Pesquisadores de segurança criaram uma startup de criptomoedas, anunciaram vagas para desenvolvedores e contrataram três pessoas que acreditam ser operadores norte-coreanos. Todas as máquinas virtuais fornecidas pela empresa estavam sendo gravadas.
A papelada de admissão é a parte que as equipes de contratação podem usar como referência. O primeiro contratado disse morar em Pasadena, no Texas, e depois enviou uma carteira de motorista da Califórnia e uma conta bancária de Nova York.
Os pesquisadores afirmaram que os metadados da imagem mostravam que ela havia sido processada com o Google Gemini. Eles também relataram a presença de uma marca d’água SynthID, o marcador invisível que o Google insere em imagens criadas ou editadas por suas ferramentas de IA.
O segundo apresentou uma carteira do Texas, um número válido de Social Security e uma conta bancária em Kansas City. O terceiro enviou uma carteira de Nova York pertencente a outra pessoa, além de uma foto autêntica de um iPhone 15 com as coordenadas GPS removidas.
Uma contratação bem-sucedida dá ao operador uma conta real de funcionário e acesso verdadeiro ao código-fonte e aos sistemas internos. O alerta conjunto de 31 de julho afirma que trabalhadores de TI da Coreia do Norte buscam contratos com a intenção de repassar seus salários para órgãos norte-coreanos. O documento também cita papéis “forjados ou alterados com software de edição de imagens” entre os sinais que os empregadores devem observar.
Em abril, o Departamento de Justiça dos Estados Unidos sentenciou dois facilitadores americanos por um esquema separado, que colocou trabalhadores em mais de 100 empresas dos EUA usando ao menos 80 identidades roubadas e gerou mais de US$ 5 milhões para a Coreia do Norte. O aplicativo Gemini do Google consegue verificar se uma imagem contém uma marca d’água SynthID, mas apenas detecta conteúdo criado ou editado pelos modelos de IA do Google. Um resultado negativo não descarta edição por IA feita com outras ferramentas.
A operação foi uma continuação. Uma investigação conjunta de Mauro Eldritch, da BCA LTD, Heiner García, da NorthScan, e da ANY.RUN, fornecedora de análise interativa de malware e inteligência de ameaças, passou o fim de 2025 se passando por um facilitador disposto a alugar sua identidade.
Desta vez, os pesquisadores assumiram o papel de empregadores e criaram um falso protocolo DeFi chamado Ballena Azul. Um recrutador que vasculhava o GitHub em busca de facilitadores entregou o primeiro desenvolvedor. Esse desenvolvedor recomendou um amigo, que recomendou um terceiro.
Ninguém explorou nada.
Cada operador entrou pelo processo de contratação, passou por entrevista, assinou contrato e recebeu acesso a uma VM de trabalho. Os pesquisadores escrevem que esses esquemas são “mais do que um risco de contratação”, porque, uma vez consolidada a colocação, o acesso do trabalhador também passa a ser autorizado e esperado.
O primeiro dia foi de reconhecimento. Os três executaram dxdiag, systeminfo e wmic para mapear suas máquinas e, em seguida, verificaram de que país parecia vir a conexão. Um deles instalou o Chrome Remote Desktop e sincronizou sua conta pessoal do Google com o sandbox, entregando histórico de navegação, senhas salvas e extensões instaladas. Ele também acessou o GitHub na mesma máquina.
O conjunto de ferramentas observado nesse contato diferiu do visto em dezembro. Os pesquisadores encontraram o uso de 2fa.cn para repassar códigos de autenticação em duas etapas entre operadores; na operação de dezembro, haviam sido usados authenticator.cc e otp.ee. O Outlook.com apareceu onde antes havia apenas Gmail.
Os navegadores continham extensões de IA para candidatura a vagas e apoio em entrevistas, como AIApply, Final Round AI, Simplify Copilot e uma ferramenta de prompts salvos para o ChatGPT. O relatório situa a infraestrutura na Vultr e na Gorilla Servers e diz que nós de saída da AstrillVPN permaneceram em uso durante todo o período.
A Silent Push já vinha acompanhando a Astrill como um componente recorrente das operações norte-coreanas.
Os pesquisadores recomendam verificações periódicas de identidade, e não apenas na admissão, além de validação presencial para empresas com modelo remoto, treinamento de recrutadores e bloqueio da AstrillVPN. O alerta de 31 de julho também observa um único acesso feito a partir de muitos endereços em um curto intervalo e textos de perfil com aparência de tradução automática.
O relatório apresenta os metadados de processamento do Gemini e a marca d’água SynthID como descobertas separadas, mas não explica como a própria marca foi detectada.
A atribuição foi feita pelos pesquisadores, que apresentaram o trabalho na DEF CON 34, em Las Vegas, neste mês. Eles descrevem os três como suspeitos de serem operadores do Famous Chollima. A CrowdStrike usa esse nome para a operação de trabalhadores de TI da Coreia do Norte, enquanto a equipe a insere no guarda-chuva mais amplo da Lazarus.
O alerta de 11 governos não cita nenhum cluster de atores de ameaças de fornecedor específico. Até 11 de agosto, nenhuma fonte governamental consultada para esta reportagem havia confirmado essa identificação. Os nomes reais por trás das três personas seguem desconhecidos, e o relatório não informa por quanto tempo a falsa empresa esteve em atividade.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...