Non sono freelance, sono spie! Il piano degli hacker coreani per farsi assumere da remoto

Redazione RHC : 12 Maggio 2025 14:57

Il programma per l’assunzione di specialisti IT provenienti dalla RPDC continua ad espandersi, includendo nuove regioni e settori. Il gruppo NICKEL TAPESTRY, che da tempo opera in incognito nel settore informatico, ha intensificato le sue attività al di fuori degli Stati Uniti, prendendo di mira aziende in Europa e in Asia, tra cui il Giappone. Il motivo di questo cambiamento è la crescente attenzione alla minaccia negli Stati Uniti e alle contromisure adottate, che hanno costretto gli organizzatori a riorientarsi.

I candidati fraudolenti della RPDC continuano a spacciarsi per professionisti provenienti da Vietnam, Singapore, Giappone e Stati Uniti. Per convincere i datori di lavoro, gli aggressori adattano profili falsi falsificando foto, utilizzando l’intelligenza artificiale generativa, modificando le impronte digitali e persino cambiando genere: nel 2025, il numero di profili “femminili” è aumentato drasticamente.

L’obiettivo principale rimane lo stesso: uno stipendio stabile che possa poi essere utilizzato per finanziare gli interessi dello Stato nordcoreano. Tuttavia, sullo sfondo, sta emergendo un movente sempre più pericoloso: l’estorsione di dati. Nel 2024 sono stati registrati diversi tentativi di ricatto tramite l’utilizzo di codice sorgente e proprietà intellettuale rubati. Tali casi si verificano non solo dopo il licenziamento, ma anche nelle prime fasi del lavoro, a volte solo pochi giorni dopo l’inizio del rapporto di lavoro.

Inoltre, le aziende sono esposte al rischio dei classici sabotaggi interni: furto di credenziali, accesso non autorizzato alle infrastrutture cloud e alle API, furto di informazioni riservate. L’accesso ottenuto in questo modo può essere trasferito ad altri gruppi di hacker della RPDC per ulteriori attacchi.

Nella fase di assunzione, i truffatori utilizzano metodi avanzati. I curriculum sono corredati da fotografie modificate, in cui i tratti reali sono sovrapposti alle immagini di repertorio. Vengono utilizzati strumenti di intelligenza artificiale generativa, tra cui reti neurali per la generazione di testi e immagini, nonché generatori automatici di curriculum.

Subito dopo l’inizio dei lavori, inizia l’attività tecnica: vengono installate utility per simulare l’attività del mouse, VPN, diversi strumenti RMM e KVM over IP per il controllo remoto. Alcuni “dipendenti” tengono le sessioni Zoom in esecuzione per ore condividendo lo schermo e insistono nell’utilizzare dispositivi personali anziché laptop aziendali, il che riduce l’efficacia dei controlli aziendali.

Gli esperti della CTU sottolineano l’importanza del fattore umano nel contrastare tali schemi. Il processo di assunzione deve rafforzare la verifica dell’identità e monitorare attentamente l’impronta digitale dei candidati. Si consiglia di controllare i curriculum per individuare eventuali cloni, confrontare i numeri forniti con i database VoIP, porre domande di approfondimento, verificare la conoscenza della lingua inglese e richiedere la disattivazione temporanea dei filtri digitali durante i colloqui video.

Durante l’onboarding, vale la pena verificare attentamente l’identità del nuovo dipendente, prestando attenzione ai tentativi di modificare l’indirizzo di consegna delle attrezzature, utilizzare dispositivi personali o modificare i dati bancari.

Una volta che un dipendente torna al lavoro, è necessario monitorare la sua attività attraverso EDR , controllare le connessioni di rete tramite VPN, limitare l’accesso ai sistemi critici e diffidare dei rifiuti in caso di videochiamate o della presenza di rumore di fondo tipico dei call center.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli