Ερευνητές κυβερνοασφάλειας έ στησαν μια εικονική DeFi startup για να ξεσκεπάσουν Βορειοκορεάτες που τρυπώνουν σε θέσεις απομακρυσμένης εργασίας. Το αποτέλεσμα; Πλαστά IDs από γεννήτριες AI, χρήση ChatGPT για τα βασικά και πλήρης αποκάλυψη των μεθόδων τους.
- Ερευνητές δημιούργησαν την εικονική startup «Ballena Azul» και προσέλαβαν τρεις ύποπτους Βορειοκορεάτες τεχνικούς πληροφορικής.
- Οι ύποπτοι χρησιμοποίησαν κλεμμένα/πλαστά αμερικανικά έγγραφα, AstrillVPN και ChatGPT για να καλύψουν τα ίχνη και την έλλειψη δεξιοτήτων τους.
- Η επιχείρηση-δόλωμα απέδειξε πόσο ευάλωτα είναι τα τμήματα HR των τεχνολογικών εταιρειών στην απομακρυσμένη εργασία.
Η φάρσα της Ballena Azul
Ο Heiner García της NorthScan και ο Mauro Eldritch της Birmingham Cyber Arms LTD αποφάσισαν να παίξουν το παιχνίδι των χάκερ με τους δικούς τους κανόνες. Σύμφωνα με την ανάλυση του Any.Run, οι δύο ερευνητές έστησαν μια δόλια startup DeFi με την ονομασία «Ballena Azul» για να προσελκύσουν πράκτορες που αναζητούν χρηματοδότηση για το καθεστώς της Πιονγιάνγκ. Η αγγελία τους στο GitHub βρήκε αμέσως στόχο, αποδεικνύοντας πόσο εύκολα παρακάμπτονται οι παραδοσιακοί έλεγχοι ταυτότητας.
Οι τρεις υποψήφιοι που προσλήφθηκαν παρουσίασαν αμερικανικές άδειες οδήγησης και Social Security Numbers (SSN) που αποδείχθηκαν εντελώς ψεύτικα. Η μία ταυτότητα είχε φτιαχτεί ξεκάθαρα από γεννήτρια τεχνητής νοημοσύνης, ενώ μια άλλη ανήκε σε ανυποψίαστο πολίτη της Νέας Υόρκης. Κατά τη διάρκεια των συνεντεύξεων, οι ύποπτοι απέφυγαν τα live deepfakes, προτιμώντας να κοιτάζουν διαρκώς εκτός κάμερας σε δεύτες οθόνες όπου έτρεχαν εργαλεία μετάφρασης και καθοδήγησης.
AI και VPN στην παράνομη εργασία
Μόλις οι τρεις Βορειοκορεάτες πήραν πρόσβαση στο εικονικό περιβάλλον εργασίας που παρείχαν οι ερευνητές –το οποίο ήταν στην πραγματικότητα μια πλατφόρμα παρακολούθησης της Any.Run– άρχισαν να ξεδιπλώνουν το τεχνικό τους οπλοστάσιο. Για να κρύψουν την πραγματική τους γεωγραφική θέση, βασίστηκαν αποκλειστικά στην υπηρεσία AstrillVPN, η οποία προτιμάται συστηματικά από κυβερνοεγκληματικές ομάδες της Ασίας.
Το πιο εντυπωσιακό στοιχείο της έρευνας, την οποία οι García και Eldritch παρουσίασαν στο DEF CON, είναι η τεχνική τους ένδεια. Αντί για έμπειρους developers υψηλού επιπέδου, οι ερευνητές βρέθηκαν αντιμέτωποι με άτομα που έκαναν βασικές αναζητήσεις στο Google και βασίζονταν εξ ολοκλήρου στο ChatGPT για να γράψουν απλό κώδικα και να περάσουν τις δοκιμασίες. Τα αποθηκευμένα prompts στις επεκτάσεις των browsers τους πρόδωσαν κάθε τους κίνηση, δείχνοντας ότι η τεχνητή νοημοσύνη χρησιμοποιείται πλέον ως “δεκανίκι” από ανειδίκευτους πράκτορες.
