Famous Chollima: cum ajunge un fals IT worker în companie
Pe 10 august 2026, ANY.RUN, BCA LTD și NorthScan au publicat partea a doua a investigației „Smile, You’re on Camera”. Cercetătorii spun că au creat o companie DeFi fictivă și au angajat persoane suspectate că aparțin operațiunii Famous Chollima, asociată ecosistemului Lazarus și schemelor DPRK cu lucrători IT sub identități false.
Rezultatul arată de ce acest scenariu nu este doar fraudă de recrutare. Dacă impostorul trece onboarding-ul, accesul la cod, secrete, documentație, plăți și procese de încredere este legitim din perspectiva sistemelor companiei.
Capcana: o companie DeFi construită pentru observație
Echipa a prezentat Ballena Azul LTD drept un protocol DeFi care caută dezvoltatori de smart contracts, frontend și backend. Conform investigației, candidații au fost introduși printr-o rețea de recrutori și facilitatori, au trecut interviuri și au primit medii virtuale ANY.RUN construite să semene cu desktopuri de lucru.
Acest design a permis cercetătorilor să observe interacțiunile din sistem fără a oferi acces la o companie reală. Nu este un playbook pe care o organizație obișnuită ar trebui să îl reproducă: operațiunile de tip sting implică riscuri juridice și de siguranță și trebuie lăsate echipelor specializate și autorităților.
Identități false, documente și infrastructură financiară
Cercetătorii descriu permise de conducere inconsecvente, identități și SSN-uri aparent furate, conturi bancare și portofele crypto. Pentru unul dintre documente, metadatele ar fi indicat procesare cu Google Gemini și prezența unui watermark SynthID; alt document părea o fotografie autentică ajunsă ulterior în mâinile operatorului.
Lecția nu este că un detector de imagini rezolvă recrutarea. Un document sintetic poate trăda operațiunea, dar unul furat poate trece verificarea vizuală. Identitatea trebuie legată de persoană, dispozitiv, locație permisă, cont bancar și comportamentul de după angajare, cu verificări legale și proporționale.
Ce au făcut după ce au primit desktopurile
Niciunul dintre acești pași nu este rău intenționat în mod izolat. Semnalul apare din combinație: identitate discutabilă, locație mascată, remote access neaprobat, acces rapid la repository-uri și diferențe între profilul declarat și comportamentul observat.
- ▸Au inventariat sistemele cu utilitare Windows precum dxdiag, systeminfo și wmic.
- ▸Au verificat geolocația aparentă prin servicii publice de IP lookup.
- ▸Au instalat Google Remote Desktop, un indicator important atunci când politica interzice instrumentele remote neaprobate.
- ▸Un operator și-ar fi sincronizat contul Google pe mediul monitorizat, expunând istoric, extensii și alte urme operaționale.
- ▸Au folosit instrumente AI și resurse publice în activitatea de dezvoltare și depanare.
De ce este o amenințare de tip insider
Un malware încearcă de obicei să obțină acces pe care nu îl are. Un lucrător IT infiltrat primește cont, laptop, repository, ticketing și relații de încredere prin procesul normal. Detectarea bazată exclusiv pe exploit-uri sau executabile malware ratează tocmai partea esențială.
FBI avertizează că facilitatorii pot găzdui laptopuri în țara declarată, pot instala remote desktop, pot crea conturi pe platforme de joburi și pot ajuta la interviuri sau infrastructură financiară. DOJ a documentat în 2026 condamnări într-o schemă cu peste 100 de companii, peste 80 de identități compromise și milioane de dolari generați și cheltuiți ulterior pentru remediere.
Europa și România nu sunt în afara razei
Google Threat Intelligence Group a raportat că operațiunile s-au extins spre Europa, cu identități fabricate, proiecte în blockchain și AI, facilitatori și infrastructură virtualizată. Cercetarea a identificat activitate sau interes în mai multe țări europene și o creștere a tentativelor de extorcare după concediere.
Pentru o companie românească ce angajează remote, riscul este relevant chiar dacă nu operează în SUA. Verificarea trebuie adaptată legislației muncii și GDPR, dar minimizarea datelor nu înseamnă absența controlului: scop documentat, acces gradual, transparență, retenție limitată și investigație proporțională.
Checklist practic pentru HR, IT și AppSec
Cel mai bun control nu este o întrebare-capcană la interviu. Este un sistem în care o identitate compromisă nu poate primi imediat acces ireversibil, iar anomaliile pot fi investigate fără a distruge probele sau drepturile angajatului legitim.
- ▸Verifică identitatea la recrutare, onboarding și la schimbări sensibile, nu doar o singură dată.
- ▸Confirmă independent adresa de livrare și posesia fizică a dispozitivului; investighează redirecționările târzii.
- ▸Blochează aplicațiile remote neaprobate și alertează instalarea sau folosirea lor pe endpoint-uri corporate.
- ▸Aplică least privilege, acces progresiv, secrete temporare și separarea mediilor pentru noii colaboratori.
- ▸Protejează repository-urile cu branch protection, review de la persoane diferite, semnarea commiturilor și audit exportabil.
- ▸Corelează login-urile, fusul orar, device posture și schimbările de plată, fără a transforma monitorizarea în supraveghere excesivă.
- ▸Pregătește un playbook comun HR–Legal–Security pentru suspendarea accesului, păstrarea dovezilor și raportarea către autorități.
Indicatorii trebuie tratați ca semnale, nu verdicte
Un accent, o conexiune VPN, folosirea unui asistent AI sau un interviu dificil nu demonstrează afilierea la un actor statal. Acuzațiile greșite pot produce prejudicii reale. Decizia trebuie să combine dovezi tehnice, verificări de identitate, reguli interne și evaluare juridică.
Dacă există suspiciuni rezonabile, organizația ar trebui să limiteze accesul proporțional, să păstreze logurile, să evite confruntarea improvizată și să contacteze autoritatea competentă. Investigația ANY.RUN este valoroasă tocmai pentru că arată întregul lanț; un singur indicator, desprins din context, nu îl înlocuiește.
Un insider legitim are nevoie de aceleași dovezi
MONITOR AWARELY păstrează ownership, schimbări de status și auditul acțiunilor de vulnerabilitate, astfel încât accesul și remedierea să rămână verificabile în echipă.