Noord-Koreanen gebruiken valse namen en scripts om voor geld IT-werk op afstand te krijgen

LONDEN, 21 november (Reuters) – Met behulp van valse namen, valse LinkedIn-profielen, valse baanpapieren en valse sollicitatiescripts gebruiken Noord-Koreaanse IT-medewerkers die werk zoeken bij westerse technologiebedrijven geavanceerde trucs om een ​​baan te krijgen.

Het krijgen van een baan buiten Noord-Korea om in het geheim harde valuta te verdienen voor de geïsoleerde staat vereist zeer geavanceerde strategieën om indruk te maken op westerse personeelsmanagers, zo blijkt uit documenten die zijn beoordeeld door Reuters, een interview met een voormalige Noord-Koreaanse IT-medewerker en cybersecurity-onderzoekers.

Volgens de Verenigde Staten, Zuid-Korea en de Verenigde Naties heeft Noord-Korea duizenden IT-medewerkers naar het buitenland gestuurd, een inspanning die de afgelopen vier jaar is toegenomen, om miljoenen binnen te halen voor de financiering van het nucleaire raketprogramma van Pyongyang.

“Mensen zijn vrij om hun gedachten en meningen te uiten”, zegt een transcriptie van een interview dat door softwareontwikkelaars in Noord-Korea wordt gebruikt en dat suggesties biedt over hoe je een “goede bedrijfscultuur” kunt omschrijven wanneer daarom wordt gevraagd. Het vrijuit uiten van je gedachten kan in Noord-Korea met gevangenisstraf worden bestraft.

De teksten van in totaal 30 pagina’s zijn ontdekt door onderzoekers van Palo Alto Networks (PANW.O), een Amerikaans cybersecuritybedrijf dat werkt aan… Ontdek een cache Uit interne onlinedocumenten waarin gedetailleerd wordt beschreven hoe het IT-personeel in Noord-Korea op afstand opereert.

De documenten bevatten tientallen vervalste cv’s, online profielen, interviewaantekeningen en valse identiteiten die Noord-Koreaanse werknemers gebruikten om te solliciteren naar banen in de softwareontwikkeling.

Reuters vond verder bewijs in gelekte dark web-gegevens die enkele van de tools en technieken onthulden die door Noord-Koreaanse werknemers werden gebruikt om bedrijven ervan te overtuigen hen in te huren voor banen zo ver weg als Chili, Nieuw-Zeeland, de Verenigde Staten, Oezbekistan en de Verenigde Arabische Emiraten.

De documenten en verklaringen onthullen de intense en vindingrijke inspanningen van de Noord-Koreaanse autoriteiten om het succes van het plan te verzekeren, dat een essentiële levensader van buitenlandse valuta is geworden voor het regime met geldgebrek.

De Noord-Koreaanse missie bij de Verenigde Naties reageerde niet op een verzoek om commentaar.

Het Amerikaanse ministerie van Justitie zei in 2022 dat IT-werknemers op afstand meer dan tien keer kunnen verdienen wat een typische Noord-Koreaanse werknemer die in het buitenland werkt in de bouw of andere handmatige banen, en dat hun teams samen jaarlijks meer dan $ 3 miljoen kunnen verdienen.

Reuters kon niet vaststellen hoeveel de regeling in de loop der jaren heeft opgeleverd.

Sommige teksten, bedoeld om werknemers voor te bereiden op interviewvragen, bevatten excuses voor de noodzaak om op afstand te werken.

“Ik (reisde) een paar weken geleden naar Singapore. Mijn ouders kregen COVID en ik (besloten) om een ​​tijdje bij familie te blijven. Nu ben ik van plan terug te verhuizen naar Los Angeles”, zegt Richard, een senior embedded ontwikkelaar. . “Over drie maanden Ingelis. Ik denk dat ik nu op afstand kan gaan werken, en dan zit ik in het vliegtuig als ik terugkom in Los Angeles.”

Een Noord-Koreaanse IT-medewerker die onlangs overliep, onderzocht de documenten ook en bevestigde de authenticiteit ervan tegenover Reuters: “We creëerden 20 tot 50 nepprofielen per jaar totdat we werden aangenomen.”

Hij bekeek de teksten, gegevens en documenten en zei dat het precies hetzelfde was wat hij deed, omdat hij de gebruikte tactieken en technieken herkende.

“Zodra ik aangenomen ben, maak ik nog een nepprofiel aan om een ​​tweede baan te krijgen”, zei de werknemer, die vanwege veiligheidsoverwegingen op voorwaarde van anonimiteit sprak.

Dat maakten het ministerie van Justitie en het Federal Bureau of Investigation (FBI) in oktober bekend overgenomen Zeventien websitedomeinen die volgens Noord-Koreaanse IT-medewerkers gebruikten om bedrijven voor 1,5 miljoen dollar op te lichten.

