Nie zdarza się często, by dziennikarz został poproszony o odegranie roli inwestora venture capital w celu zmylenia podejrzanych północnokoreańskich pracowników IT. A jednak w czerwcu ten reporter dołączył do rozmowy Zoom pod aliasem „Aelin Ashriver”, inwestora z fikcyjnej firmy Definitive Communications, aby spotkać się z zespołem deweloperskim startupu kryptowalutowego Ballena Azul.

Osoby po drugiej stronie połączenia uważały, że przedstawiają swoją firmę w celu pozyskania finansowania VC. W rzeczywistości przez wiele tygodni pracowały w fałszywej spółce kryptowalutowej, zbudowanej wyłącznie po to, by zbadać ich metody, narzędzia i infrastrukturę. Operację zorganizowali Mauro Eldritch, założyciel firmy cyberbezpieczeństwa BCA LTD, oraz Heiner García, analityk cyberzagrożeń w Telefónica Tech i założyciel NorthScan. Cointelegraph uczestniczył w jednym etapie śledztwa.

Podczas rozmowy reporter dodatkowo podtrzymywał mistyfikację, sugerując, że Ballena Azul może nawet otrzymać wzmianekę w Cointelegraph — co oznaczało, że przynajmniej jedna osoba na połączeniu mówiła prawdę.

Podejrzani pracownicy IT z DPRK przedstawiają propozycję pozyskania kapitału venture od fikcyjnej Definitive Communications, granej przez Cointelegraph. Źródło: ANY.RUN

Budowa firmy dla podejrzanych północnokoreańskich pracowników IT

Eldritch i García zbudowali fikcyjną Ballena Azul, korzystając z infrastruktury dostarczonej przez platformę cyberbezpieczeństwa ANY.RUN. Dodatkowej wiarygodności projektowi nadał istniejący brytyjski wpis rejestrowy dla niepowiązanej spółki o tej samej nazwie, która została rozwiązana w 2022 roku.

Eldritch przyjął tożsamość współzałożyciela „Leonardo Nelson”, natomiast García działał pod aliasem „Andy Jones”, występując jako lider zespołu firmy.

Powiązane: Północnokoreańscy cyberszpiedzy nie są już tylko zagrożeniem zdalnym

Jednym z najcenniejszych elementów informacji wywiadowczych, ujawnionych podczas pięciotygodniowej mistyfikacji, były zewnętrzne serwery używane przez pracowników jako punkty pośrednie przed połączeniem z kontrolowanymi wirtualnymi pulpitami Ballena Azul. Takie zasoby są szczególnie cenne, ponieważ często są ponownie wykorzystywane w kolejnych operacjach i mogą pozostawać aktywne przez długi czas. Odkrycie to pokazuje szersze wyzwanie dla obrońców: współdzielona infrastruktura serwerowa może obejmować wielu pracodawców i kampanii ukierunkowanych, co oznacza, że zidentyfikowanie i zablokowanie jednego węzła może zakłócić działania daleko poza firmą, w której został po raz pierwszy wykryty.

García powiedział Cointelegraph Magazine, że zidentyfikowane serwery były powiązane z rodzinami złośliwego oprogramowania związanymi z operacjami Korei Północnej, których celem jest kradzież danych uwierzytelniających, danych portfeli kryptowalutowych i innych wrażliwych informacji.

„Niektóre z serwerów, które znaleźliśmy, były wcześniej powiązane z dystrybucją InvisibleFerret i BeaverTail/OtterCookie i były aktywne do dziś” — powiedział. „Ale niektóre inne były całkowicie nowe i nie mieliśmy o nich żadnych informacji wywiadowczych, wyglądały czysto i pozostawały poza głównymi listami blokad lub źródłami zagrożeń”.

Dodał, że infrastruktura mogła służyć wielu celom, a serwery wcześniej wykorzystywane do dystrybucji złośliwego oprogramowania pełniły także funkcję infrastruktury command-and-control oraz proxy dla operatorów wykonujących codzienną pracę.

Według badaczy podejrzani pracownicy nie muszą wdrażać złośliwego oprogramowania, aby stanowić zagrożenie. Po zatrudnieniu mogą uzyskać legalny dostęp do wewnętrznych systemów firmy, kodu źródłowego i innych wrażliwych danych. Im dłużej pozostają niewykryci, tym dłużej mogą pobierać wynagrodzenie, które — jak twierdzą badacze — ostatecznie pomaga finansować reżim Korei Północnej. To ryzyko związane z dostępem od wewnątrz jest szczególnie dotkliwe w sektorze kryptowalut, gdzie kultura zatrudniania zdalnego, szybka rozbudowa zespołów i bezpośrednia ekspozycja na infrastrukturę aktywów cyfrowych mogą zwiększać konsekwencje jednego skompromitowanego zatrudnienia.

