Пентест WEB: практический курс для начинающих
ИБ-специалисты создали поддельный криптовалютный стартап и превратили его в ханипот для трех разработчиков, которых эксперты считают северокорейскими хакерами. Все кандидаты успешно прошли собеседования, подписали контракты и получили доступ к рабочим виртуальным машинам, на которых исследователи фиксировали все их действия.
Эксперимент провели специалисты компаний BCA LTD, NorthScan и ANY.RUN. Отметим, что в 2025 году эта команда уже проводила похожее исследование: тогда специалисты выдавали себя за посредника, который якобы был готов сдать свою личность в аренду северокорейским ИТ-специалистам. В итоге им удалось понаблюдать за работой участников Famous Chollima (филиала хак-группы Lazarus) и запечатлеть северокорейских хакеров на видео.
На этот раз исследователи создали фейковый DeFi-проект Ballena Azul, который якобы искал сотрудников для удаленной работы.
Первого кандидата привел рекрутер, который искал кандидатов на GitHub. Затем этот разработчик сам порекомендовал исследователям своего знакомого, а второй кандидат привел третьего.
Уже в процессе оформления документов специалисты обнаружили множество тревожных сигналов. К примеру, первый кандидат утверждал, что живет в Пасадене, штат Техас, однако прислал водительское удостоверение Калифорнии и данные банковского счета в Нью-Йорке. По словам исследователей, метаданные изображения указывали на обработку через Google Gemini, а само изображение содержало водяной знак SynthID.
Второй кандидат предоставил техасские водительские права, действующий номер социального страхования и банковский счет в Канзас-Сити. Третий прислал водительское удостоверение Нью-Йорка, принадлежавшее другому человеку, и хотя на этот раз фотография была сделана на iPhone 15, GPS-координаты из метаданных файла удалили.
В итоге все трое прошли процедуру найма и получили доступ к корпоративным системам (виртуальным машинам, которые фиксировали всё происходящее). В первый же рабочий день все три разработчика запустили dxdiag, systeminfo и wmic, собирая информацию о выданных машинах, а затем проверили, в стране находится их новый IP-адрес. Также один из работников установил Chrome Remote Desktop и синхронизировал с VM личный аккаунт Google, фактически раскрыв исследователям свою историю браузера, сохраненные пароли и установленные расширения. С той же машины он вошел в GitHub.
Исследователи пишут, что в браузерах северокорейских ИТ-специалистов были обнаружены инструменты для помощи при трудоустройстве и прохождении интервью с помощью ИИ: AIApply, Final Round AI, Simplify Copilot, а также расширение с сохраненными промптами для ChatGPT. Для передачи кодов двухфакторной аутентификации хакеры использовали сервис 2fa.cn, а трафик проходил через выходные узлы AstrillVPN. Кроме того, инфраструктура группы была связана с Vultr и Gorilla Servers.
Схемы с северокорейскими ИТ-специалистами, которые устраиваются на работу в компании по всему миру (включая российские и китайские), известны давно. Такие сотрудники нанимаются в зарубежные компании, а затем могут устанавливать на рабочие машины малварь, похищать данные из корпоративных сетей и требовать у работодателей выкуп.
При этом далеко не все ИТ-специалисты из КНДР занимаются вредоносной деятельностью и кибершпионажем. Некоторые из них действительно работают, а получаемые ими зарплаты в итоге уходят на счета организаций, связанных с властями страны.
В свою очередь, американские власти давно борются с этим явлением, например, обнаруживая людей, которые помогают осуществлять такие операции на территории США, создавать «фермы» ноутбуков и выводить деньги за пределы страны. Так, в апреле 2026 года Минюст США сообщал о приговорах, вынесенных двум американцам, которые помогли трудоустроить северокорейских хакеров более чем в 100 американских компаний, используя не менее 80 украденных личностей. По данным следователей, эта схема принесла Северной Корее более 5 млн долларов США.
Авторы нового исследования считают, что три нанятых ими разработчика были предполагаемыми участниками группировки Famous Chollima, по сути, являющейся подразделением Lazarus.
Для защиты от подобных схем специалисты советуют тщательно проверять личности будущих сотрудников не только во время найма, но и повторять проверки после него. Также по возможности рекомендуется проводить очную верификацию удаленных работников и обучать рекрутеров выявлять подозрительные документы.
