Раскрытие внутренней работы северокорейской Хакерской группы

Недавно анонимный белый хакер успешно взломал устройство одного северокорейского IT-работника, раскрыв внутреннюю информацию о том, как команда из пяти человек использовала более 30 поддельных личностей для ведения сетевой активности. Эта команда не только обладала поддельными официальными удостоверениями личности, но и проникает в различные проекты разработки, покупая аккаунты на онлайн-платформах.

!

Следователи получили данные облачного хранилища, файлы конфигурации браузера и скриншоты устройств команды. Данные показывают, что команда сильно зависит от офисного пакета одного технологического гиганта для координации рабочего расписания, распределения задач и управления бюджетом, все коммуникации ведутся на английском языке.

!

Одна из еженедельных отчетных документов за 2025 год раскрывает рабочие методы этой Хакер команды и возникающие перед ней проблемы. Например, один из участников жаловался, что "не может понять требования к работе, не знает, что делать", а предложенное решение оказалось "вкладывать душу, работать вдвое усерднее".

!

Запись о расходах команды показывает, что их статьи расходов включают покупку номера социального страхования (SSN), учетной записи на онлайн-платформе, аренду телефонного номера, подписку на AI-сервисы, аренду компьютера и покупку VPN/прокси-сервисов и т.д.

!

Подробная электронная таблица содержит расписание и скрипт речи для участия в конференции под вымышленным именем "Генри Чжан". Процесс операции показывает, что эти северокорейские IT-работники сначала приобретают учетные записи на онлайн-платформах, арендуют компьютерное оборудование, а затем выполняют аутсорсинговую работу с помощью инструментов удаленного управления.

!

Расследование также выявило адрес кошелька, используемого командой для отправки и получения средств, который имеет тесную он-лайн связку с инцидентом атаки на контракт в 680,000 долларов, произошедшем в июне 2025 года. Впоследствии было подтверждено, что CTO атакованного проекта и другие разработчики были северокорейскими IT-работниками с поддельными удостоверениями личности. Через этот адрес также были идентифицированы северокорейские IT-специалисты в других скомпрометированных проектах.

!

В записях поиска и истории браузера членов команды было найдено множество ключевых улик. Некоторые могут задаться вопросом, как подтвердить, что они из Северной Кореи, помимо упомянутых выше поддельных документов, их история поиска также показывает частое использование онлайн-сервисов перевода и использование российских IP для перевода контента на корейский.

!

В настоящее время основные проблемы, с которыми сталкиваются компании в предотвращении деятельности ИТ-работников из Северной Кореи, включают:

1. Отсутствие системного взаимодействия: между платформенными провайдерами и частными компаниями недостаточно эффективного обмена информацией и механизмов сотрудничества.
2. Работодатель не проявил должной бдительности: команда по найму часто проявляет защитную реакцию после получения предупреждений о рисках, даже отказывается сотрудничать в расследовании.
3. Преимущество в количестве: хотя его технические средства несложны, благодаря огромной базе соискателей он продолжает проникать на глобальный рынок труда.
4. Каналы конвертации средств: некоторые платежные платформы часто используются для обмена доходов от разработки, полученных в фиатной валюте, на криптовалюту.

Это исследование предоставляет уникальную возможность для отрасли раскрыть "рабочие" методы северокорейских Хакеров с проактивной точки зрения, что имеет важное значение для предварительной безопасности проектов. Компании и отдельные лица должны повысить бдительность и усилить свои способности к выявлению и предотвращению потенциальных угроз.

!