Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
CrowdStrike e FBI hanno collaborato per smantellare negli Stati Uniti diverse laptop farm riconducibili a FAMOUS CHOLLIMA, gruppo legato alla Corea del Nord. La rete utilizzava identità false o rubate per ottenere impieghi da remoto, incassare stipendi e accedere alle reti aziendali. L'indagine ha coinvolto decine di organizzazioni. Copia abstract
A fine settembre 2026, il team Counter Adversary Operations di CrowdStrike ha collaborato con il Federal Bureau of Investigation (FBI) degli Stati Uniti per smantellare diverse laptop farm operative sul territorio americano, gestite da FAMOUS CHOLLIMA, avversario riconducibile alla Corea del Nord. L’obiettivo era consentire ai propri infiltrati di ottenere impieghi presso aziende statunitensi attraverso identità false o rubate, nascondendo la loro reale posizione geografica.
Le laptop farm permettevano ai falsi dipendenti di FAMOUS CHOLLIMA di presentarsi come lavoratori da remoto legittimi, incassare illecitamente stipendi destinati a finanziare il regime nordcoreano e mantenere un accesso persistente alle reti delle aziende prese di mira. Le informazioni di threat intelligence raccolte da CrowdStrike sulle attività dell’avversario, insieme alle analisi tecniche condotte dal team, hanno contribuito alle operazioni di smantellamento realizzate in collaborazione con l’FBI.
L’intervento rappresenta il primo passo di una più ampia azione delle forze dell’ordine statunitensi per smantellare l’infrastruttura utilizzata da FAMOUS CHOLLIMA negli Stati Uniti. Il team Counter Adversary Operations di CrowdStrike continuerà a svolgere un ruolo importante in queste attività.
Per portare avanti le proprie operazioni di assunzione fraudolenta, i collaboratori di FAMOUS CHOLLIMA devono innanzitutto riuscire a ottenere i laptop forniti dai datori di lavoro. Dal momento che vengono assunti utilizzando identità false o rubate, non possono farsi recapitare le macchine all’estero. Per superare questo ostacolo, ricorrono a diverse tecniche di inganno già durante la fase di onboarding, così da indirizzare le spedizioni dell’hardware aziendale verso le laptop farm.
CrowdStrike OverWatch ha osservato, ad esempio, casi in cui membri del gruppo hanno presentato false denunce di furto alla polizia, dichiarando che il laptop aziendale era stato sottratto, per ottenere la spedizione di un dispositivo sostitutivo a un indirizzo riconducibile a una farm. In queste circostanze venivano utilizzati diversi indirizzi di residenza per nascondere la destinazione finale dei dispositivi. Altri infiltrati hanno invece dichiarato trasferimenti di residenza all’ultimo momento, riuscendo così a modificare l’indirizzo di consegna quando la spedizione era già in corso.
In alcuni casi, FAMOUS CHOLLIMA è riuscito a ottenere posizioni lavorative attraverso agenzie di reclutamento specializzate nel settore IT. In questo modo, i dispositivi venivano recapitati direttamente alle laptop farm all’insaputa delle agenzie.
Una volta arrivato alla farm, il laptop viene configurato da un facilitatore, che installa una combinazione di hardware e software per consentirne l’accesso da remoto. CrowdStrike OverWatch ha rilevato che FAMOUS CHOLLIMA ha cercato di nascondere l’utilizzo di strumenti di Remote Monitoring and Management (RMM), probabilmente rafforzando le proprie misure di sicurezza operativa (OPSEC) in seguito alla pubblicazione di report che ne avevano documentato le attività.
A partire da maggio 2026, FAMOUS CHOLLIMA ha iniziato a ricorrere allo spoofing degli hash dei dispositivi, facendo apparire, ad esempio, una scheda di acquisizione video come una webcam. Più recentemente, gli analisti hanno osservato l’utilizzo dello stesso dispositivo camuffato presso diverse aziende colpite, prassi che evidenzia come il gruppo ricicli deliberatamente gli identificatori per aggirare i controlli, dimostrando una conoscenza puntuale dei parametri monitorati dai team di sicurezza.
È emerso inoltre che l’infrastruttura di rete delle laptop farm condivideva alcuni identificatori tra più identità fittizie contemporaneamente, a dimostrazione della portata e dell’elevato coordinamento dell’organizzazione.
Le laptop farm sono fondamentali per le attività fraudolente di FAMOUS CHOLLIMA perché permettono di superare tre ostacoli che sarebbe difficile affrontare operando esclusivamente dall’estero: uno fisico, uno finanziario e uno legale.
Senza una presenza negli Stati Uniti, gli infiltrati non potrebbero ricevere e configurare i dispositivi forniti dai datori di lavoro, eludere i controlli antifrode basati sulla geolocalizzazione o superare i sistemi di verifica dell’identità necessari per ottenere un accesso apparentemente regolare alle reti aziendali.
