Розкриття внутрішніх операцій північнокорейської хакерської команди

Нещодавно анонімний білий хакер успішно зламав пристрій одного IT-робітника з Північної Кореї, викривши, як технічна команда з п'яти осіб використовує більше 30 фальшивих ідентичностей для ведення онлайн-діяльності. Ця команда не лише має підроблені офіційні документи, але й проникає в різні розробницькі проекти, купуючи акаунти на онлайн-платформах.

!

Розслідувачі отримали дані про хмарне сховище команди, конфігураційні файли браузера та скріншоти пристроїв. Матеріали показують, що команда в значній мірі покладається на офісний пакет одного з технологічних гігантів для координації робочих графіків, розподілу завдань та управління бюджетом, всі комунікації ведуться англійською.

!

Оглядовий звіт за 2025 рік розкриває робочі моделі та виклики, з якими стикається ця команда Хакерів. Наприклад, один з членів скаржився: "не можу зрозуміти вимоги до роботи, не знаю, що робити", а відповідним рішенням виявилося "зосередитися на роботі, працювати вдвічі старанніше".

!

Записи про витрати команди показують, що їхні витрати включають купівлю соціального номера (SSN), облікових записів для онлайн-транзакцій, оренду номерів телефонів, підписку на послуги ІШ, оренду комп'ютерів, а також купівлю VPN/проксі-сервісів.

!

Документ, що містить детальну електронну таблицю, фіксує розклад і сценарій розмови для участі в конференції під вигаданим ім'ям "Генрі Чжан". Процес показує, що ці північнокорейські ІТ-робітники спочатку купують облікові записи на онлайн-платформах, орендують комп'ютерне обладнання, а потім виконують аутсорсинг за допомогою інструментів віддаленого керування.

!

Дослідження також виявило адресу гаманця, яку команда використовувала для отримання та відправлення коштів, ця адреса має тісний онлайновий зв'язок з атакою на угоду на 680 тисяч доларів, що сталася в червні 2025 року. Пізніше підтверджено, що CTO атакованого проекту та інші розробники були північнокорейськими ІТ-робітниками з підробленими документами. Через цю адресу також були ідентифіковані інші північнокорейські ІТ-спеціалісти в проектах, які зазнали проникнення.

!

В записах пошуку та історії браузера членів команди було виявлено велику кількість ключових доказів. Дехто може поставити під сумнів, як підтвердити, що вони з Північної Кореї, окрім згаданих вище шахрайських документів, їхня історія пошуку також показує часте використання онлайн-сервісів перекладу та використання російського IP для перекладу контенту корейською.

!

Наразі основні виклики, з якими стикаються підприємства в запобіганні діяльності північнокорейських IT-робітників, включають:

1. Відсутність системної співпраці: між платформеними постачальниками послуг та приватними підприємствами бракує ефективного механізму обміну інформацією та співпраці.
2. Неналежне спостереження з боку замовника: команда, що наймає, часто проявляє захисну позицію після отримання ризикового попередження, а іноді навіть відмовляється співпрацювати в розслідуванні.
3. Перевага в кількості: хоча їхні технологічні засоби не є складними, вони продовжують проникати на глобальний ринок праці завдяки великій кількості претендентів.
4. Канали конвертації коштів: деякі платіжні платформи часто використовуються для обміну доходів від розробницької роботи з фіатної валюти на криптовалюту.

Це розслідування надає галузі унікальну можливість з активної точки зору розкрити "робочі" методи північнокорейських Хакерів, що має важливе значення для проактивного забезпечення безпеки проектів. Компанії та особи повинні підвищити обізнаність, зміцнити здатність до виявлення та запобігання потенційним загрозам.

!