US-Behörden haben Michael James Bostel aus Pennsylvania und Juan Cecilio Pena Carillo aus Texas im Rahmen eines Einsatzes gegen ein betrügerisches Schema festgenommen, das nordkoreanischen IT-Arbeitskräften ermöglichte, Remote-Arbeitsplätze bei US-Unternehmen zu erhalten. Laut einer vier Anklagepunkte umfassenden Anklageschrift erzielte das mutmaßlich von 2019 bis Juli 2025 andauernde Schema mehr als 3 Millionen US-Dollar an betrügerischen Einnahmen.
Die beiden Angeklagten beherbergten und richteten gemeinsam mit weiteren Helfern Laptops ein, die US-Unternehmen Mitarbeitern übergeben hatten, die angeblich innerhalb der Vereinigten Staaten arbeiteten. Mithilfe gefälschter Identitäten sowie einer Infrastruktur aus virtuellen privaten Netzwerken und Proxys zur Verschleierung der tatsächlichen Standorte konnten die Arbeitskräfte gegenüber ihren Arbeitgebern als in den USA ansässige Beschäftigte erscheinen. Der Anklageschrift zufolge erhielten sie Arbeitsplätze bei mehr als 70 Unternehmen in den Bereichen Telekommunikation, Cybersupport, Gesundheitswesen, Fertigung und Einzelhandel.
Auflösung von Betriebsstandorten innerhalb der USA
Bei einer separaten Operation unter dem Namen Operation Lonestar Roundup durchsuchte das FBI 40 Standorte in Texas, die vermutlich als Laptopfarmen genutzt wurden. Die Behörden beschlagnahmten 187 Laptops und KVM-Geräte, also Ausrüstung, die eine Fernsteuerung von Computern ermöglicht und vermutlich zur Durchführung des Schemas eingesetzt wurde.
Außerdem wurden zehn in China ansässige Personen angeklagt: Sun Sheng Ming, Pei Li Guang, Weng Shou Cheng, Han Guo Bin, Wang Jian Jun, Sheng Zhang Kun, Zhang Wei Ping, Zhang Li Ping, Yu Yang und Jin Long. Ihnen wird eine mutmaßliche Beteiligung an der Operation vorgeworfen.
Wie funktionieren Computerfarmen?
CrowdStrike verfolgt diese Aktivität unter dem Namen Famous Chollima. Nach Angaben des Unternehmens nutzen die im Ausland befindlichen Arbeitskräfte verschiedene Methoden, um Arbeitgeber davon zu überzeugen, Firmenausrüstung an von Vermittlern innerhalb der USA betriebene Standorte zu schicken. Zu den Methoden gehören die Meldung eines Computerdiebstahls, um Ersatzgeräte zu erhalten, die Behauptung eines plötzlichen Umzugs an eine andere Adresse, der Wechsel zwischen mehreren Wohnadressen sowie die Einschaltung von Technologie-Personalvermittlern, die Geräte von Endkunden an diese Standorte weiterleiten.
Nach Eingang der Geräte installieren die Vermittler Programme und Ausrüstung, die den Arbeitskräften im Ausland den Fernzugriff darauf ermöglichen. Als Unternehmen ihre Abwehrmaßnahmen verstärkten, begann die Gruppe laut CrowdStrike, Fernzugriffswerkzeuge zu verbergen, Geräte-Fingerabdrücke zu fälschen und dieselben Gerätekennungen bei verschiedenen Unternehmen und Identitäten wiederzuverwenden.
Warum ist diese Nachricht wichtig?
Die Operation zeigt, dass das Schema nicht nur auf einem direkten technischen Eindringen beruht, sondern auf der Kombination von Identitätsbetrug, physischer Infrastruktur, Fernverwaltungswerkzeugen und Beschäftigungsbeziehungen. CrowdStrike zufolge gehörten Opfer aus kritischen Bereichen wie Luftfahrt, Energie, Finanzdienstleistungen, Gesundheitswesen, Cybersicherheit, Verteidigung, staatlicher Ingenieurwesen und Verbrauchertechnologie dazu.
Das Unternehmen warnt jedoch, dass die Stilllegung von Computerfarmen nur begrenzte Auswirkungen auf die Aktivitäten von Famous Chollima haben könnte, da diese Standorte eine physische, rechtliche und finanzielle Funktion erfüllen, die an anderen Orten wieder aufgebaut werden kann. Auch das FBI ist der Ansicht, dass die Bedrohung nicht auf Unternehmen beschränkt ist, die Remote-Arbeit anbieten, da IT-Arbeitskräfte US-Amerikaner wissentlich oder unwissentlich dazu bringen, Dienstleistungen zu erbringen, die von der Teilnahme an Vorstellungsgesprächen in ihrem Namen über die Überprüfung gefälschter Identitäten und den Versand von Paketen bis hin zum Aufrechterhalten der Internetverbindung von Arbeitsgeräten aus ihren Wohnungen reichen.
Mehrschichtiger Verifizierungsansatz
Das FBI empfiehlt, was es Identity in Depth nennt, also den Einsatz mehrerer Ebenen von Zugriffskontrollen sowie eine kontinuierliche Identitätserkennung und -überprüfung während des gesamten Beschäftigungszyklus. Zu den von der Behörde genannten Indikatoren gehören die Nutzung von Remote-Desktop-Software sowie Fernüberwachungs- und -verwaltungstools, der Anschluss externer Geräte zur Steuerung des Computers, das Herunterladen nicht arbeitsbezogener Anwendungen, die Herausgabe von Daten, der Wechsel von Bankkonten und tatsächlichen Adressen sowie die Fälschung von Verifizierungsdokumenten.
Der praktische Gedanke besteht darin, mehrere Verhaltenssignale zusammenzuführen, anstatt sich auf eine einzelne, leicht zu umgehende Regel zu verlassen. Die Quelle legt weiterhin nicht fest, wie erfolgreich diese Maßnahmen künftig bei der Verhinderung solcher Schemata sein werden; außerdem sind die in dem Fall erhobenen Vorwürfe noch nicht gerichtlich entschieden.