Pesquisadores de segurança criaram uma startup de criptomoedas, divulgaram vagas para desenvolvedores e contrataram três pessoas que acreditam serem operativos da Coreia do Norte. Toda máquina virtual emitida pela empresa estava gravando.
A documentação de integração é a parte que equipes de contratação podem utilizar. O primeiro contratado afirmou residir em Pasadena, Texas, e então enviou uma carteira de motorista da Califórnia e uma conta bancária de Nova York.
Os pesquisadores disseram que os metadados da imagem mostravam que ela havia sido processada com o Google Gemini. Eles também relataram uma marca d'água SynthID, o marcador invisível que o Google incorpora em imagens criadas ou editadas por suas ferramentas de IA.
O segundo forneceu uma carteira do Texas, um número válido de Seguro Social e uma conta bancária em Kansas City. O terceiro enviou uma carteira de Nova York pertencente a outra pessoa, uma foto genuína de um iPhone 15 com as coordenadas de GPS removidas.
Uma colocação bem-sucedida concede ao operativo uma conta de funcionário real e acesso real ao código-fonte e aos sistemas internos. O alerta conjunto de 31 de julho afirma que trabalhadores de TI norte-coreanos buscam contratos com a intenção de remeter seus salários às agências norte-coreanas-mãe. Ele também lista documentos "forjados ou alterados usando software de edição de imagens" entre os sinais que empregadores devem observar.
Em abril, o Departamento de Justiça sentenciou dois facilitadores americanos por um esquema separado que colocou trabalhadores em mais de 100 empresas americanas usando pelo menos 80 identidades roubadas e gerou mais de US$ 5 milhões para a Coreia do Norte. O aplicativo Gemini do Google pode verificar uma imagem em busca de uma marca d'água SynthID, mas detecta apenas conteúdo criado ou editado pelos modelos de IA do Google. Um resultado negativo não descarta edição de IA por outras ferramentas.
A operação foi uma sequência. Uma investigação conjunta de Mauro Eldritch da BCA LTD, Heiner García da NorthScan e ANY.RUN, provedora de análise interativa de malware e inteligência de ameaças, passou o final de 2025 se passando por um facilitador disposto a alugar sua identidade. O Hacker News cobriu essa operação em dezembro.
Desta vez eles se tornaram o empregador, criando um protocolo DeFi (finanças descentralizadas) falso chamado Ballena Azul. Um recrutador que vasculhava o GitHub em busca de facilitadores entregou o primeiro desenvolvedor. Esse desenvolvedor recomendou um amigo, que recomendou um terceiro.
Ninguém explorou nada.
Cada operativo entrou pelo processo de contratação, passou por uma entrevista, assinou um contrato e recebeu acesso a uma VM de trabalho. Os pesquisadores escrevem que esses esquemas são "não apenas um risco de contratação", porque uma vez que a colocação se concretiza, o acesso do trabalhador também é autorizado e esperado.
O primeiro dia foi reconhecimento. Todos os três executaram dxdiag, systeminfo e wmic para criar um perfil de suas máquinas e verificaram de qual país sua conexão parecia originar. Um deles então instalou o Chrome Remote Desktop e sincronizou sua conta pessoal do Google com a sandbox, entregando seu histórico de navegação, senhas salvas e extensões instaladas. Ele fez login no GitHub na mesma máquina.
As ferramentas observadas nesta operação diferiram de dezembro. Os pesquisadores viram 2fa.cn sendo usado para passar códigos de autenticação de dois fatores entre operadores; a operação de dezembro havia usado authenticator.cc e otp.ee. O Outlook.com apareceu onde antes só havia o Gmail.
Seus navegadores tinham extensões de IA para candidatura a empregos e assistência em entrevistas: AIApply, Final Round AI, Simplify Copilot e uma ferramenta de prompts salvos para o ChatGPT. O relatório coloca a infraestrutura na Vultr e na Gorilla Servers e afirma que nós de saída do AstrillVPN foram usados durante toda a operação.
A Silent Push rastreou separadamente o Astrill como um componente fixo das operações norte-coreanas.
Os pesquisadores recomendam verificações periódicas de identidade em vez de apenas uma no momento da contratação, verificação presencial para empresas remotas, treinamento de recrutadores e bloqueio do AstrillVPN. O parecer de 31 de julho também observa que uma única conta acessada a partir de muitos endereços em um curto período e texto de perfil que soa como tradução automática são sinais de alerta.
O relatório apresenta os metadados processados pelo Gemini e a marca d'água SynthID como descobertas separadas, mas não explica como a marca d'água em si foi detectada.
A atribuição fica com os pesquisadores, que apresentaram o trabalho na DEF CON 34 em Las Vegas este mês. Eles descrevem os três como operativos suspeitos do Famous Chollima. A CrowdStrike usa esse nome para a operação de trabalhadores de TI da Coreia do Norte, enquanto a equipe a coloca sob o guarda-chuva mais amplo do Lazarus.
O alerta de onze governos não menciona nenhum agrupamento de atores de fornecedores. Em 11 de agosto, nenhuma fonte governamental examinada para este artigo havia confirmado essa identificação. Os verdadeiros nomes por trás das três personas são desconhecidos, e o relatório não fornece datas de quanto tempo a empresa falsa operou.
