。两人此前曾冒充为协调人，向疑似行动者提供笔记本电脑和面试辅助。他们的第二次实验贯穿了入职流程并进入日常工程工作。 (any.run)

这家虚假初创公司提供了值得窃取的访问权限

Eldritch 和 Garcia Perez 创建了 Ballena Azul LTD（或 Blue Whale LTD），作为一个面向大型加密货币持有者的虚构去中心化金融协议。他们建立了网站、品牌、文档和线上形象，然后自称为高管招募远程开发者。

一名疑似 Famous Chollima 的招聘者介绍了三名候选人，分别应聘智能合约、前端和后端工程岗位。研究人员对三人进行了面试并全部录用。Ballena Azul 随后要求提供雇主在入职时可能收集的身份、地址、银行和加密货币钱包信息。 (any.run)

这些文件包含多处预警信号。一名候选人声称居住在德克萨斯州帕萨迪纳，同时出示了加利福尼亚州的驾照和纽约的银行信息。ANY.RUN 的报告称，驾照图像的元数据表明其经过 Google Gemini 处理并包含 SynthID 水印。另一名候选人提交了一张带有他人姓名的纽约驾照照片。第三名则提交了一张德州驾照、一个社会安全号码和银行信息。

这些发现与已知的朝鲜远程工作者的作案手法一致。FBI 表示，这类方案使用被窃取的身份、化名账户、代理电脑以及接收雇主发放设备的协调人。Microsoft 也单独记录了与疑似朝鲜工人相关的 AI 增强照片、伪造档案、特制简历、VPN 账户和支付记录。 (fbi.gov)

合法凭证打开了大门

研究人员没有寄送实体笔记本，而是给每位被录用者提供了由 ANY.RUN 构建的虚拟桌面。三个隔离的环境记录了文件、网络连接和用户活动，同时看起来像普通的企业机器在运行。

工人们首先使用 Windows 实用程序检查系统，包括 dxdiag、systeminfo 和 wmic，检查其可见的 IP 地址并安装远程访问软件。一名工人将 Google 账户与虚拟桌面同步，使账户数据在被监测的环境中暴露，然后打开 GitHub 并开始工作。 (any.run)

观察到的工具集包括 AnyDesk、Google Remote Desktop 和 AstrillVPN，以及 ChatGPT、Gemini、Cursor、Visual Studio Code 和 Remix。浏览器扩展包括 Saved Prompts for GPT、Simplify Copilot、AIApply 和 Final Round AI。研究人员还观察到用于共享双因素认证代码的服务、加密货币钱包和作为中介访问点的虚拟私人服务器。 (any.run)

AI 在整个工作流中都有所体现。工人们使用 ChatGPT 进行编码和故障排除，而与 Gemini 关联的驾照则展示了生成式工具在面试开始前如何支持身份伪造。Google 先前观察到朝鲜行为者使用 Gemini 撰写求职信、研究薪资和工作、生成代码并支持伪造员工的申请。 (cloud.google.com)

报告称，这些开发者的技术表现参差不齐。他们搜索基础的智能合约指令，将 ChatGPT 的回答在开发工具之间移动，并在获取测试用加密货币方面遇到困难。然而，相较于他们获得的访问权限，技能水平是次要的。Ballena Azul 将他们视为员工，向他们提供了凭证并允许其与代码和业务系统交互。

这一点将远程工人方案定性为内部威胁，而不是传统的账户入侵。Mandiant 曾观察到疑似朝鲜工人在执行分配任务的同时，持有修改代码或管理系统的权限。司法部表示，相关行动已经影响了数百家美国企业，利用笔记本农场和被窃身份为海外工作人员创造了数百万美元的收益。 (cloud.google.com)

FBI 建议反复进行身份验证、仔细审查货运和工作地点、限制远程桌面软件并监控未经授权的访问工具。ANY.RUN 的实验展示了为何这些检查必须在签署雇佣合同后继续进行：一名伪造的雇员可以使用有效凭证、获批设备和正常的工程工作流程，而无需利用软件漏洞。 (fbi.gov)