Onderzoekers lokken Noord-Koreaanse IT-arbeiders in valse cryptobedrijf

Cybersecurity-onderzoekers hebben een volledig nep-cryptobedrijf opgezet om Noord-Koreaanse IT-arbeiders te bestuderen. Gedurende vijf weken werkten verdachte werknemers in de fictieve organisatie 'Ballena Azul' zonder te beseffen dat hun activiteiten werden gemonitord.

Het valse bedrijf

De twee onderzoekers creëerden Ballena Azul met behulp van cybersecurity-bedrijf ANY.RUN. Ze gaven zich uit voor investeerders en medewerkers, terwijl ze elke muisklik en interactie van de werknemers registreerden. De verdachten gebruikten false identiteiten en werden via een recruiter gecontacteerd die banden had met Noord-Koreaanse operaties.

Wat werd blootgelegd

De operatie onthulde cruciaal inzicht in de werkwijze van deze groepen. De werknemers verlaten zich sterk op AI-tools zoals ChatGPT en Google Gemini voor programmeeropdrachtenen documentvervalsing. Ze gebruikten externe servers als tussenstations voordat zij zich verbonden met controleerde virtuele bureaubladen.

Onderzoeken vonden ook chat-logs, portemonnee-informatie, VPN-knooppunten en videoregistraties achter. De servers bleken eerder gebruikt voor malware-distributie en waren toen nog steeds actief.

Groeiend probleem

De Amerikaanse financiële autoriteiten meldden dat Noord-Koreaanse IT-arbeiders in 2024 bijna 800 miljoen dollar genereerden. In oktober zei het Ministerie van Justitie vier Noord-Koreaanse onderdanen aan voor het stelen van meer dan 900.000 dollar in cryptocurrency.

Eenmaal in dienst kunnen deze werknemers toegang krijgen tot interne systemen, broncode en gevoelige informatie. Hoe langer zij onopgemerkt blijven, hoe langer zij salarissen kunnen ophalen die uiteindelijk de Noord-Koreaanse regering financieren.