Het ministerie van Justitie zei dat Noord-Koreaanse ontwikkelaars die voor Amerikaanse bedrijven werkten zich achter e-mail- en sociale-media-accounts verborgen onder aliassen en via dit plan jaarlijks miljoenen dollars verdienden namens gesanctioneerde Noord-Koreaanse entiteiten.

“Er bestaat een gevaar voor de Noord-Koreaanse regering dat deze bevoorrechte arbeiders worden blootgesteld aan de gevaarlijke realiteit van de wereld en de gedwongen onderontwikkeling van hun land”, zegt Sokeel Park of Liberty in Noord-Korea (LINK), een organisatie die met overlopers werkt. .

Hard geld

afgelopen jaar, De Amerikaanse regering zei dat Noord-Koreaanse IT-werknemers voornamelijk in China en Rusland zijn gevestigdsommige in Afrika en Zuidoost-Azië, en elk kan tot $300.000 per jaar verdienen.

Op basis van zijn ervaring zei de voormalige IT-medewerker dat van iedereen wordt verwacht dat hij minstens $100.000 verdient, waarvan 30-40% wordt gerepatrieerd naar Pyongyang, 30-60% wordt besteed aan overheadkosten en 10-30% wordt verdiend. Het.

Hij schatte dat er ongeveer 3.000 anderen zoals hij in het buitenland waren, en nog eens 1.000 in Noord-Korea.

‘Ik werkte om vreemde valuta te verdienen’, zei hij tegen Reuters. “Het varieert van persoon tot persoon, maar als je eenmaal een baan op afstand hebt gekregen, kun je in principe minimaal zes maanden werken, of maximaal drie tot vier jaar.”

“Als je geen baan kunt vinden, kun je als freelancer aan de slag.”

De onderzoekers, onderdeel van de 42e Cyber ​​Research Unit in Palo Alto, deden de ontdekking bij het onderzoeken van een campagne van Noord-Koreaanse hackers gericht op softwareontwikkelaars.

Unit 42 zei dat een hacker documenten op een server had achtergelaten, wat erop wijst dat er verbanden zijn tussen Noord-Koreaanse hackers en zijn IT-medewerkers, hoewel de overloper zei dat de spionagecampagnes voorbehouden waren aan een select groepje: “Hackers worden afzonderlijk opgeleid. Taken worden ‘niet aan mensen gegeven’. zoals wij”, zei hij.

Er is nog steeds sprake van kruisbestuiving. Het ministerie van Justitie en de FBI hebben gewaarschuwd dat Noord-Koreaanse IT-medewerkers de toegang zouden kunnen gebruiken om hun werkgevers te hacken, en sommige gelekte cv’s duiden op hun ervaring in cryptocurrency-bedrijven, een sector waar Noord-Koreaanse hackers zich al lang op richten.

Valse identiteiten

Uit gegevens van Constella Intelligence, een bedrijf voor identiteitsonderzoek, bleek dat één werknemer accounts had op meer dan twintig onafhankelijke websites in de Verenigde Staten, Groot-Brittannië, Japan, Oezbekistan, Spanje, Australië en Nieuw-Zeeland.

De werknemer heeft niet gereageerd op een e-mailverzoek om commentaar.

Reuters ontdekte dat de gegevens, verzameld uit lekken op het dark web, ook een account onthulden op een website die digitale sjablonen verkocht om realistisch ogende valse identiteitsdocumenten te maken, waaronder Amerikaanse rijbewijzen, visa en paspoorten.

De documenten die door de eenheid werden ontdekt, omvatten 42 cv’s voor 14 identiteiten, een valse Amerikaanse groene kaart, transcripties van interviews en bewijs dat sommige werknemers toegang tot legitieme online profielen kochten om eerlijker over te komen.

Een ‘Richard’ in Singapore die op zoek was naar werk op afstand in de IT lijkt te verwijzen naar een nepprofiel als ‘Richard Lee’ – dezelfde naam op zijn groene kaart. Het Amerikaanse ministerie van Binnenlandse Veiligheid heeft niet gereageerd op een verzoek om commentaar.

Reuters vond een LinkedIn-account voor Richard Lee met dezelfde profielfoto waarop zijn ervaring bij Jumio, een bedrijf voor digitale identiteitsverificatie, werd vermeld.

Een woordvoerder van Jumio zei: “We hebben geen gegevens waaruit blijkt dat Richard Lee een huidige of voormalige werknemer van Jumio was.” “Jumio heeft geen aanwijzingen dat het bedrijf ooit een Noord-Koreaanse werknemer in zijn personeelsbestand heeft gehad.”

Reuters stuurde een bericht naar het LinkedIn-account met het verzoek om commentaar, maar ontving geen reactie. LinkedIn verwijderde het account nadat Reuters verzoeken om commentaar had ontvangen.

Een woordvoerder van het bedrijf zei: “Ons team gebruikt informatie uit verschillende bronnen om nepaccounts op te sporen en te verwijderen, zoals we in dit geval hebben gedaan.”

Onze normen: Vertrouwensprincipes van Thomson Reuters.