Το μεγαλύτερο ρίσκο στην ασφάλεια
Το πρόβλημα δεν αφορά πλέον μόνο τις μικρές εταιρείες τεχνολογίας που πέφτουν θύματα social engineering. Όπως αποκάλυψε πρόσφατα αναπληρωτής διευθυντής του FBI, Βορειοκορεάτης κατάφερε να τρυπώσει και να εξασφαλίσει θέση εργασίας ακόμα και σε ομοσπονδιακή κυβερνητική υπηρεσία των ΗΠΑ. Όταν οι ερευνητές αποφάσισαν να τους στριμώξουν σε live βιντεοκλήση βγάζοντας στη φόρα τα πλαστά τους έγγραφα, οι ύποπτοι απλώς αποσυνδέθηκαν πανικόβλητοι.
Αυτή η τακτική διείσδυσης θέτει σε κίνδυνο την αλυσίδα εφοδιασμού λογισμικού (software supply chain). Όταν ένας τέτοιος υπάλληλος αποκτά πρόσβαση σε κώδικα παραγωγής ή εσωτερικά δίκτυα, μπορεί να φυτέψει κερκόπορτες (backdoors) που θα αξιοποιηθούν αργότερα για μαζικές κυβερνοεπιθέσεις ή λύτρα. Διάβασε περισσότερα για τις σύγχρονες απειλές δικτύου στην ανάλυσή μας για την ασφάλεια δικτύων στο σύννεφο.
Η άποψή μας στο TechNoid
Η απομακρυσμένη εργασία δεν κινδυνεύει από την ίδια την κουλτούρα της, αλλά από την τραγική αφέλεια των τμημάτων HR. Όταν οι προσλήψεις γίνονται αποκλειστικά μέσω chat και GitHub χωρίς αυστηρή ταυτοποίηση με φυσική παρουσία ή κρυπτογραφικά κλειδιά (όπως hardware tokens FIDO2), προσκαλείς τον κάθε απατεώνα στο σπίτι σου. Οι εταιρείες οφείλουν να σταματήσουν να αντιμετωπίζουν τα background checks ως γραφειοκρατική αγγαρεία. Αν μια startup δεν μπορεί να ελέγξει ποιος γράφει τον κώδικα της, καλύτερα να κλείσει μόνη της πριν το κάνουν οι χάκερ για λογαριασμό ξένων κυβερνήσεων.
Συχνές Ερωτήσεις για την infiltration Βορειοκορεατών IT workers
Πώς εντοπίστηκαν οι Βορειοκορεάτες τεχνικοί από τους ερευνητές;
Οι ερευνητές έστησαν μια εικονική startup DeFi ονόματι «Ballena Azul» και χρησιμοποίησαν την πλατφόρμα απομακρυσμένης παρακολούθησης της Any.Run για να καταγράφουν κάθε τους κίνηση.
Τι έγγραφα χρησιμοποίησαν οι ύποπτες για να προσληφθούν;
Προσκόμισαν πλαστές αμερικανικές άδειες οδήγησης και αριθμούς κοινωνικής ασφάλισης (SSN), εκ των οποίων η μία είχε παραχθεί από AI και η άλλη ανήκε σε υπαρκτό πολίτη.
Χρησιμοποίησαν deepfakes στις συνεντεύξεις τους;
Όχι, απέφυγαν τα live deepfakes αλλά κοιτούσαν διαρκώς εκτός κάμερας σε δεύτερες οθόνες όπου έτρεχαν εργαλεία μετάφρασης και τεχνητής νοημοσύνης.
Ποια εργαλεία χρησιμοποίησαν για να καλύψουν τα ιχνη τους;
Χρησιμοποιούσαν την υπηρεσία AstrillVPN για να αποκρύψουν την πραγματική τους τοποθεσία από την Ασία.
Είχαν πράγματι υψηλές τεχνικές δεξιότητες;
Όχι, οι ερευνητές διαπίστωσαν πλήρη έφεση σε βασικές αναζητήσεις στο Google και υπερβολική εξάρτηση από το ChatGPT για τη διεκπεραίωση των καθηκόντων τους.
Σε ποιους τομείς στοχεύουν κυρίως αυτοί οι εργαζόμενοι;
Στοχεύουν κυρίως στον τομέα της πληροφορικής, της τεχνολογίας και την αποκεντρωμένη χρηματοδότηση (DeFi) για τη χρηματοδότηση του καθεστώτος τους.
Υπάρχει κίνδυνος για κυβερνητικές υπηρεσίες;
Ναι, το FBI έχει επιβεβαιώσει περιπτώσεις όπου Βορειοκορεάτες πράκτορες κατάφεραν να διεισδύσουν ακόμα και σε ομοσπονδιακές υπηρεσίες των ΗΠΑ.
