محققان طرح کارمند از راه دور گروه تهدید پیشرفته لازاروس را به صورت زنده ثبت کردند

تحقیقات مشترکی به رهبری مائورو الدریچ، بنیان‌گذار BCA LTD، به همراه ابتکار اطلاعات تهدید NorthScan و ANY.RUN، یکی از پایدارترین طرح‌های نفوذ کره شمالی را افشا کرد: شبکه‌ای از کارگران فناوری اطلاعات از راه دور مرتبط با بخش Famous Chollima گروه لازاروس. برای نخستین بار، محققان توانستند فعالیت عملیات‌گران را به صورت زنده مشاهده کنند و فعالیت آن‌ها را در آنچه که گمان می‌بردند لپ‌تاپ‌های واقعی توسعه‌دهندگان است، ثبت کنند. این دستگاه‌ها در واقع محیط‌های ایمن کاملاً کنترل‌شده و طولانی‌مدت ایجادشده توسط ANY.RUN بودند. عملیات زمانی آغاز شد که هاینر گارسیا از NorthScan خود را به جای یک توسعه‌دهنده آمریکایی جا زد که هدف یک استخدام‌کننده لازاروس با نام مستعار “آرون” قرار گرفته بود. این طرح از الگوی شناخته‌شده‌ای پیروی می‌کرد: سرقت یا استقراض هویت، گذراندن مصاحبه‌ها با ابزارهای هوش مصنوعی، کار از راه دور از طریق لپ‌تاپ قربانی، و انتقال حقوق به کره شمالی.

نشست‌های محیط ایمن (Sandbox) مجموعه ابزاری کارآمد برای تصاحب هویت و دسترسی از راه دور را نشان داد، از جمله ابزارهای اتوماسیون شغلی مبتنی بر هوش مصنوعی (Simplify Copilot، AiApply، Final Round AI) برای تکمیل خودکار درخواست‌ها و تولید پاسخ‌های مصاحبه، تولیدکننده‌های OTP مبتنی بر مرورگر برای مدیریت احراز هویت دومرحله‌ای قربانیان، و Google Remote Desktop برای کنترل دائمی سیستم میزبان. اتصالات به طور مداوم از طریق Astrill VPN مسیریابی می‌شدند که الگویی مرتبط با زیرساخت‌های قبلی لازاروس است. این تحقیق هشداری برای شرکت‌ها است که استخدام از راه دور به نقطه ورود بی‌سر و صدا اما قابل اعتمادی برای تهدیدات مبتنی بر هویت تبدیل شده و مهاجمان می‌توانند به داشبوردهای داخلی، داده‌های حساس تجاری و حساب‌های سطح مدیریتی دسترسی پیدا کنند.