Pengembang muda memiliki waktu hidup mereka. Mereka meletuskan botol anggur bersoda, makan makan malam steak, bermain sepak bola bersama, dan bersantai di kolam renang pribadi yang mewah, semua aktivitas mereka diambil dalam foto yang kemudian diekspos online. Dalam satu gambar, seorang pria berpose di depan seukuran hidup Minion guntingan kardus. Namun terlepas dari kegembiraan mereka, ini bukan pengusaha Silicon Valley yang berhasil; mereka Pekerja itu dari kerajaan pertapa di Korea Utarayang menyusup ke perusahaan Barat dan mengirim upah mereka kembali ke rumah.
Dua anggota sekelompok pengembang Korea Utara, yang diduga beroperasi di luar negara Asia Tenggara Laos sebelum dipindahkan ke Rusia pada awal tahun 2024, saat ini sedang diidentifikasi oleh para peneliti di Cybersecurity Company Companyity Dtex. Orang -orang itu, yang diyakini DTEX telah menggunakan kepribadian ‘Naoki Murano’ dan ‘Jenson Collins,’ diduga telah terlibat dalam mengumpulkan uang untuk rezim brutalis Korea Utara sebagai bagian dari epidemi pekerja TI yang tersebar luas, dengan Murano yang diduga sebelumnya telah pernah terjadi sebelumnya, dengan Murano, dengan Murano, dengan Epidemi, dengan Murano, dengan Murano yang diduga pernah ada sebelumnya. terkait dengan pencurian $ 6 juta di perusahaan crypto Deltaprime tahun lalu.
Karena ya, kim jong-un Korea Utara telah mengajukan salah satu dari paling rumit Dan Cyber Berbahaya ancaman ke negara -negara dan bisnis Barat, dengan peretasnya mencuri kekayaan intelektual yang diperlukan untuk mengembangkan teknologinya sendiri, ditambah menjarah miliaran crypto untuk menghindari sanksi dan Buat senjata nuklir. Pada bulan Februari, FBI diumumkan Korea Utara itu melakukan pencurian kripto terbesar yang pernah ada, Mencuri $ 1,5 miliar dari Crypto Exchange Bitbit. Bersama peretasnya yang terampil, pekerja TI Pyongyang, yang sering berbasis di Cina atau Rusia, menipu perusahaan untuk mempekerjakan mereka sebagai pekerja jarak jauh dan telah menjadi seorang Meningkatkan ancaman.
“Apa yang kami lakukan tidak berhasil, dan jika berhasil, itu tidak bekerja cukup cepat,” kata Michael ‘Barni’ Barnhart, seorang peneliti cyber dan penyelidik utama Korea Utara terkemuka di DTEX. Serta mengidentifikasi Murano dan Collins, DTEX, di a Laporan terperinci tentang aktivitas dunia maya Korea Utarajuga penerbitan Lebih dari 1.000 alamat email yang dituduh telah diidentifikasi sebagai terkait dengan aktivitas pekerja TI Korea Utara. Langkah ini adalah salah satu pengungkapan terbesar dari aktivitas pekerja TI Korea Utara hingga saat ini.
Operasi cyber luas Korea Utara tidak dapat dibandingkan dengan negara-negara bermusuhan lainnya, seperti Rusia dan Cina, Barnhart menjelaskan dalam laporan DTEX, karena Pyongyang beroperasi seperti “sindikat kejahatan yang disetujui negara” daripada operasi militer atau intelijen yang lebih tradisional. Semuanya didorong oleh mendanai rezim, mengembangkan persenjataan, dan mengumpulkan informasi, kata Barnhart. “Semuanya diikat bersama dalam beberapa cara, bentuk, atau bentuk.”
