Министерството на правосъдието на САЩ (DoJ) прекъсна дейността на хакерската група Famous Chollima, като арестува двама заподозрени, повдигна обвинения на 14 лица и иззе близо 187 лаптопа, използвани в схеми със севернокорейски дистанционни ИТ служители.

Famous Chollima (известна още като WageMole) обикновено се проследява като севернокорейски злонамерен субект, свързан с измамнически схеми с ИТ служители, генериращи приходи за режима в КНДР.

Тъй като Северна Корея е обект на широкообхватни международни санкции, нейни агенти кандидатстват за технологични позиции в компании по целия свят, като често използват откраднати, наети или фалшифицирани самоличности.

В някои случаи те също така се опитват да компрометират мрежите на работодателите, за да откраднат чувствителни данни, да внедрят зловреден софтуер или да придобият криптовалута и други активи.

Като част от операция в Тексас с кодово име „Lonestar Roundup“, между 21 и 25 септември ФБР претърси 40 жилища, заподозрени в помещаване на „ферми за лаптопи“.

„Фермите за лаптопи“ са локации, в които съучастници поддържат предоставени от работодателите компютри, до които севернокорейските ИТ служители осъществяват отдалечен достъп, за да изглежда, че се намират в Съединените щати.

Служителите на реда иззеха приблизително 187 лаптопа и KVM входни устройства, използвани от оперативни лица на Famous Chollima, които компанията за киберсигурност CrowdStrike проследява от април 2025 г.

Изследователите от CrowdStrike съобщават, че севернокорейските ИТ служители са използвали няколко метода за изпращане на служебните лаптопи до „фермата“, вместо до адреса от предоставените документи за самоличност:

  • Подаване на фалшиви сигнали за кражба, за да се задейства изпращане на заместващи устройства до адреса на „фермата“
  • Смяна на жилищни адреси с цел прикриване на крайната дестинация
  • Заявяване на преместване в последния момент за пренасочване на устройствата по време на доставка
  • Злоупотреба с роли по подбор на ИТ персонал, които понякога заемат, за скрито пренасочване на пратките

От CrowdStrike посочват, че публичното оповестяване е оказало натиск върху извършителите, карайки ги да разчитат все повече на подправяне на идентификатори на устройства или дори на повторно използване на идентификатори в различни засегнати организации.

Въпреки че CrowdStrike признава, че действия като операция „Lonestar Roundup“ вероятно ще имат ограничен ефект, компанията определя операцията като „началото на по-широки усилия на правоприлагащите органи в САЩ за разглобяване на инфраструктурата на Famous Chollima в страната“.

Министерството на правосъдието на САЩ публикува и обвинителен акт в Охайо, описващ схема с дистанционни ИТ работници, действала от 2019 г. до юли 2025 г., засегнала 70 компании в страната и генерирала приблизително 3 милиона долара за авторите на заплахата от Северна Корея.

Работниците са използвали откраднати или фалшифицирани самоличности, VPN услуги и прокси инфраструктура, за да симулират пребиваване в САЩ, докато техните американски съучастници са поддържали служебните лаптопи, инсталирали са софтуер за отдалечен достъп и са превеждали приходите по сметки, контролирани от КНДР.

Властите арестуваха двама граждани на САЩ – Michael James Bostelle и Juan Cecilio Pena Carrillo – по обвинения в банкови измами, пране на пари и кражба на самоличност.

Отделно от това Министерството на правосъдието обяви сходни обвинения срещу 12 китайски граждани.