LAS VEGAS / LONDON (IT BOLTWISE) – Sicherheitsforscher haben ein fiktives Krypto-Startup aufgebaut, Entwicklerstellen beworben und drei Personen eingestellt, die sie als mutmaßliche IT-Operative aus Nordkorea einstufen. In jeder bereitgestellten Arbeitsumgebung lief eine dauerhafte Erfassung, die mit Geräte- und Standort-Checks begann und später Zugänge wie Remote-Desktop und GitHub kombinierte. Die Forscher zeigen zudem Hinweise, dass teils Bildmetadaten und ein unsichtbares Wasserzeichen für die interne Kontrolle genutzt wurden. Offen bleibt, wie lange die Attrappe in Betrieb war und wie die Erkennung einzelner Wasserzeichen im Detail technisch ablief.
Die aktuelle Untersuchung setzt nicht auf typische Phishing-Links, sondern auf eine deutlich „professionellere“ Betrugslogik: Ein Fake-Startup lockte Entwickler über eine Krypto-Job-Ansprache an, stellte ihnen Vertragsunterlagen zur Verfügung und schaltete danach Arbeitsumgebungen frei, in denen fortlaufend beobachtet wurde. Laut den Forschern wurden in jedem ausgegebenen Virtual-Machine-Setup Aktivitäten aufgezeichnet, wobei der Einstieg über den Hiring-Prozess gezielt realistische Hürden wie Vertrag, Interview und Onboarding abbildete. Solche Szenarien sind für Unternehmen deshalb so unangenehm, weil sie nicht mit der klassischen Malware-Phase beginnen, sondern erst die Zugangsvoraussetzungen schaffen, die später den Zugriff auf Quellcode und interne Systeme ermöglichen.
Technisch beginnt die Belegung nach Beschreibung der Forscher am ersten Tag mit echter System-„Bestandsaufnahme“: Die Operativen führten dabei dxdiag, systeminfo und wmic aus, um Hardware- und Systemdetails zu erfassen, und prüften anschließend auch, aus welchem Land die Verbindung sichtbar zu sein schien. Ein Teil nutzte Chrome Remote Desktop und synchronisierte die eigene Google-Umgebung mit der Sandbox, wodurch Browserhistorie, gespeicherte Passwörter und installierte Erweiterungen übertragen wurden. Parallel dazu wurde in mindestens einem Fall auch GitHub auf derselben Maschine genutzt – ein Schritt, der den Weg vom angetäuschten Arbeitsverhältnis hin zu produktiven Entwicklungs-Workflows ebnet und damit das eigentliche Ziel der Operation erreichbar macht.
Beim Identitäts- und Recruiting-Teil berichten die Forscher über eine Mischung aus echten und manipulierten Daten, die sich je nach Person unterscheidet. Für den ersten Kandidaten nennt der Bericht etwa eine Identität, die zuerst als im US-Bundesstaat Texas lebend behauptet wurde, inklusive einer California-Fahrerlaubnis und eines Bankkontos in New York. Die zweite Person lieferte eine Texas-ID, eine gültige Social-Security-Nummer und ein Bankkonto in Kansas City. Der dritte Fall umfasste eine New-York-Fahrerlaubnis, die einer anderen Person gehörte, sowie ein echtes iPhone-15-Foto – bei dem die GPS-Koordinaten zuvor entfernt worden sein sollen. Zusätzlich fielen in den Unterlagen Auffälligkeiten auf, etwa Bildverarbeitungsindikatoren, die laut den Forschern mit Google Gemini in Verbindung stehen; zugleich wird ein SynthID-Wasserzeichen als weiterer, unsichtbarer Marker erwähnt, wobei der Bericht keine vollständige technische Erklärung liefert, wie genau diese Wasserzeichen in dem konkreten Ablauf erkannt wurden.
Markt- und Trendkontext macht die Nummer besonders klar: Die Operation knüpft laut Bericht an eine vorherige Kampagne an, in der dieselbe Art von Infrastruktur und „Identitäts-Vermietung“ bereits als Folge eines letzten Jahres beobachtet wurde. Diesmal seien die Forscher jedoch selbst zur Arbeitgeberseite geworden: Sie bauten eine Fake-DeFi-Umgebung namens Ballena Azul und ließen über einen Recruiterprozess über GitHub erst einen Entwickler auftreten, der wiederum einen zweiten Kandidaten nachschob – und dieser wiederum einen dritten. Dabei wird kein echtes „Ausnutzen“ einer Schwachstelle beschrieben; entscheidend ist vielmehr, dass die Rekrutierten regulär durch den Prozess kamen, Interviews bestanden, Verträge unterzeichneten und Zugriff auf eine Arbeits-VM erhielten. Solche Ketten zeigen, warum Identitäts- und Zugriffsprüfung nicht als einmalige „Pre-Employment“-Maßnahme gedacht sein kann, sondern als laufender Kontrollpunkt.
