นักวิจัยด้านภัยคุกคามได้สร้างสตาร์ทอัพ Decentralized Finance (DeFi) ปลอมขึ้นมา แล้วจ้างบุคคลที่ถูกสงสัยว่าเป็นชาวเกาหลีเหนือในตำแหน่งนักพัฒนา พร้อมทั้งเฝ้าสังเกตพวกเขาจากภายใน
ปฏิบัติการนี้กลับด้านกลยุทธ์การแทรกซึมแบบปกติ โดยแทนที่จะจับตัวผู้ปฏิบัติการที่พยายามแทรกซึมเข้ามา นักวิจัยกลับเฝ้าดูพวกเขาทำงานหลังจากผ่านการสัมภาษณ์แล้ว
สตาร์ทอัพปลอมเปิดโปงแรงงาน IT ชาวเกาหลีเหนืออย่างไร
การสืบสวนนี้เป็นความร่วมมือของ Mauro Eldritch แห่ง BCA LTD, Heiner García จาก NorthScan และ ANY.RUN นักวิจัยจดทะเบียน Ballena Azul LTD เป็นโปรโตคอล สำหรับผู้ถือเหรียญ crypto มูลค่าสูง
พวกเขาจัดทำเว็บไซต์ สร้างแบรนด์องค์กร และลงทะเบียนบริษัทในสหราชอาณาจักรเพื่อให้ดูน่าเชื่อถือ จากนั้นจึงสวมบทบาทเป็นผู้ก่อตั้งและหัวหน้าทีม
นักวิจัยใช้แพลตฟอร์ม ANY.RUN sandbox เป็นสภาพแวดล้อมการทำงาน ซึ่งบันทึกทุกการเคลื่อนไหวของผู้ปฏิบัติการ Angelo Cruz ซึ่งเป็นผู้สรรหาที่ทีมพบใน GitHub ได้นำเสนอโปรแกรมเมอร์คนแรกให้กับทีม
การจ้างงานคนนั้นได้แนะนำคนที่สอง แล้วคนที่สองก็ชวนคนที่สามมาด้วย โดยทั้งสามคนผ่านสัมภาษณ์และได้รับสิทธิ์เข้าถึงเดสก์ท็อปเสมือน ซึ่งแท้จริงแล้วเป็นสภาพแวดล้อมบันทึกการทำงานที่ควบคุมจากส่วนกลาง
ผู้ปฏิบัติการกลุ่มนี้ถูกอธิบายตลอดรายงานว่าเป็น สมาชิกที่ต้องสงสัยจากกลุ่ม Famous Chollima ซึ่งเชื่อมโยงกับ Lazarus Group ของเกาหลีเหนือ ที่เชี่ยวชาญด้านการปลอมตัวเป็นแรงงาน IT ในบริษัทฝั่งตะวันตก
ติดตามเราทาง X เพื่ออัปเดตข่าวสารล่าสุดทันทีที่เกิดขึ้น
สิ่งที่นักวิจัยค้นพบ
นักพัฒนา ส่งเอกสารยืนยันตัวตนสหรัฐปลอมระหว่างขั้นตอนการรับเข้า นี่รวมถึงใบขับขี่ หมายเลขประกันสังคมที่ถูกขโมย และบัญชีธนาคารที่ Lead Bank, Citibank และ Wise
เมตาดาตาบนใบขับขี่หนึ่งฉบับระบุว่าถูกประมวลผลด้วย Google Gemini และมีลายน้ำ SynthID ฝังอยู่ ซึ่งเปิดโปงการปลอมแปลงได้เกือบจะในทันที
ตอนนี้พวกเราได้ตัวตนปลอม, หมายเลขประกันสังคมที่ถูกขโมย, บัญชีธนาคารของคนกลาง, บ้านปลอดภัยของผู้อำนวยความสะดวก และกระเป๋าเงิน cryptocurrency พร้อมประวัติธุรกรรมแล้ว นักวิจัย เขียนไว้
แรงงานเหล่านี้พึ่งพาปัญญาประดิษฐ์อย่างหนัก พวกเขาใช้ ChatGPT เพื่อเขียนโค้ดที่ดูเหมือนไม่เข้าใจเอง และทำงานที่ได้รับมอบหมายให้สำเร็จ และในระหว่างสัมภาษณ์กับประชุมประจำวันก็นำเครื่องมือแปลภาษาสดมาใช้ด้วย
ปฏิบัติการนี้ยังเผยให้เห็นโครงสร้างพื้นฐานสนับสนุน นักวิจัยบันทึก exit nodes ของ AstrillVPN, เซิร์ฟเวอร์ที่ถูกโฮสต์กับ Vultr และ Gorilla Servers รวมถึงกระเป๋าเงิน cryptocurrency ที่มีประวัติการทำธุรกรรม พบว่าเซิร์ฟเวอร์ของผู้ปฏิบัติการรายหนึ่งเคยถูกทำเครื่องหมายไว้ในฐานข้อมูลภัยคุกคามมาแล้ว แสดงว่าใช้งานซ้ำจากแคมเปญก่อนหน้านี้
ผลการวิจัยแสดงให้เห็นว่า แผนการของพนักงาน IT จากสาธารณรัฐประชาธิปไตยประชาชนเกาหลี (DPRK) ไม่ใช่เพียงแค่ความเสี่ยงในการจ้างงาน เพราะเมื่อพวกเขาเข้ามาแล้ว พวกเขายังสามารถเข้าถึงโค้ด ระบบ ทรัพย์สินทางปัญญา และกระบวนการทางธุรกิจที่ได้รับความไว้วางใจได้อย่างถูกต้องตามกฎหมายอีกด้วย รายงานดังกล่าวระบุ
แฮ็กเกอร์จากเกาหลีเหนือได้กลายเป็นภัยคุกคามที่ต่อเนื่องสำหรับอุตสาหกรรมคริปโต TRM Labs เปิดเผยว่าความสูญเสียจากการแฮ็กคริปโตถึง 76% จนถึงเดือนเมษายน 2026 เป็นฝีมือของกลุ่ม DPRK และการขโมยในปี 2025 นั้น สูงถึง 2 พันล้าน USD
กลยุทธ์การแทรกซึมมีวิธีการที่แตกต่างกัน พนักงานจากเกาหลีเหนือจะแฝงตัวเป็นวิศวกรเพื่อสมัครงานทางไกล จากนั้นจึงขโมยข้อมูลลับหรือฝังช่องทางเข้าไว้ หนึ่งในโครงการที่ได้รับเงินทุนด้วย Ethereum (ETH) เคยตรวจพบ พนักงาน IT ที่สงสัยว่าเป็นชาวเกาหลีเหนือ 100 รายใน 53 โครงการคริปโต
สมัครสมาชิกช่อง YouTube ของเรา เพื่อรับชมผู้นำและนักข่าวแบ่งปันมุมมองเชิงลึก
