Založili falešný startup a najali údajné pracovníky Lazarusu. Ti netušili, že je sledují

Tři vývojáři nastoupili do nového kryptoměnového startupu, podepsali smlouvy a dostali přístup k firemním počítačům. Netušili, že společnost neexistuje a každý jejich pohyb sledují bezpečnostní výzkumníci.

Startup se jmenoval Ballena Azul, tedy Modrá velryba. Měl vyvíjet decentralizovanou finanční platformu pro velké držitele kryptoměn, hledal programátory a na první pohled působil jako jedna z mnoha mladých technologických firem. Měl web, firemní identitu, dokumentaci i produkt, který dával alespoň na papíře smysl.

Ve skutečnosti šlo o past. Výzkumníci z BCA LTD a iniciativy NorthScan ji společně s platformou ANY.RUN vytvořili proto, aby se dostali na druhou stranu dlouhodobé severokorejské operace. Místo sledování podvodníků při pracovním pohovoru chtěli tentokrát zjistit, co udělají poté, co je firma skutečně zaměstná.

Firma byla falešná. Pracovní nabídka nikoliv

Výzkumníci už v první části svého projektu vystupovali jako prostředníci ochotní propůjčit zahraničním pracovníkům identitu a počítač výměnou za část platu. Tentokrát ale role obrátili. Založili falešný DeFi startup a začali se chovat jako zaměstnavatel, do kterého se chtějí podezřelí operativci dostat.

Přes náboráře vystupujícího jako Angelo Cruz se postupně dostali ke třem uchazečům. První měl vyvíjet chytré kontrakty, druhý frontend a třetí backend. Podle výzkumníků z ANY.RUN, BCA LTD a NorthScan šlo o členy nebo spolupracovníky skupiny Famous Chollima, která je spojována se severokorejským ekosystémem Lazarus.

Tuto atribuci je potřeba vnímat jako závěr autorů výzkumu. Identita konkrétních lidí nebyla veřejně potvrzena státními orgány ani soudem. Popsané chování ale odpovídá širšímu schématu severokorejských vzdálených IT pracovníků, které nezávisle dokumentují bezpečnostní firmy i americké úřady.

Pohovory zpočátku připomínaly běžný nábor na dálku. Jeden z uchazečů měl slabší angličtinu a během rozhovoru opakovaně hleděl mimo obrazovku, jako by používal překlad v reálném čase. Jiný mluvil o svém vzdělání, zálibách nebo domácím mazlíčkovi. Firma je nakonec přijala všechny.

Doklady odhalily Gemini i pravděpodobně odcizenou identitu

Přišel onboarding a s ním žádost o adresu, doklady, bankovní spojení a kryptoměnové peněženky. Právě tady se začaly jednotlivé identity rozpadat.

Jeden z pracovníků tvrdil, že žije v Texasu, předložil však kalifornský řidičský průkaz a účet vedený v New Yorku. V metadatech obrázku výzkumníci podle své analýzy našli stopy zpracování nástrojem Google Gemini a vodoznak SynthID, který Google používá k označování obsahu vytvořeného nebo upraveného pomocí svých AI nástrojů.

Další uchazeč odevzdal řidičský průkaz vystavený na úplně jiné jméno. Tentokrát metadata ukazovala na autentickou fotografii pořízenou iPhonem 15. Výzkumníci se proto domnívají, že mohlo jít o skutečný doklad, jehož fotografie unikla například při dřívějším ověřování identity. To však z dostupných informací nelze s jistotou potvrdit.

Součástí údajů byly také americké bankovní účty, platná čísla sociálního zabezpečení, kryptoměnové adresy a možné účty nastrčených osob. Samotný videohovor s uchazečem tak vůbec nezaručoval, že jméno, obličej, doklad, místo pobytu a účet pro výplatu patří jednomu člověku.

První pracovní den začal kontrolou polohy počítače

Noví zaměstnanci měli původně dostat služební notebooky. Než byly údajně připravené, firma jim poskytla virtuální pracovní plochy. Ve skutečnosti šlo o speciálně upravená prostředí ANY.RUN, která zaznamenávala otevřené soubory, síťovou komunikaci i jednotlivé kroky uživatelů.

Trojice si nejprve prověřila přidělené počítače. Pomocí běžných systémových nástrojů dxdiag, systeminfo a wmic zjišťovala jejich konfiguraci a přes webovou službu kontrolovala veřejnou IP adresu a zdánlivou polohu.

Když vše vypadalo důvěryhodně, jeden z pracovníků nainstaloval Google Remote Desktop a přihlásil se ke svému účtu. Následně omylem povolil jeho synchronizaci. Do monitorovaného počítače se tak podle výzkumníků přenesly informace spojené s účtem, například historie prohlížení, uložená hesla nebo používaná rozšíření.

Výzkumníci pozorovali také připojení přes AstrillVPN a servery používané jako prostřední body pro přístup k virtuálním počítačům. Zachytili účty, chaty, peněženky i IP adresy infrastruktury, z nichž část do té doby neměla výraznější historii v databázích hrozeb.

