LAS VEGAS / LONDON (IT BOLTWISE) – Sicherheitsforscher haben ein Scheingeschäft aufgebaut, das wie ein Krypto-Startup samt Entwicklerjobs wirkte, um mutmaßliche nordkoreanische IT-Operative als Arbeitgeber durchzuchecken. Bei der Auswahl und dem Onboarding lief jede virtuelle Maschine mit und lieferte belastbare Spuren bis hin zu Identitätsdaten und Profiling-Tools. Die Teams berichten außerdem über verwendete Infrastruktur, Browser-Plugins zur Bewerbungshilfe und Hinweise auf Remote-Zugriff über Chrome Remote Desktop. Auf Basis einer zuvor veröffentlichten Warnmeldung führen sie für Firmen vor allem regelmäßige Identitätsprüfungen und Schulungen für Recruiter als konkrete Gegenmaßnahmen an.
Für viele Unternehmen wirkt der Recruiting-Prozess wie ein sauberer Schnitt zwischen Kandidatenprüfung und späterer IT-Sicherheit. Die aktuelle Darstellung von Sicherheitsforschern dreht diese Annahme bewusst um: Sie haben selbst eine Fake-Company betrieben, die als Krypto-Startup bzw. als DeFi-Projekt (genannt „Ballena Azul“) tarnt, Entwicklerrollen ausschreibt und die Bewerber dann so weit einbindet, dass der Zugriff auf echte interne Artefakte testbar wird. Interessant ist dabei weniger die Frage, ob Identitäten gefälscht werden können, sondern wie schnell sich betrügerische Akteure nach dem Vertragsabschluss in einem Arbeits-Setup „nützlich“ machen: Alle drei Verdächtigen durchliefen Interview, Vertrag und erhielten ein Work-VM. Danach zeigten die Daten, dass der nächste Schritt häufig sofort mit System- und Standort-Recon beginnt.
Technisch betrachtet lief der erste Arbeitstag wie ein automatisierter Faktencheck ab. In den virtuellen Maschinen starteten die Operativen Tools wie „dxdiag“, „systeminfo“ und „wmic“, um Hardware- und Systemdetails zu erfassen und anschließend zu prüfen, in welchem Land die Verbindung sichtbar zu sein schien. Ein Kandidat ging dabei einen Schritt weiter und installierte „Chrome Remote Desktop“, synchronisierte ein persönliches Google-Konto in der Sandbox und übergab damit faktisch Browserdaten wie gespeicherte Passwörter, Erweiterungen und Verlaufshistorie. Parallel dazu wurde GitHub auf derselben Maschine genutzt, wodurch sich der echte Kontozugriff als Stellhebel für späteres Quellen- und Systemwissen entpuppte. Genau an dieser Stelle argumentieren die Forscher: Das Risiko endet nicht mit der Einstellung, weil ein einmal gültiger Job-Account auch den erwarteten Zugriff auf Source Code und interne Systeme „legitimiert“.
Auch die Spuren, die dabei entstehen, wirken wie ein Werkzeugkasten, der sich in der Zeit weiterentwickelt. Die erste Iteration der Operation (aus der Sicht der Forschenden) wurde mit Metadaten verknüpft, die auf eine Verarbeitung mit Google Gemini hindeuten, außerdem erwähnen sie eine „SynthID“-Markierung, also ein unsichtbares Wasserzeichen, das Google in eigenen Bild-Workflows einbetten kann. Gleichzeitig räumen sie ein, dass ein negatives Ergebnis nicht ausschließt, dass andere Tools Bilder oder Inhalte bearbeiten. In der zweiten und aktuellen Kampagne beschreibt das Team Abweichungen in der 2FA-Umgebung: Statt zuvor genutzter Dienste tauchte „2fa.cn“ auf, um zwei Faktor-Codes zwischen Operativen weiterzugeben. Zudem sollen die Browser diesmal mit KI-gestützten Erweiterungen für Jobbewerbung und Interview-Vorbereitung gearbeitet haben, etwa „AIApply“, „Final Round AI“ und „Simplify Copilot“, ergänzt durch ein gespeichertes Prompt-Tool für ChatGPT. Diese Kombination macht aus Sicht vieler Security-Teams aus einem „Identitätsbetrug“ eine voll durchkomponierte Betriebsumgebung.