Die eingesetzte Infrastruktur und die verwendeten Werkzeuge variieren dem Bericht zufolge zwischen dieser Runde und der zuvor beobachteten Operation. Als Beispiele werden 2fa.cn für den Austausch von Zwei-Faktor-Codes genannt, während die frühere Variante andere Dienste wie authenticator.cc und otp.ee verwendet haben soll. Auch im E-Mail-Setting sei ein Unterschied sichtbar gewesen: Outlook.com trat dort auf, wo zuvor nur Gmail als Ausgangspunkt beobachtet wurde. In den Browsern kamen zudem KI-gestützte Helfer für Bewerbungen und Interviews zum Einsatz, darunter Erweiterungen wie AIApply und Final Round AI, außerdem „Simplify Copilot“ und ein gespeichertes Prompt-Set für ChatGPT. Auf der Serverseite nennen die Forscher Vultr und Gorilla Servers als genutzte Plattformen und erwähnen AstrillVPN-Exit-Nodes als durchgehenden Bestandteil – was durch Beobachtungen eines separaten Tracking-Ansatzes zu Astrill als wiederkehrendem Muster in ähnlichen Nordkorea-Kontexten zusätzlich unterstrichen wird.
Aus Sicht der Verteidigung bleibt besonders praxisnah, was die Forscher als Empfehlungen ableiten: Sie raten zu regelmäßigen Identitätschecks statt eines einmaligen Abgleichs bei der Einstellung, zu Vor-Ort-Verifikation für Remote-First-Modelle, wenn organisatorisch möglich, sowie zu Rekrutierungs-Schulungen, um verdächtige Muster früh zu erkennen. Dazu gehört auch ein technischer Blockansatz gegen AstrillVPN-Exit-Nodes. Außerdem wird in der eingesetzten Recruiting-Datenlage ein Muster beschrieben, das auf maschinelle Erstellung hindeuten kann: ein einzelnes Konto, das innerhalb kurzer Zeit aus vielen Adressen erreichbar war, kombiniert mit Profiltexten, die laut Bericht wie maschinell übersetzter Inhalt wirken. Die US-Regierung hatte parallel laut US-Justizministerium zwei Erleichterer im Zusammenhang mit einer anderen Identitätsmissbrauchs-Strategie verurteilt, bei der mehr als 100 US-Unternehmen über gestohlene Identitäten betroffen gewesen sein sollen und der Zugriff Nordkorea mehr als 5 Millionen US-Dollar eingebracht haben soll.
Ein weiterer Punkt ist die Einordnung der Warnlage: Die gemeinsame Mitteilung vom 31. Juli nennt dem Bericht zufolge Signale, auf die Arbeitgeber achten sollen, darunter Dokumente, die gefälscht oder mittels Bildbearbeitung manipuliert worden sein sollen. Gleichzeitig wird in der Untersuchung deutlich, dass nicht jedes „Negativ“-Signal bei Wasserzeichen- oder Metadatenchecks eine sichere Entwarnung ist, weil nicht ausgeschlossen werden kann, dass andere Bearbeitungswerkzeuge oder andere KI-Systeme eingesetzt wurden. Attribution und Umfang bleiben damit der Kern der offenen Fragen: Die Identitäten hinter den drei Personas sind laut Bericht unbekannt, ebenso fehlen konkrete Zeitangaben, wie lange die Fake-Firma betrieben wurde. Für Unternehmen heißt das vor allem: Selbst wenn ein typischer Sicherheitsvorfall ausbleibt, kann der kombinierte Effekt aus realen Zugangsdaten, systematischer Geräteprofilierung und laufender Beobachtung die gleiche Wirkung entfalten – nur eben entlang der Kette „Hiring → Account-Zugriff → interne Entwicklungsarbeit“.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Forscher bauen Fake-Crypto-Startup: mutmaßliche Nordkorea-ITler per Job-Hiring" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Forscher bauen Fake-Crypto-Startup: mutmaßliche Nordkorea-ITler per Job-Hiring" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Forscher bauen Fake-Crypto-Startup: mutmaßliche Nordkorea-ITler per Job-Hiring« bei Google Deutschland suchen, bei Bing oder Google News!