Beveiligingsonderzoekers bedachten een cryptocurrency-startup, maakten reclame voor banen voor ontwikkelaars en huurden drie mensen in waarvan zij dachten dat het Noord-Koreaanse agenten waren. Elke virtuele machine die het bedrijf uitbracht, nam op.
Het onboarding-papierwerk is het onderdeel dat wervingsteams kunnen gebruiken. De eerste huurling beweerde in Pasadena, Texas te wonen, en stuurde vervolgens een Californisch rijbewijs en een New Yorkse bankrekening.
De onderzoekers zeiden dat uit de metadata van de afbeelding bleek dat deze was verwerkt met Google Gemini. Ze rapporteerden ook een SynthID-watermerk, de onzichtbare markering die Google insluit in afbeeldingen die zijn AI-tools maken of bewerken.
De tweede leverde een Texas-licentie, een geldig burgerservicenummer en een bankrekening in Kansas City op. De derde stuurde een New Yorkse licentie van iemand anders, een echte iPhone 15-foto waarop de GPS-coördinaten waren verwijderd.
Een succesvolle plaatsing geeft de medewerker een echt werknemersaccount en echte toegang tot de broncode en interne systemen. De gezamenlijke waarschuwing van 31 juli zegt dat Noord-Koreaanse IT-werknemers contracten zoeken met de bedoeling hun salarissen over te dragen aan Noord-Koreaanse moederbedrijven. Het noemt ook documenten die ‘vervalst of gewijzigd zijn met behulp van beeldbewerkingssoftware’ als signalen waar werkgevers op moeten letten.
In april veroordeelde het ministerie van Justitie twee Amerikaanse facilitators vanwege een afzonderlijk plan waarbij werknemers van ruim honderd Amerikaanse bedrijven op ten minste tachtig gestolen identiteiten werden geplaatst en Noord-Korea meer dan vijf miljoen dollar opleverde. De Gemini-app van Google kan een afbeelding controleren op een SynthID-watermerk, maar detecteert alleen inhoud die is gemaakt of bewerkt door de AI-modellen van Google. Een negatief resultaat sluit AI-bewerking door andere tools niet uit.
De operatie was een vervolg. Een gezamenlijk onderzoek door Mauro Eldritch van BCA LTD, Heiner García van NorthScan en ANY.RUN, een leverancier van interactieve malware-analyse en dreigingsinformatie, bracht eind 2025 door zich voor te doen als een facilitator die bereid was zijn identiteit te verhuren. The Hacker News berichtte over die operatie in december.
Dit keer werden zij de werkgever en bouwden een nep-DeFi-protocol genaamd Ballena Azul. Een recruiter die GitHub afspeurde naar facilitators leverde de eerste ontwikkelaar op. Die ontwikkelaar stond in voor een vriend, die voor een derde instond.
Niemand heeft iets uitgebuit.
Elke medewerker kwam binnen via het aanwervingsproces, kreeg een sollicitatiegesprek, tekende een contract en kreeg toegang tot een werk-VM. De onderzoekers schrijven dat deze regelingen “niet alleen een aanwervingsrisico vormen”, omdat zodra een plaatsing plaatsvindt, de toegang van de werknemer ook geautoriseerd en verwacht wordt.
Dag één was verkenning. Alle drie voerden dxdiag, systeminfo en wmic uit om hun machines te profileren en controleerden vervolgens uit welk land hun verbinding afkomstig leek te zijn. Eén installeerde vervolgens Chrome Remote Desktop en synchroniseerde zijn persoonlijke Google-account met de sandbox, waarbij hij zijn browsegeschiedenis overdroeg, wachtwoorden bewaarde en extensies installeerde. Hij logde in op GitHub op dezelfde machine.
De tooling die bij dit engagement werd waargenomen, verschilde van die in december. De onderzoekers zagen dat 2fa.cn werd gebruikt voor het doorgeven van tweefactorcodes tussen operators; bij de operatie van december waren authenticator.cc en otp.ee gebruikt. Outlook.com verscheen waar voorheen alleen Gmail bestond.
Hun browsers bevatten AI-extensies voor sollicitaties en sollicitatiegesprekken: AIApply, Final Round AI, Simplify Copilot en een tool voor opgeslagen aanwijzingen voor ChatGPT. Het rapport plaatst de infrastructuur op Vultr- en Gorilla-servers en zegt dat AstrillVPN-exitknooppunten overal actief waren.
Silent Push heeft Astrill afzonderlijk gevolgd als een vast onderdeel van Noord-Koreaanse operaties.
De onderzoekers adviseren periodieke identiteitscontroles in plaats van één bij aanwerving, persoonlijke verificatie voor bedrijven die op afstand werken, recruitertraining en het blokkeren van AstrillVPN. In het advies van 31 juli wordt verder opgemerkt dat een enkel account is bereikt vanaf vele adressen in een kort venster en een profieltekst die leest als een automatische vertaling.
Het rapport presenteert de Gemini-verwerkingsmetagegevens en het SynthID-watermerk als afzonderlijke bevindingen, maar legt niet uit hoe het watermerk zelf werd gedetecteerd.
De toeschrijving berust bij de onderzoekers, die het werk deze maand presenteerden op DEF CON 34 in Las Vegas. Ze omschrijven de drie als vermoedelijke Famous Chollima-agenten. CrowdStrike gebruikt die naam voor de Noord-Koreaanse IT-werkorganisatie, terwijl het team deze naam onder de bredere Lazarus-paraplu plaatst.
In de waarschuwing van elf overheden wordt helemaal geen cluster van leveranciers-actoren genoemd. Op 11 augustus had geen enkele overheidsbron die voor dit artikel werd beoordeeld, deze identificatie bevestigd. De echte namen achter de drie persona’s zijn onbekend, en het rapport geeft geen data voor hoe lang het nepbedrijf actief was.
