ABD Federal Soruşturma Bürosu (FBI), 21-25 Eylül tarihleri arasında Teksas'ta 40 konutu kapsayan bir baskın operasyonu düzenledi ve Kuzey Koreli teknoloji çalışanlarının ABD şirketlerindeki işlerde uzaktan çalışmasını sağlamak amacıyla kullanıldığına inanılan yaklaşık 187 bilgisayar ile KVM cihazına el koydu. Lonestar Roundup adını taşıyan operasyon, ABD Adalet Bakanlığı'nın Famous Chollima veya WageMole adıyla bilinen tehdit grubuna karşı yürüttüğü hamleyle eş zamanlı gerçekleştirildi.
Adalet Bakanlığı, yetkililerin ABD vatandaşları Michael James Bostelle ve Juan Cecilio Pena Carrillo'yu tutukladığını ve toplam 14 kişiye elektronik dolandırıcılık, kara para aklama ve kimlik hırsızlığı da dahil olmak üzere suçlamalar yöneltildiğini açıkladı. Bakanlık ayrıca 12 Çinli sanık hakkında ayrı suçlamalar duyurdu.
Bilgisayar çiftlikleri nasıl çalışıyordu?
Aracı taraflar, şirketlerin çalışma amacıyla sağladığı bilgisayarları ABD'deki konumlarda barındırıyor, ardından ülke dışında bulunan çalışanların KVM cihazları ve uzaktan erişim yazılımları kullanarak bu bilgisayarlara uzaktan erişmesini sağlıyordu. Böylece çalışan, kimliği veya gerçek konumu farklı olmasına rağmen işverene ABD'de bulunuyormuş gibi görünüyordu.
Habere göre plan, gerçek kimliklerin çalınmasına veya sahte kimlikler oluşturulmasına, VPN ağlarına ve iletişimlerin gerçek kaynağını gizlemek için kullanılan aracı bir altyapıya dayanıyordu. Aracılar ayrıca bilgisayarları teslim alıyor, uzaktan erişim araçlarını kuruyor ve gelirleri Kuzey Kore'yle bağlantılı tarafların kontrolündeki hesaplara aktarıyordu.
Cihazların yönlendirilmesi ve izlerinin gizlenmesi yöntemleri
CrowdStrike, çalışanların şirket cihazlarını kimlik belgelerinde yer alan adresler yerine bilgisayar çiftliklerine ulaştırmak için çeşitli yöntemler kullandığını belirtti. Bu yöntemler arasında yedek cihaz alabilmek için sahte hırsızlık ihbarında bulunmak, birden fazla ikamet adresini dönüşümlü kullanmak, gönderileri yönlendirmek için son anda taşınıldığını iddia etmek ve cihazların varış noktasını değiştirmek amacıyla işe alım şirketlerindeki görevlerden yararlanmak yer alıyordu.
CrowdStrike, bu çalışanların faaliyetlerini Nisan 2025'ten beri takip ediyor. Şirket, önceki yöntemlerin açığa çıkmasının operatörleri cihaz tanımlayıcılarını taklit etmeye daha fazla yönelttiğini, hatta bazı tanımlayıcıları farklı mağdur kuruluşlar arasında yeniden kullandıklarını değerlendiriyor.
Pratikte ne değişiyor?
Dava, çalışanın kimliğinin ve konumunun doğrulanmasının işe alım görüşmesi veya ikamet adresiyle sınırlı olmadığını gösteriyor. Bir aracı tarafın kurumsal bilgisayara sahip olması, bağlantı teknik olarak ABD içinden geliyormuş gibi görünse bile çalışma ortamına fiziksel bir erişim noktası üzerinde kontrol sahibi olmasına olanak tanıyor. Bu nedenle risk yalnızca işe alım kurallarının ihlal edilmesiyle sınırlı kalmıyor; verilerin çalınması, kötü amaçlı yazılımların yayılması veya dijital varlıklara erişim de risk kapsamına giriyor.
Adalet Bakanlığı, Ohio eyaletinde 2019'dan Temmuz 2025'e kadar devam eden ayrı bir planın 70 ABD şirketini etkilediğini ve Kuzey Kore'yle bağlantılı taraflara yaklaşık 3 milyon dolar kazandırdığını belirtiyor. Bununla birlikte haber, CrowdStrike'ın mevcut baskın operasyonunun kısa vadede etkisinin sınırlı olabileceği değerlendirmesine yer veriyor ve operasyonu, grubun ABD içindeki altyapısını dağıtmaya yönelik daha kapsamlı bir Amerikan çabasının başlangıcı olarak nitelendiriyor.