Американские власти арестовали Майкла Джеймса Постела из Пенсильвании и Хуана Сесилио Пенья Карильо из Техаса в рамках операции против мошеннической схемы, которая позволяла ИТ-работникам из Северной Кореи получать удалённые рабочие места в американских компаниях. Согласно обвинительному заключению, состоящему из четырёх пунктов, схема, предположительно действовавшая с 2019 года по июль 2025 года, принесла более 3 миллионов долларов мошеннических доходов.
Обвиняемые вместе с другими сообщниками размещали и настраивали ноутбуки, предоставленные американскими компаниями сотрудникам, которые, как предполагалось, работали на территории США. Используя поддельные личности, а также инфраструктуру виртуальных частных сетей и прокси для сокрытия фактического местонахождения, работники могли представляться работодателям сотрудниками, проживающими в США. В обвинительном заключении говорится, что они получили работу более чем в 70 компаниях в сферах телекоммуникаций, киберподдержки, здравоохранения, производства и розничной торговли.
Ликвидация операционных объектов в США
В рамках отдельной операции под названием Operation Lonestar Roundup ФБР обыскало 40 объектов в Техасе, которые, предположительно, использовались как фермы ноутбуков. Власти изъяли 187 ноутбуков и устройства KVM — оборудование, позволяющее удалённо управлять компьютерами. Считается, что они использовались для реализации схемы.
Обвинения также предъявлены десяти лицам, проживающим в Китае: Sun Sheng Ming, Pei Li Guang, Weng Shou Cheng, Han Guo Bin, Wang Jian Jun, Sheng Zhang Kun, Zhang Wei Ping, Zhang Li Ping, Yu Yang и Jin Long. Предполагается, что они участвовали в операции.
Как работают компьютерные фермы?
Компания CrowdStrike отслеживает эту активность под названием Famous Chollima. По данным компании, находящиеся за рубежом работники используют различные методы, чтобы убедить работодателей отправлять корпоративные устройства на операционные объекты, которыми управляют посредники в США. Эти методы включают сообщения о краже компьютеров для получения замены, заявления о внезапном переезде на другой адрес, смену нескольких жилых адресов и привлечение компаний по подбору технического персонала для перенаправления устройств конечных клиентов в такие объекты.
После получения устройств посредники устанавливают программы и оборудование, которые позволяют находящимся за рубежом работникам получать к ним удалённый доступ. По данным CrowdStrike, по мере усиления защитных мер в организациях группа начала скрывать инструменты удалённого доступа, подделывать отпечатки устройств и повторно использовать одни и те же идентификаторы устройств в разных организациях и под разными личностями.
Почему это важно?
Операция показывает, что схема основана не только на прямом техническом взломе, но и на сочетании мошенничества с идентификацией, физической инфраструктуры, инструментов удалённого администрирования и отношений в сфере найма. CrowdStrike заявляет, что среди пострадавших были такие критически важные отрасли, как авиация, энергетика, финансовые услуги, здравоохранение, кибербезопасность, оборона, государственная инженерия и потребительские технологии.
Однако компания предупреждает, что ликвидация компьютерных ферм может оказать ограниченное влияние на деятельность Famous Chollima, поскольку эти объекты выполняют физическую, юридическую и финансовую функции, а их можно восстановить в других местах. ФБР также считает, что угроза не ограничивается компаниями, нанимающими сотрудников удалённо: ИТ-работники побуждают американцев — сознательно или неосознанно — выполнять услуги, варьирующиеся от участия в собеседованиях вместо них, проверки поддельных личностей, отправки посылок до поддержания рабочих устройств подключёнными к интернету из своих домов.
Многоуровневый подход к проверке
ФБР рекомендует использовать то, что оно называет Identity in Depth, то есть слои средств контроля доступа и механизмов обнаружения, а также постоянную проверку личности на протяжении всего цикла найма. Среди упомянутых бюро индикаторов — использование программ удалённого рабочего стола и инструментов удалённого мониторинга и управления, подключение внешних устройств для управления компьютером, загрузка приложений, не связанных с работой, вывод данных, смена банковских счетов и физических адресов, а также подделка проверочных документов.
Практическая идея заключается в объединении множества поведенческих сигналов вместо опоры на единственное правило, которое легко обойти. Источник не уточняет, насколько успешно эти меры смогут предотвращать подобные схемы в будущем; кроме того, обвинения по этому делу ещё не получили судебного разрешения.