Автори на заплахи с връзки с Корейската народно-демократична република (известна още като КНДР или Северна Корея) са забелязани да търсят възможности за работа извън сектора на информационните технологии (ИТ), като неотдавнашни разследвания идентифицират заподозрени работници, наети в областта на продажбите, маркетинга и медицинската професия.

Продължаващата вътрешна заплаха е част от това, което се описва като схема с ИТ работници, при която Северна Корея използва своята мрежа от квалифицирани ИТ специалисти, както в страната, така и извън нея, за да получава с измама работа във компании от Fortune 500 и фирми от частния сектор по целия свят и дистанционно да печели доходи за финансиране на незаконните програми на Пхенян за ядрени оръжия и балистични ракети.

Това включва разчитане на откраднати или фалшифицирани документи за самоличност, VPN мрежи и прокси услуги за маскиране на тяхната истинска самоличност и местоположение. Многогодишната кампания се проследява и под псевдонимите Famous Chollima, Jasper Sleet, Nickel Tapestry, PurpleDelta (по-рано TAG-121), UNC5267 и Wagemole.

„Работниците от КНДР представляват уникално предизвикателство за откриване от защитниците: вместо да компрометират профили или да пробиват през пролуки в средите на организациите, те мамят компаниите да ги наемат дистанционно и често всъщност вършат легитимната работа, за която са били наети“, посочва Huntress в анализ.

В един случай от февруари 2026 г. трима служители на австралийска компания в областта на здравеопазването са отбелязани като севернокорейски работници, представящи се за китайски граждани, след като е установено, че многократно се свързват чрез Astrill VPN и IPRoyal Proxy, използват измамно създадени документы за самоличност, открити са прилики между паспортите на двама от служителите и фрапиращи аномалии в думите в електронни сметки, предоставени като доказателство за пребиваване по време на процеса по назначаване.

„Въпреки вероятността паспортите и картите за самоличност на пребиваващи да са фалшиви, все пак съществува възможността тези документи да съдържат легитимна информация или снимки от други лица, чиято информация за самоличност е била открадната или взета назаем“, добавя Huntress.

Втори случай от този месец в неназована фирма за финансови услуги разкрива наличието на PiKVM на тяхно устройство. Използването на KVM превключватели като PiKVM или TinyPilot и преди е приписвано на схемата с ИТ работници от Северна Корея, позволявайки на отдалечените злонамерени субекти да се свързват с устройства, разположени във ферми за лаптопи.

За „служителя“ се казва също, че е осъществил достъп до услугата за споделяне на файлове на трета страна SendGB, за да изтегли модифицирана версия на легитимен профил в GitHub, най-вероятно за използване като своя собствена профилна снимка във вътрешен инструмент за комуникация.

Дни след инсталирането на PiKVM към същото устройство е включена и платка за заснемане на видео Guermok USB, за да се позволи „поточно предаване на видео през нея, което да се изпраща като вход от уеб камера в приложения за уеб конферентни връзки като Zoom“. Въпреки че използването на Guermok само по себе си не е подозрително, фактът, че инсталирането на PiKVM и свързването на Guermok USB са се случили едно след друго, повдига сериозни съмнения.

В трети случай, разследван от Huntress през август 2026 г., служител в областта на продажбите и маркетинга, назначен 13 дни по-рано, изглежда е откраднал или взел назаем съществуваща самоличност, за да получи работата, замествайки лицето на легитимния индивид със заподозрения работник от КНДР, след като данните на първия, включително име, дата на раждане и местоположение, заедно с негова полицейска снимка, са били публикувани онлайн от правоприлагащите органи след ареста му.

„Ограничаването на риска от фалшиви работници започва още на етапа на интервюто и продължава с извършването на строги проверки на миналото на новите служители преди назначаването им“, заявява Huntress. „При съмнение извършването на стандартни проверки на миналото, търсенето на лицата онлайн и потвърждаването на трудовата им история ще помогнат за отстраняването на работниците от КНДР още в началото на процеса по интервюиране.“

Това далеч не са изолирани случаи. Insikt Group на Recorded Future съобщава, че е наблюдавала един клъстер, свързан с PurpleDelta, кандидатстващ за позиции в над 1100 компании, предимно в сектора на софтуера и технологиите, подбора на персонал и консултантските услуги, както и здравеопазването и биотехнологиите, между края на 2024 г. и началото на 2025 г.

Злонамерените субекти, състоящи се от множество оператори, за които се предполага, че са базирани в Китай, са заподозрени, че поддържат 22 измислени самоличности, някои от които са синтетично генерирани с използване на изкуствен интелект (AI) и с документи за самоличност, получени от незаконна услуга за генериране на документи за самоличност, наречена TrustID Card („trustidcard[.]com“).

Описвайки PurpleDelta като поддържаща „висок оперативен темп“, компанията за разузнаване на заплахи заявява, че атакуващите са кандидатствали за най-малко 60 позиции на ден в 10 платформи за работа, използвали са браузъри за управление на множество профили и отделни профили в Google Chrome за управление на различни самоличности, както и че са поддържали подробни електронни таблици за проследяване с цел координиране на кандидатурите между различните самоличности.

„По време на интервютата за работа те са използвали софтуер за запис на екрана заедно с инструменти за AI транскрипция и чатботове, за да генерират отговори в реално време, често повтаряйки дословно отговори от ChatGPT“, добавя Recorded Future. „След като бъдат наети, операторите са записвали вътрешни срещи в организациите жертви и са използвали Google Преводач за съставяне на предварително написани оправдания, с които да обосноват използването на лични устройства и банкови сметки за работа.“

В допълнение е установено, разчитат на услуги за посредничество при самоличности, отдаване под наем на профили чрез AnyDesk и инструменти за управление на множество профили, както и че се координират през Telegram и Slack за изпълнение на работата и комуникират с посредници, които осигуряват и поддържат предоставения от компаниите хардуер от името на операторите.