Kesalahan bergerak masuk
Sekitar tahun 2022 dan 2023, DTEX mengklaim baik Naoki Murano dan Jenson Collins – nama asli mereka tidak diketahui – berbasis di Laos dan juga bepergian antara Vladivostok, di Rusia. Pasangan ini muncul di antara kelompok yang lebih luas dari kemungkinan Korea Utara di Laos, dan cache foto mereka pertama kali diekspos di sebuah Buka Folder Dropbox. Foto -foto itu ditemukan oleh sekelompok peneliti Korea Utara yang sering berkolaborasi dengan Barnhart dan menyebut diri mereka aliansi “ketidakcocokan”. Dalam beberapa minggu terakhir, mereka telah memposting banyak gambar yang diakui Pekerja TI Korea Utara on line.
Pekerja TI Korea Utara semakin produktif dalam kegiatan mereka, sering mencoba menyusup ke banyak perusahaan secara bersamaan dengan menggunakan identitas curian atau menciptakan persona palsu untuk mencoba tampil sah. Beberapa menggunakan platform lepas; orang lain mencoba Rekrut Fasilitator Internasional untuk Menjalankan Pertanian Laptop. Sementara kepribadian online mereka mungkin palsu, negara – di mana jutaan orang tidak memiliki hak asasi manusia atau Akses ke Internet—Kus anak -anak berbakat ke dalam pipa pendidikan di mana mereka dapat menjadi pengembang dan peretas yang terampil. Itu berarti banyak pekerja TI dan peretas cenderung saling mengenal, berpotensi sejak mereka masih anak -anak. Meskipun secara teknis mahir, mereka sering meninggalkan jejak remah roti digital di belakangnya.
Murano pertama kali dikaitkan dengan operasi Korea Utara secara publik oleh penyelidik cryptocurrency Zachxbtyang menerbitkan nama, detail dompet cryptocurrency, dan alamat email Lebih dari 20 pekerja TI Korea Utara tahun lalu. Murano kemudian dikaitkan dengan pencurian Deltaprime Pelaporan oleh Coinbase pada bulan Oktober .. Anggota Misfits Collective telah berbagi foto Murano Looking senang dengan dirinya sendiri saat makan steak dan gambar Paspor Jepang yang diduga.
Sementara itu, Collins, yang disertakan DTEX dalam laporannya dan siapa ditampilkan dalam foto kolam renang Termasuk dalam folder Dropbox, paling sering terlibat dalam pekerjaan TI yang menghasilkan pendapatan untuk Pyongyang, kata Narcass3 seorang anggota Misfits yang meminta untuk diidentifikasi dengan pegangan online mereka. “Dia tampaknya terutama hanya bekerja pada proyek crypto/blockchain, termasuk yang tampaknya sepenuhnya didukung DPRK atau terutama terdiri dari pekerja TI,” kata Narcass3.
Evan Gordenker, seorang manajer senior konsultasi di tim intelijen ancaman unit 42 dari perusahaan cybersecurity Palo Alto Networks, mengatakan ia akrab dengan dua kepribadian yang diidentifikasi oleh DTEX dan outlet lainnya dan kelompok pekerja Korea Utara yang berbasis di Laos. Kelompok ini mengeluarkan banyak aplikasi pekerjaan, membuat persona palsu, dan mencari calon kaki tangan, kata peneliti. “Sepertinya saya juga menikmati tingkat otonomi yang menurut saya tidak cenderung Anda lihat untuk beberapa [IT worker] Kelompok, “kata Gordenker.” Saya tidak tahu apakah itu karena mereka menghasilkan lebih banyak uang dan mendapatkan lebih banyak hak istimewa atau hanya karena mereka kebetulan memiliki pimpinan kelompok yang beroperasi dengan cara itu. “
Alamat email atas nama Murano bangkit kembali saat dihubungi oleh Wired. Sementara itu alamat email dengan nama Collins tidak menanggapi permintaan komentar.