Le laptop farm e i loro facilitatori offrono quindi una presenza sul territorio americano di cui gli attaccanti possano servirsi: un indirizzo fisico, un’identità legale e gli strumenti necessari per soddisfare i requisiti di verifica della clientela (Know Your Customer, KYC) previsti dalle procedure di due diligence degli istituti finanziari.
Sebbene lo smantellamento di una singola laptop farm possa avere un impatto limitato sulle attività complessive del gruppo, soprattutto al di fuori dell’area geografica interessata dall’intervento, queste operazioni inviano un segnale preciso all’avversario: le forze dell’ordine e CrowdStrike sono in grado di individuare la sua infrastruttura e di seguirne gli spostamenti.
Tra aprile 2025 e giugno 2026, il team Counter Adversary Operations di CrowdStrike ha identificato le identità fittizie, gli indicatori tecnici e i computer presenti sul territorio statunitense utilizzati da FAMOUS CHOLLIMA per condurre le proprie operazioni di assunzione fraudolenta.
Dall’incrocio tra dati telemetrici e indagini mirate sono emerse le principali identità fittizie del gruppo e la rete di facilitatori che ne supportava le attività sul suolo statunitense.
Gli analisti di CrowdStrike continuano a monitorare le reti dei clienti per proteggerle dai tentativi di infiltrazione di FAMOUS CHOLLIMA e a condividere le informazioni rilevanti con le forze dell’ordine, contribuendo così a contrastarne le attività su più fronti.
Le decine di organizzazioni prese di mira, individuate tra le molte infrastrutture smantellate nell’ambito dell’operazione, appartengono a settori critici, tra cui aerospazio, energia, servizi finanziari, sanità, cybersecurity, ingegneria della difesa, tecnologie per la pubblica amministrazione e tecnologie di consumo.
La varietà dei settori coinvolti riflette la strategia del gruppo nella scelta degli obiettivi: qualsiasi organizzazione che offra opportunità di lavoro da remoto può rappresentare una potenziale fonte di guadagno.
Le attività di FAMOUS CHOLLIMA negli Stati Uniti proseguono. È probabile che l’intervento delle forze dell’ordine rallenti le operazioni del gruppo soltanto nelle aree in cui sono state individuate e smantellate le laptop farm, senza produrre effetti significativi a lungo termine.
FAMOUS CHOLLIMA continuerà quasi certamente a modificare le proprie tecniche per sottrarsi ai controlli e agli interventi delle forze dell’ordine. Questa operazione, tuttavia, trasmette un messaggio chiaro: la sua infrastruttura può essere individuata, i suoi movimenti vengono monitorati e portare avanti le attività fraudolente sta diventando sempre più costoso.
Limitarsi a monitorare le mosse del gruppo non basta. Interventi di contrasto come questo sono essenziali per aumentare i costi delle sue operazioni, costringendolo a ricostruire le infrastrutture, trasferirle altrove e investire nuove risorse che, diversamente, potrebbero essere destinate a finanziare le priorità del regime nordcoreano. Ogni laptop farm smantellata rappresenta una perdita di tempo e denaro che il gruppo difficilmente potrà recuperare.
Per questo motivo, il team di analisti di CrowdStrike conferma il proprio impegno a collaborare con le forze dell’ordine.
Se FAMOUS CHOLLIMA dimostra una notevole capacità di adattamento, la determinazione nel contrastarlo non è da meno. La divisione Counter Adversary Operations di CrowdStrike continuerà a seguirne l’evoluzione, a individuare e rendere note le infrastrutture utilizzate e a collaborare con i propri partner affinché ogni intrusione, ogni assunzione fraudolenta e ogni stipendio sottratto abbiano conseguenze concrete.
Mantenere un elenco aggiornato delle identità fittizie e degli indicatori associati a FAMOUS CHOLLIMA può essere utile, ma queste informazioni cambiano molto rapidamente.
Durante la verifica dell’identità dei potenziali candidati, CrowdStrike raccomanda quindi di effettuare controlli di backgrounde di prestare attenzione ai seguenti segnali:
Sono aperte le iscrizioni al corso in Live Class “AGENTIC AI CYBER OPERATIONS (AACO)”. La cybersecurity sta entrando nell'era degli AI Agent: sistemi capaci di ragionare, utilizzare strumenti, orchestrare attività e portare avanti operazioni complesse. Ma come funzionano davvero dal punto di vista tecnico? Con AACO, Red Hot Cyber porta i professionisti della cybersecurity a toccare con mano gli strumenti agentici, attraverso una Live Class in italiano con 15 ore di formazione, laboratori pratici e scenari reali. Agentic AI, Tool Calling, MCP, orchestrazione di agenti, OSINT, Threat Intelligence, vulnerability assessment e automazione delle operazioni di cybersecurity. Non un corso per imparare a usare un chatbot, ma un percorso per capire, costruire e governare sistemi agentici applicati alla sicurezza informatica.
Partenza: Sabato 7 novembre
Programma completo e iscrizioni: https://www.redhotcyber.com/linksSk2L/academy-agentic-ai
Per info: 379 163 8765 [email protected]