Forscher gründen Fake-Krypto-Start-up

Sicherheitsforscher gründeten ein fiktives Krypto-Unternehmen und stellten darüber drei mutmaßliche nordkoreanische IT-Operateure ein.

Für die Untersuchung bauten das Threat-Intelligence-Unternehmen BCA LTD, die Recherche-Initiative NorthScan sowie der Sandbox-Anbieter ANY.RUN das Fake-DeFi-Unternehmen Ballena Azul auf. Ein auf GitHub aktiver Werber vermittelte den Forschern den ersten Entwickler, der wiederum einen Freund empfahl, der seinerseits eine dritte Person ins Spiel brachte. Bei den eingereichten Bewerbungsunterlagen fanden sich deutliche Fälschungsspuren: Der erste Bewerber gab an, im texanischen Pasadena zu wohnen, schickte jedoch einen kalifornischen Führerschein und ein New Yorker Bankkonto.

Die Bilddaten zeigten laut den Forschern Spuren einer Bearbeitung mit Googles KI-Modell Gemini sowie ein SynthID-Wasserzeichen, jene unsichtbare Markierung, die Google in von seinen eigenen KI-Werkzeugen erstellte oder bearbeitete Bilder einbettet. Der zweite Bewerber übermittelte einen texanischen Führerschein samt gültiger Sozialversicherungsnummer und einem Bankkonto in Kansas City, der dritte einen New Yorker Führerschein, der einer anderen Person gehörte, begleitet von einem echten iPhone-15-Foto, aus dem die GPS-Koordinaten zuvor entfernt worden waren.

Aufklärung des Fake-Start-up am ersten Arbeitstag

Alle drei Bewerber durchliefen den regulären Einstellungsprozess samt Vorstellungsgespräch, erhielten einen Vertrag sowie Zugriff auf eine eigens präparierte, vollständig überwachte Arbeits-VM. Am ersten Tag führten alle drei zunächst Systembefehle wie dxdiag, systeminfo und wmic aus, um die jeweilige Maschine auszuspähen, und prüften anschließend, aus welchem Land ihre Internetverbindung scheinbar stammte. Einer der drei installierte zusätzlich Chrome Remote Desktop und synchronisierte sein persönliches Google-Konto mit der Sandbox, wodurch er unbeabsichtigt seinen eigenen Browserverlauf, gespeicherte Passwörter und installierte Erweiterungen offenlegte, und meldete sich auf derselben Maschine bei GitHub an.

Auf den überwachten Rechnern fanden sich zudem KI-gestützte Browser-Erweiterungen für Bewerbungen und Vorstellungsgespräche, darunter AIApply, Final Round AI, Simplify Copilot sowie ein Werkzeug zur Verwaltung gespeicherter ChatGPT-Prompts. Zur Verschleierung nutzten die Operateure laut den Forschern unter anderem den Dienst 2fa.cn zur Weitergabe von Zwei-Faktor-Codes zwischen mehreren Beteiligten sowie durchgehend Ausgangsknoten des Dienstes AstrillVPN, während die zugehörige Infrastruktur bei den Hosting-Anbietern Vultr und Gorilla Servers lag.

Behörden warnen vor ähnlichen Mustern

Ein gemeinsamer, von elf Regierungen getragener Warnhinweis vom 31. Juli weist Arbeitgeber unter anderem darauf hin, auf mit Bildbearbeitungssoftware gefälschte oder veränderte Dokumente, auf denselben, kurzfristig von zahlreichen unterschiedlichen Adressen aus genutzten Account sowie auf wie maschinell übersetzt wirkende Profiltexte zu achten. Laut dem Warnhinweis versuchen nordkoreanische IT-Arbeiter gezielt, Verträge zu erhalten, um ihre Gehälter an übergeordnete nordkoreanische Behörden weiterzuleiten. Bereits im April hatte das US-Justizministerium zwei US-Bürger verurteilt, die ein vergleichbares Schema unterstützt und damit Nordkorea nach Behördenangaben mehr als 5 Millionen US-Dollar eingebracht hatten, über mehr als 100 betroffene US-Unternehmen und mindestens 80 gestohlene Identitäten.

Die Forscher, die ihre Ergebnisse auf der Sicherheitskonferenz DEF CON 34 in Las Vegas vorstellten, ordnen die drei Personen der als Famous Chollima bekannten Gruppe zu, die sie als Teil des breiter gefassten Lazarus-Umfelds einstufen. Sie empfehlen Unternehmen, Identitätsprüfungen nicht nur einmalig bei der Einstellung, sondern regelmäßig wiederkehrend durchzuführen, bei vollständig remote arbeitenden Unternehmen persönliche Verifizierungen einzuplanen, Recruiter gezielt zu schulen sowie den Zugriff über AstrillVPN grundsätzlich zu blockieren. Die tatsächlichen Identitäten hinter den drei eingestellten Personen bleiben unbekannt.

(red)