Kuzey Kore’nin, Batılı şirketlere sahte IT çalışanları yerleştirme planı, bir operatörün kendisini takip eden firmaya iş başvurusu yapmasıyla deşifre oldu. Risk istihbaratı sağlayıcısı Nisos, Haziran 2025’te Florida merkezli olduğu iddia edilen bir yapay zeka mimarının şirketlerine uzaktan iş başvurusunda bulunmasıyla başlayan süreci detaylandırdı. Başvuru, aktif bir dolandırıcılık hücresinin iç yüzünü ortaya çıkardı.
Sahte adayın özgeçmişi, Nisos’un iş ilanını neredeyse birebir yansıtıyor ve belirtilen çalışma dönemlerinde var olmayan araçları listeliyordu. Yeni oluşturulmuş bir e-posta adresi, VoIP telefon numarası ve birbiriyle çelişen özgeçmişler şüpheleri artırdı. Nisos, mülakatların şüpheyi doğruladığını belirtti: Adayın gözleri ekranda okur gibi geziniyordu ve şirket, bir yapay zeka aracının gerçek zamanlı yanıtlar sağladığı sonucuna vardı. Bunu teyit etmek için ekip, hayali bir kasırga uydurarak adayın Florida’daki evini nasıl etkilediğini sordu. Aday, hiç yaşanmamış bir fırtınadan hafif yağmur ve rüzgar bildirdi.
Nisos, adayı reddetmek yerine oyunu sürdürdü. Şirket, operatörün bağlantılarını Astrill VPN üzerinden izlemek için canary token’lar kullandı. VPN hizmeti, Kuzey Koreli çalışanlar tarafından tercih ediliyor. İş dizüstü bilgisayarının teslimat adresi, ne özgeçmişteki ne de kimliği çalınan gerçek Floridalı’nın adresiyle eşleşmiyordu. Nisos, özel donanımlı bir dizüstü bilgisayarı adrese gönderdi ve kamerası aracılığıyla, bir dolapta istiflenmiş makinelerden oluşan bir ‘laptop farm’ (dizüstü bilgisayar çiftliği) gördü.
Cihazlar, uzaktaki bir operatörün bilgisayarı başında oturuyormuş gibi kontrol etmesini sağlayan PiKVM donanımıyla yönetiliyordu. PiKVM, işletim sistemi açılmadan önce bile müdahaleye izin veriyor ve kurumsal güvenlik yazılımları tarafından tespit edilmesi zor. Nisos’un erişimi, hücrenin yapılandırmasını ortaya çıkardı: Ağda yaklaşık 40 cihaz vardı, bunların 20’si aktif olarak kullanılıyordu. Birden fazla kimlikle farklı şirketlerde aynı anda çalışılıyor, makineler Tailscale mesh VPN ile birbirine bağlanıyor ve laptop farm’ları ABD topraklarında gönüllü Amerikalılar barındırıyordu.
Nisos, ABD genelinde yüzlerce şüpheli laptop farm’ı olduğunu belirtiyor. Maaşlar, çalıntı kimliklerle açılan Amerikan banka hesapları üzerinden Kuzey Kore’ye aktarılıyor. ABD yetkilileri daha önce bu tür gelirlerin rejimin yaptırım uygulanan silah programlarını finanse ettiğini söylemişti. Bu durum, uzaktan işe alım süreçlerinin ulusal güvenlik riski oluşturduğunu gösteriyor.
Teknik Analiz
Nisos, işverenleri uzaktan işe alımı bir güvenlik sorunu olarak ele almaya çağırıyor: Referans kontrollerinin derinleştirilmesi, yapay zeka yönlendirmesini ortaya çıkarmak için mülakatlara beklenmedik sorular eklenmesi ve işe alım sonrası cihaz davranışlarının izlenmesi öneriliyor. Standart tarama yöntemleri, bu kadar iyi hazırlanmış operatörleri yakalamakta artık yetersiz kalıyor.
Kaynak: infosecurity-magazine.com