Operacja ujawniła również, że grupa w dużym stopniu polegała na narzędziach sztucznej inteligencji, aby zrekompensować braki w wiedzy technicznej. Używali ChatGPT do pisania i kodowania, w tym do odpowiadania na podstawowe pytania i wykonywania zadań, z którymi sami mieli trudności. Do edycji obrazów i fałszowania dokumentów preferowali Google Gemini.

Podejrzany pracownik IT z DPRK i ChatGPT współpracują przy próbie zdobycia testnetowego krypto podczas operacji Ballena Azul. Źródło: ANY.RUN

Wśród innych używanych narzędzi znajdowały się oprogramowanie do zdalnego pulpitu, portfele kryptowalutowe oraz usługa do udostępniania kodów uwierzytelniania dwuskładnikowego. Korzystanie ze współdzielonych usług 2FA jest znanym znakiem rozpoznawczym schematów z udziałem pracowników IT z DPRK, umożliwiając wielu osobom obejście mechanizmów uwierzytelniania przeznaczonych dla jednego legalnego pracownika.

Północnokoreańscy pracownicy IT stali się rosnącym zagrożeniem cyberbezpieczeństwa dla sektora kryptowalut. W lipcu Consensys ujawnił, że nieświadomie zaangażował dewelopera powiązanego z Koreą Północną za pośrednictwem zewnętrznego dostawcy usług, zanim zidentyfikował zagrożenie i odciął dostęp.

W innej sprawie amerykańscy prokuratorzy oskarżyli czterech obywateli Korei Północnej w 2025 roku o posługiwanie się fałszywymi tożsamościami w celu zdobycia zdalnych prac IT i rzekomej kradzieży ponad $900,000 w kryptowalutach z dwóch firm, w tym z amerykańskiej spółki badawczo-rozwojowej z branży blockchain.

Amerykański Departament Skarbu stwierdził w marcu, że schematy z udziałem północnokoreańskich pracowników IT wygenerowały w 2024 roku niemal $800 million, aby pomóc w finansowaniu programów broni masowego rażenia reżimu w Pjongjangu.

Wewnątrz fikcyjnej firmy kryptowalutowej Ballena Azul

Operacja ruszyła, gdy García skontaktował się przez GitHub z rekruterem powiązanym z Famous Chollima, grupą zagrożeń łączoną z operacjami północnokoreańskich pracowników IT. Famous Chollima jest śledzona przez wiele firm cyberbezpieczeństwa jako zbiór aktywności skoncentrowanych na umieszczaniu operatorów DPRK na zdalnych stanowiskach deweloperskich w zachodnich firmach technologicznych i kryptowalutowych. García zasugerował, że Ballena Azul potrzebuje programistów, a rekruter przedstawił trzech kandydatów: „Jack Anderson”, „Angelo Espree” i „Lucas Theo”. Co najmniej dwie z tych osób przedstawiły amerykańskie dokumenty tożsamości.

Trójce przydzielono różne zadania programistyczne w kontrolowanych środowiskach wirtualnych pulpitów, co pozwoliło Garcíi i Eldritchowi obserwować ich pracę w czasie rzeczywistym.

Angelo Espree był jednym z deweloperów wprowadzonych przez rekrutera powiązanego z operacjami DPRK. Źródło: ANY.RUN

Badacze celowo wprowadzali także problemy techniczne — w tym selektywne przerwy w sieci i znikające kursory myszy — aby obserwować, jak podejrzani pracownicy reagują i po jakie narzędzia sięgają pod presją.

„Szczerze mówiąc, największym zaskoczeniem było to, jak dużo z tego opierało się na improwizacji” — powiedział García. „Nie było sztywnego playbooka, nie było po ich stronie dopracowanego procesu korporacyjnego”.

Podczas wielu tygodni spędzonych w kontrolowanych środowiskach podejrzani obywatele Korei Północnej pozostawili badaczom ogromny zasób informacji: logi czatu, historię rozmów z AI, informacje o portfelach kryptowalutowych, węzły wyjściowe VPN oraz godziny nagrań wideo na żywo. Ich połączenia sieciowe ujawniły również serwery pośrednie, które stały się jednym z najważniejszych odkryć śledztwa.

