Във вторник фирмата KnowBe4 от Флорида, която се занимава с обучение за повишаване на осведомеността за сигурността, съобщи, че севернокорейски агент, представящ се за софтуерен инженер, се е измъкнал от проверките за наемане и през първите 25 минути на работа се е опитал да внедри зловреден софтуер в работна станция на компанията.

KnowBe4 заяви, че нейният екип по сигурността е открил подозрителни дейности, идващи от работната станция на новоназначен главен софтуерен инженер, и бързо е установил, че злонамереният вътрешен човек е използвал Raspberry Pi, за да изтегли зловреден софтуер, да манипулира файловете с историята на сесиите и да изпълнява неоторизиран софтуер.

„Изпратихме им работната им станция Mac и в момента, в който я получихме, тя веднага започна да зарежда злонамерен софтуер“, каза главният изпълнителен директор на KnowBe4 Стю Сюуерман.

Сюуерман заяви, че служителят, чиято самоличност е разкрита като AI deepfake, е един от стотиците случаи на севернокорейски агенти на националната държава, които се представят за ИТ работници, за да проникнат в стотици американски компании. Само миналия месец правителството на САЩ обяви обвинения, конфискации и арести за прекъсване на схема, при която севернокорейски ИТ работници са проникнали в стотици компании и са спечелили милиони долари за Северна Корея.

KnowBe4 заяви, че за първи път е сигнализирала за инцидента на 15 юли 2024 г. в 21:55 ч. по Гринуич, когато софтуер за борба с малуера е изпратил предупреждения за аномална дейност. При разследването новият служител е заявил, че е следвал стъпките в ръководството на рутера си, за да отстрани проблем със скоростта, и че това може да е довело до компрометиране.

Въпреки това Сюуерман заяви, че нападателят е извършил различни действия за манипулиране на файловете с историята на сесиите, прехвърляне на потенциално вредни файлове и изпълнение на неоторизиран софтуер.

„Той е използвал Raspberry Pi, за да изтегли зловредния софтуер. Опитахме се да получим повече подробности от [служителя], включително да му се обадим, [но] той каза, че не е на разположение за разговор и по-късно не реагира.“

Около 22:20 ч. по Гринуич (EST) Сюуерман заяви, че компанията е овладяла заразената работна станция и подчерта, че „не е получен или компрометиран достъп до системите на KnowBe4“.

„Начинът, по който това работи, е, че фалшивият работник иска работната му станция да бъде изпратена на адрес, който по същество е „ферма за лаптопи на ИТ мулета“. След това те влизат в VPN от мястото, където наистина се намират физически (Северна Корея или отвъд границата в Китай), и работят нощна смяна, така че да изглежда, че работят през деня в САЩ“, добави Сюуерман.

„Измамата се състои в това, че те всъщност вършат работата, получават добро заплащане и дават голяма сума на Северна Корея, за да финансира незаконните си програми. Не е нужно да ви казвам за сериозния риск от това“.

Главният изпълнителен директор на KnowBe4 предупреди, че неидентифицираният севернокорейски оперативен работник е показал „високо ниво на социален инженеринг при създаването на правдоподобна прикриваща самоличност, използвайки слабости в процесите на наемане и проверка на миналото и опитвайки се да се утвърди“ в неговата компания.