Bersembunyi di depan mata
Pekerja TI Pyongyang telah beroperasi untuk bagian terbaik dari satu dekade, tetapi perhatian pada kegiatan mereka telah meningkat dalam 12 bulan terakhir karena perusahaan Fortune 500 menyadari bahwa mereka secara tidak sengaja mempekerjakan warga Korea Utara. Tim peretas dan pekerja TI ditetapkan “kuota pendapatan” oleh rezim Kim Jong-un, kata Barnhart, dengan pekerja TI yang beroperasi dari berbagai organisasi militer dan intelijen Korea Utara yang berbeda. Salah satu pekerja TI yang menghasilkan $ 5.000 per bulan dapat menyimpan $ 200 darinya, kata penyelidik.
Pekerja IT jahat, yang mungkin akan mencuri serta menghasilkan uang, adalah bagian dari negara yang baru -baru ini terungkap Organisasi AI menelepon 227 Pusat Penelitianyang merupakan bagian dari Badan Intelijen Utama Biro Umum Pengintaian, sementara yang lain adalah bagian dari tim di Kementerian Pertahanan Nasional, menurut bagan organisasi dunia maya yang diterbitkan oleh Barnhart dalam laporan DTEX. Pekerja TI yang semata -mata mencoba menghasilkan pendapatan dari pekerjaan mereka mungkin menjadi bagian dari departemen industri amunisi, kata penelitian itu.
Uptick yang relatif baru dalam pengawasan di sekitar pekerja telah datang di tengah penumpasan pemerintah AS yang sedang tumbuh: pada bulan Mei 2023, itu Sanksi Perusahaan Korea Utara Perusahaan Kerjasama Teknologi Informasi Chinyong untuk mempekerjakan pekerja TI di Laos dan Rusia, sementara pada awal tahun ini, dua Perusahaan depan Korea Utara dan bos mereka yang berbasis di China dan Laos disetujui oleh Departemen Keuangan AS. Perbendaharaan itu mengatakan kelompok pekerja TI mendapatkan “ratusan juta dolar” untuk rezim, dan ribuan pekerja TI dikirim ke seluruh dunia.
“Pekerja IT memainkan permainan angka dan melamar peran jarak jauh dalam volume,” kata Rafe Pilling, direktur Ancaman Intelijen, di unit ancaman Sophos ‘. Itu berarti mereka sering membuat kesalahan. “Mereka tampaknya beroperasi dengan kecepatan sedemikian rupa sehingga mereka dapat membuat kesalahan seperti meninggalkan repositori GitHub dari CV dan alat yang dapat diakses secara publik, meninggalkan komentar dalam kode dan skrip, membuat kesalahan di CV yang membuatnya lebih mudah dikenali sebagai palsu, dan slip-up pada kamera selama wawancara yang dapat mengungkapkan subterfuge.”
Bersamaan dengan mengidentifikasi Murano dan Collins, DTEX juga menerbitkan lebih dari 1.000 alamat email yang diduga terkait dengan operasi pekerja TI Korea Utara yang telah dikumpulkan melalui investigasi dan kolaborasi dengan para peneliti. Setiap alamat email telah disediakan oleh berbagai sumber, kata Barnhard. Analisis kabel dari hampir dua lusin email, menggunakan alat intelijen open-source dan database materi bocor secara online, menunjukkan beberapa dari mereka tampaknya memiliki tanda-tanda perilaku online otentik; Beberapa alamat email ditautkan ke alat pengembang online atau situs web lepas, dengan yang lain memiliki sedikit kehadiran online.
“Ada sedikit penggunaan kembali kepribadian dan beberapa dari mereka bertahun -tahun terakhir,” kata Gordenker Unit 42. Yang lain mungkin digunakan hanya sekali, kata Gordenker, tetapi scammers dapat dengan cepat membuat persona baru jika diperlukan. “Anda akan melihat persona yang berhasil, misalnya, kadang -kadang dapat memiliki empat atau lima, enam pekerjaan berbeda di seluruh umur.”
Karena lebih banyak pekerja IT diidentifikasi, mereka semakin mengadopsi taktik mereka untuk mencoba membuat diri mereka lebih sulit dikenali. Beberapa peneliti cybersecurity telah menemukan orang Korea Utara menggunakan Perangkat lunak yang mengubah wajah selama wawancara video atau menggunakan asisten AI untuk membantu menjawab pertanyaan secara real-time.
