Удалённая работа снова превратилась для американских компаний в канал скрытого доступа из-за рубежа. Минюст США объявил о серии действий против схемы с IT-работниками КНДР: ФБР проверило более 40 адресов в Техасе, задержало двух человек и изъяло около 187 ноутбуков и KVM-устройств.
Операция Lonestar Roundup прошла с 21 по 25 сентября. Следователи посещали дома, которые считали известными или предполагаемыми «фермами ноутбуков». Посредники держали там выданные работодателями компьютеры, подключали средства удалённого доступа и позволяли людям за пределами США выглядеть как обычные сотрудники, работающие из страны.
Параллельно федеральное жюри предъявило обвинения 14 фигурантам. Двое граждан США, Майкл Джеймс Бостелл и Хуан Сесилио Пенья Каррильо, арестованы. По версии следствия, с 2019 года примерно до июля 2025-го участники помогали получать вакансии под украденными или вымышленными личностями, использовали VPN и прокси, а зарплаты переводили на подконтрольные КНДР счета.
Следствие связывает одну из схем более чем с 70 американскими работодателями и примерно $3 млн дохода. Среди пострадавших оказались компании из здравоохранения, связи, ритейла, производства и сферы киберподдержки. Механика давно строится вокруг ферм ноутбуков, которые дают удалённому сотруднику локальный IP-адрес и физическое присутствие оборудования в нужной стране.
CrowdStrike относит связанную инфраструктуру к группе Famous Chollima. Компания наблюдала, как кандидаты перенаправляли корпоративные устройства на нужные адреса, заявляли о якобы украденных ноутбуках ради повторной отправки и маскировали оборудование для удалённого управления. В некоторых случаях одинаковые идентификаторы устройств встречались сразу в нескольких организациях.
ФБР предупредило, что схема меняется по мере улучшения проверок при найме. Операторы всё чаще привлекают посредников для собеседований, подтверждения личности, хранения техники и доступа к аккаунтам, а часть реальной работы передают сторонним фрилансерам. Ранее похожая инфраструктура уже фигурировала в делах о подставных сотрудниках.
По данным ФБР, отдельного признака для надёжного выявления таких кандидатов больше недостаточно. Служба советует сочетать проверку личности вживую, контроль рабочих устройств, анализ необычной смены адресов и аккаунтов, а также совместную проверку со стороны HR, IT и службы безопасности. Простые чёрные списки агентство считает ненадёжными и склонными к ложным срабатываниям.
Минюст подчёркивает, что обвинения пока остаются утверждениями стороны обвинения и должны быть доказаны в суде. Операция в Техасе ударила по физической инфраструктуре схемы, но CrowdStrike считает эффект локальным: сеть продолжает работать и адаптируется, распределяя ноутбуки по большему числу небольших площадок, чтобы потеря одной точки не останавливала всю цепочку.