Silne poleganie na AI nie było jednak czymś wyjątkowym dla pracowników uwikłanych w operację Ballena Azul. Reuters podał w poniedziałek, że inna północnokoreańska grupa hakerska, Kimsuky, używała AI w bardziej ofensywnym celu. Grupa miała uruchamiać lokalnie narzędzia AI, aby automatyzować cyberataki, analizować skradzione dane i tworzyć bardziej wiarygodne kampanie phishingowe.

Zmieniający się podręcznik zdalnych pracowników IT z DPRK

To nie był pierwszy raz, gdy Cointelegraph odegrał niewielką rolę w ujawnianiu podejrzanych północnokoreańskich pracowników. W lutym 2025 roku García i Cointelegraph przeprowadzili rozmowę kwalifikacyjną z podejrzanym operatorem przedstawiającym się jako „Motoki”. Deweloper twierdził, że jest Japończykiem, lecz nagle przerwał rozmowę po prośbie, aby przedstawił się w swoim ojczystym języku.

Mimo to García utrzymywał kontakt. Motoki ostatecznie zaproponował, że prześle Garcíi pieniądze na zakup komputera, do którego mógłby łączyć się zdalnie, co pozwalałoby mu pracować przez lokalną maszynę zamiast łączyć się przez VPN — taktykę mającą ominąć ograniczenia nakładane przez pracodawców i platformy freelancerskie.

Powiązane: Od Sony do Bybit: jak Lazarus Group stał się superzłoczyńcą kryptowalut

García później udokumentował podejrzanych operatorów z Korei Północnej rekrutujących freelancerów, aby zapewniali zweryfikowane konta, tożsamości i zdalny dostęp do ich komputerów. W jednej odmianie tego schematu operatorzy pracowali za pośrednictwem maszyn fizycznie znajdujących się w Stanach Zjednoczonych, dzięki czemu wyglądali dla pracodawców i platform freelancerskich jak wykonawcy z USA.

W maju dwóch amerykańskich „laptop farmers” — osób, które utrzymywały klastry komputerów dostępnych zdalnie dla Koreańczyków Północnych — zostało skazanych na 18 miesięcy więzienia za ułatwianie pracownikom IT z DPRK podszywania się pod pracowników z USA. Schematy te wygenerowały ponad $1.2 million i dotknęły niemal 70 firm.

Rozbicie Ballena Azul

Każda mistyfikacja musi kiedyś dobiec końca. Badacze wprowadzili „Benito Camella”, współzałożyciela Ballena Azul, który rzekomo zajmował się innymi sprawami w Mediolanie, podczas gdy firma się rozrastała.

Po powrocie Camella skonfrontował pracowników z niezgodnościami w ich tożsamościach i dokumentach. Konfrontacja szybko opróżniła czat. Espree jako pierwszy opuścił wideorozmowę, a Anderson pozostał dłużej, zanim zorientował się, że mistyfikacja się rozpada.

„Czy prowadzisz dwa życia, panie Anderson?” — pyta Camella Jacka Andersona podczas konfrontacji. Źródło: ANY.RUN

Badacze kontynuowali mistyfikację nawet po zakończeniu spotkania. W kanale Telegram firmy „CEO” oskarżył „Andy’ego Jonesa” o sprowadzenie „nielegalnych pracowników” i narażenie firmy na ryzyko. „Jones” odpowiedział, że był pod presją, aby szybko zbudować zespół, i że nie otrzymywał wystarczającego wynagrodzenia za tę pracę. Twierdził, że zrobił, co mógł, mając dostępne zasoby.

Ustawiona kłótnia zakończyła się tym, że fałszywy CEO zerwał zarówno relację zawodową, jak i przyjaźń, podtrzymując wrażenie, że Ballena Azul upadła z powodu fatalnej decyzji kadrowej.

Jeden z podejrzanych obywateli Korei Północnej później skontaktował się prywatnie z Garcíą, aby przeprosić za to, co się stało, i zapytać, czy wszystko z nim w porządku.

Według badaczy nie mieli potem już kontaktu z resztą grupy.

Do dziś — jak twierdzą badacze — podejrzani pracownicy nie wiedzą, że przez wiele tygodni działali w środowisku stworzonym po to, by wydobywać od nich informacje. Magazin: Czy ataki na Coldcard oznaczają, że wszystkie portfele sprzętowe są teraz niebezpieczne?

Uwaga redakcyjna: Cointelegraph nie mógł niezależnie potwierdzić narodowości ani powiązań podejrzanych pracowników IT z DPRK, a żadna agencja rządowa nie ujawniła ich publicznie.