Der Markt- und Infrastrukturbezug wird in dem Bericht besonders konkret, weil die Maßnahmen nicht nur auf Identität, sondern auf Arbeitsfähigkeit abzielen. Für die eingesetzte Infrastruktur nennen die Forscher unter anderem Vultr und Gorilla Servers sowie Hinweise darauf, dass Astrill-VPN-Exit-Nodes in der Interaktion eine Rolle spielten. Darüber hinaus führt das Team als separaten Beobachtungspunkt an, dass Astrill in früheren Verläufen ebenfalls häufig in nordkoreanischen IT-Operationen auftauchte. Praktisch bedeutet das: Wenn Recruiting-Teams nur beim „Moment der Einstellung“ prüfen, können Operative bereits ab Tag 1 reconnaissance und Remote-Setup durchziehen, ohne dass die Identität sofort auffällt. Entsprechend empfehlen die Forschenden Identitätschecks in regelmäßigen Abständen statt nur einmalig bei Onboarding, außerdem eine stärkere Verifikation für remote-first Organisationen und ein Training für Recruiter, um auffällige Profile in Anschreiben und Kontaktmustern früher zu erkennen. Die zugehörige Warnmeldung vom 31. Juli nennt zudem typische Indikatoren wie ein Konto, das innerhalb kurzer Zeit von vielen Adressen aus erreicht wird, und Text, der wie maschinelle Übersetzung wirkt.
Auch die Einbettung in die Behördenlage lässt erkennen, wie eng Cybercrime, Identitätsbetrug und Supply-Chain-artige Zugänge zusammenspielen. Die US-Justizbehörde hat im April zwei Vermittler in einem separaten Vorgehen verurteilt, bei dem mehr als 100 US-Unternehmen über gestohlene Identitäten mit mindestens 80 Account-Setups betroffen gewesen sein sollen und dessen Erlös Richtung Nordkorea geflossen sein soll (mindestens „mehr als 5 Millionen US-Dollar“). Der aktuelle Aufbau der Forschenden zeigt dabei eine Art „Sequel“-Logik: Das Team verweist auf eine gemeinsame Untersuchung, in der zuvor gezielt als Facilitator agiert wurde, während es jetzt die Rolle des Arbeitgebers einnimmt. Zugleich vermeiden sie Spekulationen, wo keine Bestätigung vorliegt: Sie nennen die drei Personen als „mutmaßliche“ Operative und betonen, dass die echten Namen hinter den verwendeten Personas unbekannt seien und dass es keine belastbaren Datumsangaben dafür gebe, wie lange die Fake-Firma aktiv gewesen sei.
Für die Unternehmenspraxis folgt daraus eine relativ klare Priorisierung. Erstens sollten Identity-Programme nicht nur die Dokumente im Moment der Bewerbung prüfen, sondern auch Muster und Kontinuität überwachen, beispielsweise über wiederkehrende Verifikationen und Plausibilitätschecks bei Remote-Zugriffen. Zweitens empfehlen sich Prozesse, die Recruiting mit Security-Mechanismen verzahnen: Profile, die „fürgderte oder über Bildbearbeitung veränderte“ Dokumente als Signal tragen könnten, sollten nicht nur als Einzelfall behandelt werden, sondern in die Risiko-Logik einfließen. Drittens rücken Filter gegen wiederkehrende Netzwerkmerkmale wie bestimmte VPN-Exit-Nodes stärker in den Fokus, weil diese in mehreren Verläufen als Fixpunkt auftauchen. Die Kombination aus VM-Recon, Remote-Desktop-Zugriff und späterem GitHub-Login zeigt, dass das eigentliche Schadenspotenzial häufig nicht in der „Exploitation“ liegt, sondern in dem schnellen Erlangen realer Identitäten und Arbeitszugriffe. Genau deshalb ist die Frage nicht, ob ein Setup „schlecht“ wirkt, sondern ob es nach Vertragsunterzeichnung weiterhin sicher bleibt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Fake-DeFi-Startup als Köder: Verdächtige Nordkorea-IT über gefälschte Identitäten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Fake-DeFi-Startup als Köder: Verdächtige Nordkorea-IT über gefälschte Identitäten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Fake-DeFi-Startup als Köder: Verdächtige Nordkorea-IT über gefälschte Identitäten« bei Google Deutschland suchen, bei Bing oder Google News!