Изследователи по сигурността измислиха стартъп за криптовалута, рекламираха работни позиции за разработчици и наеха трима души, за които смятат, че са севернокорейски агенти. Всяка виртуална машина, която компанията предостави, записваше дейността им.

Документите по назначаването са частта, която екипите по подбор на персонал могат да използват. Първият нает твърдеше, че живее в Пасадина, Тексас, след което изпрати шофьорска книжка от Калифорния и банкова сметка в Ню Йорк.

Изследователите споделиха, че метаданните на изображението показват, че то е било обработено с Google Gemini. Те също така съобщиха за воден знак SynthID – невидимият маркер, който Google вгражда в изображенията, създадени или редактирани от неговите инструменти с изкуствен интелект.

Вторият кандидат предостави тексаски лиценз, валиден номер на социална осигуровка и банкова сметка в Канзас Сити. Третият изпрати шофьорска книжка от Ню Йорк, принадлежаща на друго лице, и оригинална снимка от iPhone 15 с премахнати GPS координати.

Успешното назначаване дава на агента реален служебен акаунт и реален достъп до изходния код и вътрешните системи. Съвместното предупреждение от 31 юли посочва, че севернокорейските ИТ служители търсят договори с намерението да превеждат заплатите си на севернокорейски агенции майки. То също така посочва документите, „фалшифицирани или променени с помощта на софтуер за редактиране на изображения“, сред сигналите, за които работодателите трябва да следят.

През април Министерството на правосъдието осъди двама американски посредници по друга схема, която е настанила служители в повече от 100 американски компании с най-малко 80 откраднати самоличности, печелейки за Северна Корея над 5 милиона долара. Приложението Gemini на Google може да проверява изображение за воден знак SynthID, но открива само съдържание, създадено или редактирано от AI моделите на Google. Отрицателният резултат не изключва редактиране с AI от други инструменти.

Операцията беше продължение. Съвместно разследване на Мауро Елдрич от BCA LTD, Хайнер Гарсия от NorthScan и ANY.RUN – доставчик на интерактивен анализ на зловреден код и разузнаване за заплахи – прекара края на 2025 г., представяйки се за посредник, готов да даде под наем самоличността си. The Hacker News отрази тази операция през декември.

Този път те влязоха в ролята на работодателя, изграждайки фалшив DeFi протокол, наречен Ballena Azul. Рекрутер, претърсващ GitHub за посредници, достави първия разработчик. Този разработчик гарантира за приятел, който от своя страна гарантира за трети.

Всеки агент премина през процеса на наемане, интервю, подписа договор и получи достъп до служебна виртуална машина. Изследователите пишат, че тези схеми са „не само риск при наемане“, тъй като след като се извърши назначаването, достъпът на служителя е оторизиран и очакван.

Първият ден премина в разузнаване. И тримата стартираха инструментите dxdiag, systeminfo и wmic, за да профилират машините си, след което провериха от коя държава изглежда, че произхожда връзката им. След това единият инсталира Chrome Remote Desktop и синхронизира личния си акаунт в Google с изолираната среда, прехвърляйки историята си на сърфиране, запазените пароли и инсталираните разширения. Той влезе в GitHub от същата машина.

Инструментите, наблюдавани в тази кампания, се различаваха от декември. Изследователите видяха използването на 2fa.cn за предаване на двуфакторни кодове между операторите; декемврийската операция беше използвала authenticator.cc и otp.ee. Outlook.com се появи там, където преди се виждаше само Gmail.

Браузърите им съдържаха разширения за кандидатстване за работа и съдействие при интервюта с изкуствен интелект: AIApply, Final Round AI, Simplify Copilot и инструмент за запазени подкани за ChatGPT. Докладът локализира инфраструктурата на Vultr и Gorilla Servers и посочва, че през цялото време са работили изходни възли на AstrillVPN.

Silent Push отделно проследи Astrill като постоянен елемент от севернокорейските операции.

Изследователите съветват да се извършват периодични проверки на самоличността, вместо само една при наемане, лична проверка за компании, работещи предимно от разстояние, обучение на служителите по подбор и блокиране на AstrillVPN. В препоръките от 31 юли допълнително се отбелязва използването на един акаунт, достъпен от много адреси за кратък период от време, и текст на профила, който изглежда като машинен превод.

Докладът представя метаданните от обработката с Gemini и водния знак SynthID като отделни констатации, но не обяснява как е открит самият воден знак.

Атрибуцията на атаката е дело на изследователите, които представиха работата си на DEF CON 34 в Лас Вегас този месец. Те описват тримата като заподозрени агенти на Famous Chollima. CrowdStrike използва това име за ИТ операциите на Северна Корея, докато екипът го поставя под по-широкия чадър на Lazarus.

Предупреждението от единадесет правителства изобщо не споменава конкретно име на група от страна на доставчиците за сигурност. Към 11 август нито един правителствен източник, прегледан за тази статия, не беше потвърдил тази идентификация. Истинските имена зад трите персони са неизвестни, а докладът не посочва дати за това колко дълго е работила фалшивата компания.