Mengubah wajah
Pekerja IT berdiri di tengah -tengah kamar yang sempit dan berpose untuk fotonya. Jam di dinding berbunyi 11:30. Di latar belakang, tiga pria lain yang mengenakan seragam militer membungkuk di atas komputer. Rak binatu muncul di bagian belakang ruangan di foto, yang pertama kali diterbitkan oleh DTEX. “Ada banyak hal yang harus dibongkar dalam satu gambar itu,” kata Barnhart.
Barnhart menjelaskan bahwa sementara banyak yang tidak diketahui tentang foto tersebut, itu mengungkapkan beberapa detail tentang bagaimana kelompok pekerja TI beroperasi. Salah satu pria, di sudut paling kanan foto, tampaknya memiliki pesan WhatsApp terbuka di layar komputernya, dengan beberapa obrolan berlangsung. Terlampir pada dinding di atasnya adalah kamera pengintai.
“MSS mengawasi mereka sehingga mereka tidak menjadi pembelot,” kata Barnhart, merujuk pada agen kontra intelijen Korea Utara dan polisi rahasia, Kementerian Keamanan Negara. Karena para pria berbasis di luar ruang kerja kecil, mereka cenderung menurunkan urutan kekuasaan pekerja TI dan akan, seperti rekan senegaranya, juga menghadapi pengawasan digital ketika mereka menggunakan komputer mereka, katanya. Barnhart mengatakan perangkat lunak yang telah dilihatnya memantau apa yang mengetik pekerja TI dan mengirimkan perangkat mereka. “Mereka membencinya,” katanya. “Ini mengirimkan bendera ke server eksternal setiap kali citra seksual atau konten seksual dibicarakan atau jika Kim Jong-un [mentioned]. ” Peneliti lain telah melihat tersangka pekerja TI mengakhiri wawancara kerja Ketika ditanya variasi pada pertanyaan: “Seberapa gemuk Kim Jong-un?”
Meskipun tidak jelas di mana orang -orang di ruangan itu mungkin berada secara fisik, ada tanda -tanda bahwa foto potret subjek pusat telah digunakan untuk membuat persona palsu. Gambar-gambar selanjutnya yang diperoleh Barnhart menunjukkan pria yang diedit menjadi pakaian yang berbeda dan berubah menjadi ilustrasi gaya kartun wajahnya.
“Itu menunjukkan dia mengacaukan garis rambut. Itu menunjukkan dia mengubah fitur, itu pada dasarnya menunjukkan dia menyiapkan profilnya,” kata Barnhart. Salah satu foto ini – dia diedit menjadi jaket kulit – muncul di situs web dari “Benjamin Martin,” seorang pengembang Web3 dan full-stack yang bergaya sendiri.
Selain tampak sebagai Korea Utara dari foto pekerja TI, dua perusahaan yang terdaftar di CV online Martin memberi tahu mereka belum pernah mendengar tentang kepribadian tersebut, apalagi mempekerjakannya. Salah satu perusahaan mengatakan itu Tidak sepenuhnya dimasukkan selama sebagian besar waktu Martin Persona mendaftarkan dia bekerja di sana. Martin tidak menanggapi pesan yang dikirim ke email yang tercantum di halaman web pengembang sementara akun telegram yang ditautkan ke nomor telepon di situs web Martin merespons “ya” dalam pertukaran berbahasa Cina terbatas ketika ditanya apakah mereka adalah pekerja TI Korea Utara.
Pada akhirnya, Barnhart mengatakan, orang perlu memahami bagaimana peretas Korea Utara dan pekerja TI beroperasi, dengan fluiditas antara kelompok dan pendekatan, sebelum gangguan signifikan dari upaya mereka dapat terjadi. “Kita perlu fokus kembali, kita perlu membentuk kembali,” kata Barnhart. “Korea Utara telah pindah ke poin berikutnya dan sekarang mereka mensubkontrakkan dan membuat lapisan kebingungan lain di sana juga.”
