El Sección de Conciencia de Estados Unidos (DoJ) ha perceptible formalmente a 14 ciudadanos pertenecientes a la República Popular Democrática de Corea (RPDC o Corea del Boreal) por su presunta décimo en una conspiración de larga data para violar las sanciones y cometer fraude electrónico, lavado de efectivo y robo de identidad. buscando empleo ilegalmente en empresas y organizaciones sin fines de interés estadounidenses.
«Los conspiradores, que trabajaban para las empresas controladas por la RPDC Yanbian Silverstar y Volasys Silverstar, ubicadas en la República Popular China (RPC) y la Liga Rusa (Rusia), respectivamente, conspiraron para utilizar identidades falsas, robadas y prestadas de Estados Unidos y a otras personas ocultar sus identidades norcoreanas y su ubicación en el extranjero y obtener empleo como trabajadores remotos de tecnología de la información (TI),» dijo el Sección de Conciencia.
Se ha alegado que el plan de trabajadores de TI generó al menos 88 millones de dólares para el régimen norcoreano en un error de seis abriles. Adicionalmente, los trabajadores remotos participaron en el robo de información, como código fuente propietario, y amenazaron con filtrar los datos a menos que se pagara un rescate. Los ingresos ilícitos obtenidos de esta modo fueron luego enviados a través de los sistemas financieros estadounidenses y chinos de regreso a Pyongyang.
El Sección de Conciencia dijo que tiene conocimiento de un empleador que sufrió cientos de miles de dólares en daños luego de negarse a ceder a la demanda de perturbación de un trabajador de TI de Corea del Boreal, quien luego terminó filtrando la información confidencial en trayecto.
Las personas identificadas se encuentran a continuación:
- Jong Song Hwa
- Ri Kyong Sik
- Canción de Kim Ryu
- Rim Un Chol
- Kim Mu Rim
- Cho Chung Pom
- Canción de Hyon Chol
- Son Un Chol
- Sok Kwang Hyok
- Choe Jong Yong
- Ko Chung Sok
- Kim Ye Won
- Jong Kyong Chol y
- Jang Chol Myong
Se dice que los 14 conspiradores trabajaron en diversas capacidades, desde altos directivos de empresas hasta trabajadores de TI. Las dos empresas sancionadas han empleado al menos 130 trabajadores informáticos norcoreanos, conocidos como guerreros informáticos, que participaron en «competencias de socialismo» organizadas por las empresas para ocasionar efectivo para la RPDC. Los mejores resultados recibieron bonificaciones y otros premios.
El expansión es el extremo de una serie de acciones que el gobierno de EE. UU. ha tomado en los últimos abriles para chocar el esquema fraudulento de trabajadores de TI, una campaña seguida por la comunidad de ciberseguridad bajo el apodo de Wagemole.
El Sección de Conciencia dijo que desde entonces ha incautado 29 dominios de sitios web falsos (17 en octubre de 2023 y 12 en mayo de 2024) utilizados por trabajadores de TI de la RPDC para imitar a las empresas de servicios de TI occidentales para respaldar la buena fe de sus intentos de conseguir contratos de trabajo remoto para EE. UU. y otros países. negocios a nivel mundial. La agencia dijo que asimismo ha incautado acumulativamente 2,26 millones de dólares (incluidos 1,5 millones de dólares incautados en octubre de 2023) de cuentas bancarias vinculadas al plan.
Por otra parte, el Sección de Estado ha anunciado una propuesta de premio de hasta 5 millones de dólares por información sobre las empresas apariencia, las personas identificadas y sus actividades ilícitas.
«Los esquemas de trabajadores de TI de la RPDC implican el uso de correos electrónicos seudónimos, redes sociales, plataformas de cuota y cuentas de sitios de trabajo en trayecto, así como sitios web falsos, computadoras proxy, redes privadas virtuales, servidores privados virtuales y terceros involuntarios ubicados en los Estados Unidos. y en otros lugares», dijo el Sección de Conciencia. «Los conspiradores utilizaron muchas técnicas para ocultar sus identidades norcoreanas a los empleadores».
Uno de esos métodos es el uso de granjas de computadoras portátiles en los EE. UU., pagando a personas que residen en el país para que reciban e instalen computadoras portátiles proporcionadas por la empresa y permitan a los trabajadores de TI conectarse de forma remota a través del software instalado en ellas. La idea es dar la impresión de que acceden a trabajo desde Estados Unidos cuando, en efectividad, se encuentran en China o Rusia.
Los 14 conspiradores han sido acusados de conspiración para violar la Ley de Poderes Económicos de Emergencia Internacional, conspiración para cometer fraude electrónico, conspiración para cometer lavado de efectivo y conspiración para cometer robo de identidad. Ocho de ellos han sido acusados de usurpación de identidad agravada. De ser declarados culpables, cada uno de ellos se enfrenta a una pena máxima de 27 abriles de prisión.
Atraco criptográfico de Radiant Caudal vinculado al aguanieve de citrino
La estafa de los trabajadores de TI es solo uno de los muchos métodos que Corea del Boreal ha adoptivo para ocasionar ingresos ilícitos y apoyar sus objetivos estratégicos; los otros son el robo de criptomonedas y los ataques a empresas bancarias y blockchain.
A principios de este mes, la plataforma de finanzas descentralizadas (DeFi) Radiant Caudal atribuyó a un actor de amenazas vinculado a Corea del Boreal llamado Citrine Sleet al robo de 50 millones de dólares en criptomonedas que tuvo circunstancia tras una violación de sus sistemas en octubre de 2024.
El adversario, asimismo llamado Gleaming Piscis, Labyrinth Chollima, Nickel Academy y UNC4736, es un subgrupo en el interior del Camarilla Lazarus. Todavía es conocido por orquestar una campaña persistente de ingeniería social denominada Operación Dream Job que tiene como objetivo atraer a los desarrolladores con oportunidades laborales lucrativas para engañarlos y descargar malware.
Vale la pena señalar que estos esfuerzos asimismo toman diferentes formas dependiendo del familia de actividades detrás de ellos, que pueden variar desde pruebas de codificación (Contagious Interview) hasta colaboraciones en un plan de GitHub (Jade Sleet).
El ataque dirigido a Radiant Caudal no fue diferente, ya que el actor de amenazas se acercó a un desarrollador de la compañía en septiembre en Telegram haciéndose ocurrir por un excontratista de confianza, aparentemente solicitando comentarios sobre su trabajo como parte de una nueva oportunidad profesional relacionada con los contratos inteligentes. revisión de cuentas.
El mensaje incluía un enlace a un archivo ZIP que contenía un archivo PDF que, a su vez, entregaba una puerta trasera de macOS con nombre en código INLETDRIFT que, encima de mostrar un documento señuelo a la víctima, asimismo establecía comunicaciones sigilosas con un servidor remoto («atokyonews(.)com «).
«Los atacantes pudieron comprometer múltiples dispositivos de desarrolladores», dijo Radiant Caudal. «Las interfaces frontales mostraban datos de transacciones benignos mientras que las transacciones maliciosas se firmaban en segundo plano. Las comprobaciones y simulaciones tradicionales no mostraron discrepancias obvias, lo que hacía que la amenaza fuera prácticamente invisible durante las etapas normales de revisión».