„Активността на PurpleDelta почти със сигурност продължава и е много вероятно да продължи да се разраства по мащаб и изтънченост, тъй като ИТ работниците от Северна Корея се приспособяват към повишената информираност и усилията за откриване“, обяснява Recorded Future.

„Нарастващата интеграция на AI инструменти в тактиките на PurpleDelta представлява задълбочаващ се риск. Използването на персонализирани асистенти ChatGPT, AI транскрипция в реално време по време на интервюта и генерирани от AI профилни снимки намалява бариерата за правдоподобна измама и позволява на операторите да се представят убедително в технически роли, които може да не разбират напълно.“

Констатациите съвпадат с редица свързани събития –

  • Федералното бюро за разследване на САЩ (ФБР) разследва как ИТ работник от Северна Корея е успял да получи работа в неназована федерална правителствена агенция. Смята се, че отдалеченият ИТ служител е извършвал работа по договор, вместо да е бил нает директно.
  • Операторите пренасочват западни заплати чрез мрежа от компании паравани и посредници, включително субекти като Sobaeksu, Saenal и Songkwang, които са санкционирани в САЩ за избягване на санкции. Според DTEX схемата се използва и в подкрепа на целите на режима, като производство на оръжия и подпомагане на военните усилия на Русия. Общо се оценява, че схемата е генерирала плащания в размер на 1,97 милиона долара между декември 2025 г. и февруари 2026 г., преминаващи през санкционираната Ryongbong General Corporation.
  • По-рано този май двама американски граждани, Матю Айзък Кнут (Matthew Isaac Knoot) и Ерик Нтекерезе Принс (Erick Ntekereze Prince), бяха осъдени на по 18 месеца затвор за управление на „ферма за лаптопи“ за севернокорейски отдалечени ИТ работници. Двете отделни схеми са засегнали близо 70 американски компании и са генерирали общо 1,2 милиона долара незаконни приходи.
  • Месец преди това 42-годишният Кеджия Ван (Kejia Wang) и 39-годишният Джъндзин Ван (Zhenxing Wang) бяха осъдени съответно на 108 и 92 месеца затвор за управление на подобна ферма за лаптопи в домовете си в Ню Джърси и подпомагане на ИТ работници да получат отдалечена работа в над 100 американски компании, генерирайки около 5 милиона долара и причинявайки загуби за над 3 милиона долара на компаниите жертви. Четирима други мъже, Олександър Диденко (Oleksandr Didenko), на 29 г., Одрикус Фагнасай (Audricus Phagnasay), на 25 г., Джейсън Салазар (Jason Salazar), на 30 г., и Александър Пол Травис (Alexander Paul Travis), на 35 г., бяха осъдени през февруари и март.
  • Поредица от доклади от Nisos разкриват как агенти от КНДР използват измами при кандидатстване за работа, за да насочват атаки срещу компании за криптовалута с цел извършване на кражба на активи. Един от ИТ работниците е бил хванат и докато е кандидатствал за ролята на главен архитект по изкуствен интелект (lead AI architect) в компанията за управление на човешкия риск, разкривайки по невнимание използването на PiKVM за поддържане на контрол върху устройството си, намиращо се във ферма за лаптопи, съдържаща 20 машини.
  • През април Microsoft разкри, че е наблюдавал как извършители от групата Jasper Sleet осъществяват достъп до уеб услугите за кадри на Workday (Workday Recruiting Web Service endpoints), които са изложени чрез външни сайтове за кариерно развитие, вероятно за да получат подробности относно свободните позиции и работните процеси по наемане. По време на фазата на набиране на персонал е известно, че атакуващият комуникира с екипа по подбор на целевата организация чрез имейли и легитимни платформи като Microsoft Teams, Zoom или Cisco Webex за интервюта. След като бъдат наети, авторите на заплахи създават нови профили във Workday и актуализират информацията за ведомостите за заплати, обикновено свързана с посредник.

„Оперирайки под синтетична самоличност, тези лица се представят за изключително опитни разработчици от цял свят, за да си осигурят доходоносни, дългосрочни отдалечени роли“, заявяват от Group-IB. „Това не е класическа верига за проникване чрез зловреден софтуер; това е модел за достъп, овластен от работна сила, изграден около социално инженерство, операции със синтетична самоличност и злоупотреба с платформи.“

„Отвъд непосредствения риск от кражба на данни, организациите, които съзнателно или несъзнателно наемат тези работници, са изправени пред сериозни правни рискове и рискове от несъответствие с регулациите, тъй като наемането или плащането на ИТ работници от КНДР може да представлява директно нарушение на финансовите санкции на ООН, САЩ и Обединеното кралство.“

Устойчивият характер и мащабът на заплахата подтикнаха близо дузина правителства да издадат съвместно предупреждение в края на миналия месец, призовавайки всички държави, компании и други субекти да интензифицират усилията си за разбиране на обхвата на схемите с работници от КНДР и да внедрят подходящи противодействия.

„Компаниите, опериращи онлайн платформи, трябва да продължат да укрепват своите мерки за противодействие, като например подобряване на процедурите за проверка на самоличността (строг преглед на документите за самоличност, изискване за лични интервюта и др.) и откриване на подозрителни акаунти (въвеждане на системи, които известяват за въвеждане на аномална информация и др.)“, заявиха агенциите за киберсигурност и разузнаване от САЩ, Япония, Южна Корея, Австралия, Канада, Франция, Германия, Италия, Нидерландия, Нова Зеландия и Обединеното кралство.