Das US-amerikanische Federal Bureau of Investigation (FBI) führte zwischen dem 21. und 25. September eine Razzia in 40 Wohnungen in Texas durch und beschlagnahmte rund 187 Computer sowie KVM-Geräte, die mutmaßlich im Rahmen eines Plans eingesetzt wurden, bei dem nordkoreanische IT-Arbeitskräfte aus der Ferne Stellen in US-Unternehmen besetzten. Die unter dem Namen Lonestar Roundup durchgeführte Operation lief parallel zu Maßnahmen des US-Justizministeriums gegen die als Famous Chollima oder WageMole bekannte Bedrohungsgruppe.
Nach Angaben des Justizministeriums nahmen die Behörden die US-Staatsbürger Michael James Bostelle und Juan Cecilio Pena Carrillo fest und erhoben gegen insgesamt 14 Personen Anklage, unter anderem wegen Computerbetrugs, Geldwäsche und Identitätsdiebstahls. Außerdem gab das Ministerium separate Anklagen gegen 12 chinesische Beschuldigte bekannt.
Wie funktionierten die Computerfarmen?
Die Vermittler hosteten die von Unternehmen für Arbeitszwecke bereitgestellten Computer an Standorten in den USA und ermöglichten den außerhalb des Landes befindlichen Arbeitskräften anschließend über KVM-Geräte und Fernzugriffssoftware den Zugriff darauf. Auf diese Weise erschien die Arbeitskraft dem Arbeitgeber so, als befände sie sich in den Vereinigten Staaten, obwohl ihre tatsächliche Identität oder ihr tatsächlicher Standort ein anderer war.
Der Plan basierte dem Artikel zufolge auf gestohlenen oder erfundenen Identitäten, VPN-Netzwerken und einer vorgeschalteten Infrastruktur zur Verschleierung der tatsächlichen Quelle der Verbindungen. Die Vermittler nahmen außerdem die Computer entgegen, installierten Fernzugriffswerkzeuge und leiteten die Einnahmen auf Konten weiter, die von mit Nordkorea verbundenen Akteuren kontrolliert wurden.
Methoden zur Umleitung der Geräte und zur Verschleierung ihrer Spuren
Nach Angaben des Unternehmens CrowdStrike nutzten die Arbeitskräfte mehrere Methoden, um die Unternehmensgeräte an die Computerfarmen statt an die in den Identitätsdokumenten angegebenen Adressen liefern zu lassen. Dazu gehörten die Meldung eines vorgetäuschten Diebstahls, um Ersatzgeräte zu erhalten, die wechselnde Nutzung mehrerer Wohnadressen, die Behauptung eines Umzugs in letzter Minute zur Umleitung der Sendungen sowie die Ausnutzung von Tätigkeiten in Personalvermittlungsunternehmen, um das Ziel der Geräte zu ändern.
CrowdStrike verfolgt die Aktivitäten dieser Arbeitskräfte seit April 2025. Das Unternehmen ist der Ansicht, dass die Aufdeckung der früheren Methoden die Betreiber dazu veranlasst hat, sich stärker auf die Fälschung von Gerätekennungen zu stützen und einige Kennungen sogar zwischen verschiedenen betroffenen Organisationen wiederzuverwenden.
Was ändert sich in der Praxis?
Der Fall zeigt, dass die Überprüfung der Identität und des Standorts eines Mitarbeiters nicht mit dem Bewerbungsgespräch oder der Wohnadresse endet. Wenn ein Vermittler den Unternehmenscomputer besitzt, kann er einen physischen Zugangspunkt zur Arbeitsumgebung kontrollieren, selbst wenn die technische Verbindung scheinbar aus den USA kommt. Das Risiko betrifft daher nicht nur einen Verstoß gegen Beschäftigungsregeln, sondern auch den Diebstahl von Daten, die Verbreitung von Schadsoftware oder den Zugriff auf digitale Vermögenswerte.
Das Justizministerium verweist auf einen separaten Plan im Bundesstaat Ohio, der von 2019 bis Juli 2025 andauerte, 70 US-Unternehmen betraf und den mit Nordkorea verbundenen Akteuren rund 3 Millionen US-Dollar einbrachte. Dennoch zitierte der Artikel CrowdStrike mit der Einschätzung, dass die unmittelbaren Auswirkungen der aktuellen Razzia begrenzt sein könnten. Das Unternehmen bezeichnete sie als Beginn umfassenderer US-Bemühungen, die Infrastruktur der Gruppe innerhalb der Vereinigten Staaten zu zerschlagen.