В период с 21 по 25 сентября Федеральное бюро расследований США (FBI) провело рейды в 40 жилых помещениях в Техасе и изъяло около 187 компьютеров и устройств KVM, которые, предположительно, использовались в схеме, позволявшей северокорейским ИТ-работникам удалённо занимать должности в американских компаниях. Операция под названием Lonestar Roundup проходила параллельно с действиями Министерства юстиции США против известной группы угроз Famous Chollima, или WageMole.
Министерство юстиции сообщило, что власти арестовали граждан США Michael James Bostelle и Juan Cecilio Pena Carrillo, а всего предъявили обвинения 14 людям, в том числе в электронном мошенничестве, отмывании денег и краже личных данных. Министерство также объявило об отдельных обвинениях против 12 граждан Китая.
Как работали компьютерные фермы?
Посредники размещали компьютеры, предоставленные компаниями для рабочих целей, на территории США, а затем предоставляли находившимся за пределами страны работникам удалённый доступ к ним с помощью устройств KVM и программ удалённого доступа. Благодаря этому сотрудник выглядел для работодателя так, будто находился в США, хотя его личность или фактическое местонахождение были иными.
Согласно материалу, схема опиралась на украденные или вымышленные личности, сети VPN и промежуточную инфраструктуру для сокрытия истинного источника соединений. Посредники также принимали компьютеры, устанавливали инструменты удалённого доступа и переводили доходы на счета, контролируемые структурами, связанными с Северной Кореей.
Методы перенаправления устройств и сокрытия следов
Компания CrowdStrike сообщила, что работники использовали несколько способов доставки корпоративных устройств на компьютерные фермы вместо адресов, указанных в документах, удостоверяющих личность. Среди них были фиктивное заявление о краже для получения устройств на замену, использование нескольких сменяющихся жилых адресов, заявление о переезде в последний момент для перенаправления отправлений и использование должностей в рекрутинговых компаниях для изменения места назначения устройств.
CrowdStrike отслеживает активность этих работников с апреля 2025 года. Компания считает, что раскрытие прежних методов подтолкнуло операторов в большей степени полагаться на подмену идентификаторов устройств и даже повторно использовать некоторые идентификаторы в разных пострадавших организациях.
Что меняется на практике?
Это дело показывает, что проверка личности и местонахождения сотрудника не ограничивается собеседованием при приёме на работу или адресом проживания. Наличие у посредника корпоративного компьютера даёт ему контроль над физической точкой доступа к рабочей среде, даже когда технически соединение выглядит исходящим из США. Поэтому риск связан не только с нарушением правил найма, но и с кражей данных, распространением вредоносного программного обеспечения или доступом к цифровым активам.
Министерство юстиции указывает на отдельную схему в штате Огайо, которая продолжалась с 2019 года по июль 2025 года, затронула 70 американских компаний и принесла около 3 миллионов долларов структурам, связанным с Северной Кореей. Вместе с тем CrowdStrike, слова которой приводит материал, считает, что непосредственное влияние нынешней рейдовой операции может быть ограниченным, и называет её началом более масштабных усилий США по ликвидации инфраструктуры группы внутри страны.