Fałszywy startup-honeypot zatrudnił podejrzewanych operatorów Famous Chollima

Badacze bezpieczeństwa z ANY.RUN stworzyli fikcyjny startup kryptowalutowy, zamieścili oferty pracy dla developerów i zatrudnili trzy osoby – ich zdaniem – z Korei Północnej. Udostępniane nowym pracownikom maszyny wirtualne rejestrowały ich aktywność.

TLDR:

• Badacze bezpieczeństwa stworzyli fikcyjny startup kryptowalutowy i zatrudnili trzy osoby podejrzewane o powiązania z północnokoreańską grupą Lazarus.
• Kandydaci przedstawiali fałszywe lub cudze dokumenty, a jeden z nich wykorzystał dokument zmodyfikowany przy pomocy Google Gemini i zawierający znak wodny SynthID.
• Po zatrudnieniu pracownicy otrzymali dostęp do maszyn wirtualnych, na których badacze obserwowali ich rekonesans, logowanie do kont oraz wykorzystanie narzędzi AI.
• Eksperyment pokazuje, że ryzyko związane z rekrutacją nie kończy się na etapie samego procesu – po zatrudnieniu pracownicy uzyskują dostęp do firmowych zasobów, kodu i danych.
• Polecamy m.in. procedury KYE, okresową weryfikację tożsamości oraz szkolenia dla rekruterów.

Celem badaczy była Famous Chollima – jedna z wielu grup działających w ramach Lazarus. Ich cel jest prosty: zostać zatrudnionymi przez zachodnie firmy.

Szukają zdalnych stanowisk w branżach, w których zarówno informacji, jak i pieniędzy jest pod dostatkiem. Ich ulubionymi celami były kryptowaluty, finanse i ochrona zdrowia, ale nie unikali także branży farmaceutycznej, inżynierii lądowej, architektury i innych.

Aby zdobyć stanowiska, korzystają ze sfałszowanych tożsamości, fikcyjnych CV, rozmów przez proxy i zdalnych pośredników. Wszystko po to, aby przekonać firmy, że zatrudniana przez nie osoba jest dokładnie tą, za którą się podaje.

Pierwszy z kandydatów twierdził, że mieszka w Pasadenie w Teksasie, po czym przesłał kalifornijskie prawo jazdy i dane konta bankowego w Nowym Jorku.

Po sprawdzeniu metadanych zdjęcia okazało się, że zostało ono zmodyfikowane za pomocą Google Gemini. Obrazek zawierał również znak wodny SynthID – niewidoczny znacznik dodawany przez Google w obrazach tworzonych lub edytowanych przez jego narzędzia AI.

Drugi dostarczył teksańskie prawo jazdy, ważny numer Social Security oraz konto bankowe w Kansas City. Trzeci przesłał nowojorskie prawo jazdy należące do kogoś innego, jednak samo zdjęcie wyglądało na autentyczne – usunięto jedynie współrzędne GPS z metadanych.

Łącznie zatrudniono 3 pracowników – każdy z nich przeszedł rozmowę kwalifikacyjną, podpisał kontrakt i otrzymał dostęp do maszyny wirtualnej.

Pierwszego dnia wszyscy trzej zaczęli sprawdzać swoje maszyny – uruchamiali komendy takie jak dxdiag, systeminfo i wmic. Jeden z nich zainstalował Chrome Remote Desktop i zalogował się na własne konto Google, równocześnie przekazując swoją historię przeglądania, zapisane hasła i zainstalowane rozszerzenia. Na tej samej maszynie zalogował się też na konto GitHub.

Badacze zaobserwowali, że członkowie grupy korzystali z wtyczek AI służących do składania aplikacji o pracę i pomocy podczas rozmów kwalifikacyjnych: AIApply, Final Round AI i Simplify Copilot.

Jeden z nowo zatrudnionych pracowników zajął się frontendem, a dwóch pozostałych zmagało się z backendem i smart contractami. Wszystkich podstawowych informacji o swojej pracy szukali w Google i zadawali pytania ChatGPT.

Badacze zaprezentowali cały eksperyment na konferencji DEF CON 34 w Las Vegas. Eksperyment pokazał, że fałszywe dokumenty nie są największym problemem przy zatrudnieniu takiego pracownika. Niezależnie od jakości wykonywanej przez niego pracy, otrzymuje on dostęp przynajmniej do części firmowych zasobów, kodu i danych. Dlatego skuteczna weryfikacja powinna zacząć się jeszcze przed zatrudnieniem i trwać przez cały okres współpracy.

Firmom polecamy wdrożenie procedur KYC (a właściwie KYE). W przypadku organizacji działających głównie zdalnie, warto rozważyć weryfikację osobistą. Dobrym pomysłem są także szkolenia dla rekruterów, aby łatwiej rozpoznawali czynniki ryzyka i zauważali je, zanim dojdzie do zatrudnienia.

Źródła:

• any.run
• thehackernews.com

~Tymoteusz Jóźwiak