Kód psali s ChatGPT, doklady upravovali pomocí AI

Pracovníci se následně pustili do vývoje. Jejich výkon ale podle autorů výzkumu neodpovídal sebevědomým životopisům. Hledali základní informace o tvorbě chytrých kontraktů, zápasili s instalací NPM a pomocí ChatGPT řešili programátorské problémy ve Visual Studiu, Remixu a dalších nástrojích.

V jednom okamžiku si jeden z nich stěžoval chatbotu, že testovací služby vyžadují skutečné peníze. Frontend zase podle výzkumníků působil jako rychle vytvořený výstup generativních nástrojů. Umělá inteligence jim nepomáhala pouze získat místo, ale také zvládat práci, pro kterou byli přijati.

Pozorované vybavení zahrnovalo ChatGPT, Google Gemini, Cursor, několik rozšíření pro tvorbu odpovědí a pracovní pohovory i službu pro sdílení jednorázových 2FA kódů mezi více lidmi.

Využití generativní AI v severokorejských operacích není ojedinělým tvrzením tohoto výzkumu. Google Threat Intelligence Group už dříve popsala, jak severokorejské skupiny používaly Gemini k hledání práce, psaní motivačních dopisů, tvorbě pracovních nabídek i pomoci s programováním.

Výzkumníci jim vypínali internet a nechávali mizet kurzor

Příběh má místy téměř komediální podobu. Výzkumníci pracovníkům úmyslně vypínali připojení, nechávali mizet kurzor nebo je zavírali do nekonečných CAPTCHA testů.

Když si pracovníci stěžovali na problémy, údajná technická podpora se k nim připojovala a komunikovala s nimi prostřednictvím poznámkového bloku. Jedna ze simulovaných poruch nakonec způsobila zrušení celé virtuální pracovní plochy a smazání neuložené práce.

Jeden z účastníků se během porady, kdy mu zřejmě přestal fungovat překladač, pokusil situaci zachránit předstíráním zdravotních potíží. Výzkumníci popisují, že byl připravený před kamerou zkolabovat, jen aby nemusel bez pomoci odpovídat.

Pod lehkým tónem experimentu se ale skrývá závažnější problém.

Útočník nemusel nic prolomit. Firma ho sama pustila dovnitř

Útočník tentokrát nemusel hledat zranitelnost ani rozesílat malware. Stačilo projít náborem. Firma mu poté sama vytvořila účet, umožnila přístup ke zdrojovému kódu a zařadila ho do procesů, kterým ostatní zaměstnanci důvěřují.

Takový člověk může ve firmě zůstat měsíce. Vedle platu získává přístup k interním systémům, duševnímu vlastnictví a rozhodování o vývoji. Pokud by v jedné organizaci pracovalo více spolupracujících operativců, mohli by si navzájem schvalovat změny kódu nebo jiné citlivé operace, aniž by museli technicky prolomit firemní ochranu.

Právě v tom se severokorejští IT pracovníci liší od běžného kybernetického útoku. Jejich cílem nemusí být rychlý průnik následovaný okamžitou krádeží. Mohou se stát legitimní součástí organizace, pobírat výplatu a současně si budovat dlouhodobý přístup k jejím datům a systémům.

Severokorejští pracovníci už míří také do Evropy

Schéma není omezené na kryptoměnové startupy ani na Spojené státy. Google Threat Intelligence Group popsala rostoucí aktivitu v Evropě, včetně uchazečů hledajících práci v Německu a Portugalsku.

Jeden sledovaný pracovník měl používat nejméně dvanáct různých identit v Evropě a USA. V materiálech dalších podezřelých osob se objevovaly také životopisy s vazbami na Srbsko nebo bydlištěm na Slovensku. Výzkumníci zaznamenali i zájem o evropské obranné a státní organizace.

Rozsah operace dokládají také soudní případy. Americké ministerstvo spravedlnosti letos oznámilo tresty devět let a sedm let a osm měsíců pro dva prostředníky, kteří provozovali takzvané laptop farms.

Přes počítače umístěné v amerických domácnostech umožňovali zahraničním pracovníkům působit dojmem, že se připojují přímo ze Spojených států. Schéma zasáhlo více než sto firem, využívalo ukradené identity nejméně 80 Američanů a Severní Koreji mělo vynést přes pět milionů dolarů.

Nejsnazší cestou do firemní sítě může být pracovní smlouva

Případ falešného startupu není jen povedeným nachytáním několika podezřelých pracovníků. Ukazuje, že ověření člověka nesmí skončit videopohovorem a kopií dokladu.

Firma musí propojit skutečnou identitu, fyzickou polohu, zařízení, účet pro výplatu i chování po nástupu. U vzdálených zaměstnanců je důležité kontrolovat neobvyklé nástroje pro vzdálený přístup, VPN připojení, změny lokace nebo situace, kdy jednu pracovní identitu zřejmě obsluhuje více lidí.

Jinak může být nejsnazší cestou do firemní sítě obyčejná pracovní smlouva.

Zdroje

• ANY.RUN – Smile, You’re on Camera! Part 2
• Google Threat Intelligence Group – DPRK IT Workers Expanding in Scope and Scale
• Google Threat Intelligence Group – Adversarial Misuse of Generative AI
• U.S. Department of Justice – Two U.S. Nationals Sentenced for Facilitating Fraudulent Remote IT Worker Scheme