Threat intelligence रिसर्चर्स ने एक फेक Decentralized Finance (DeFi) स्टार्टअप बनाया, उसमें नॉर्थ कोरियन IT वर्कर्स को डेवलपर के तौर पर हायर किया और अंदर से उनकी हरकतों पर नजर रखी।
इस ऑपरेशन ने आम तौर पर होने वाली घुसपैठ की प्रक्रिया को पलट दिया। हैकर्स को पकड़ने के बजाय, रिसर्चर्स ने देखा कि इंटरव्यू क्लियर करने के बाद ये लोग कैसे काम करते हैं।
फेक स्टार्टअप ने नॉर्थ कोरियन IT वर्कर्स को कैसे एक्सपोज किया
यह जांच BCA LTD के Mauro Eldritch, NorthScan के Heiner García और ANY.RUN की जॉइंट एफर्ट थी। रिसर्चर्स ने Ballena Azul LTD नाम से एक प्रोटोकॉल क्रिप्टोकरेंसी व्हेल्स को सर्विस देने के लिए रजिस्टर किया।
उन्होंने इसके लिए एक वेबसाइट, कॉर्पोरेट ब्रांडिंग और UK कंपनी की रजिस्ट्रेशन भी करवाई ताकि स्टार्टअप पूरी तरह जेन्युइन लगे। रिसर्चर्स ने खुद को फाउंडर्स और टीम लीड बताया।
रिसर्चर्स ने ANY.RUN सैंडबॉक्स प्लेटफॉर्म को वर्क एनवायरनमेंट की तरह यूज़ किया। इससे ऑपरेटिव्स की हर मूवमेंट रिकॉर्ड होती रही। Angelo Cruz, जो GitHub पर मिला था, उसने टीम को पहला डेवलपर उपलब्ध कराया।
पहले डेवलपर ने एक दूसरे को सजेस्ट किया, और उसने फिर एक तीसरे को बुलाया। तीनों ने इंटरव्यू क्लियर किए और उन्हें वर्चुअल डेस्कटॉप की एक्सेस दी गई, जो असल में कंट्रोल्ड रिकॉर्डिंग एनवायरमेंट थे।
रिपोर्ट में इन ऑपरेटिव्स को पूरे समय Famous Chollima ग्रुप के सदस्य के तौर पर डिस्क्राइब किया गया है, जो North Korea के Lazarus Group से जुड़ा है और वेस्टर्न कंपनियों में फेक IT वर्कर्स प्लेस करने के लिए फेमस है।
लेटेस्ट न्यूज़ के लिए हमें X पर फॉलो करें
रिसर्चर्स ने क्या-क्या पाया
डेवलपर्स ने ऑनबोर्डिंग के दौरान फर्जी US credentials सब्मिट किए। इनमें ड्राइवर लाइसेंस, चोरी किए गए Social Security नंबर, और Lead Bank, Citibank, तथा Wise के अकाउंट शामिल थे।
एक लाइसेंस के मेटाडेटा से खुलासा हुआ कि वह Google Gemini से प्रोसेस किया गया था और उसमें SynthID वॉटरमार्क एम्बेडेड था। इससे फर्जीवाड़ा तुरंत एक्सपोज हो गया।
“अब हमारे पास फेक आइडेंटिटी, चोरी किए गए SSN, म्यूल बैंक अकाउंट, पॉसिबल फैसिलिटेटर सेफ हाउस और ट्रांजेक्शन हिस्ट्री वाले क्रिप्टोकरेंसी वॉलेट थे,” रिसर्चर्स ने लिखा।
वर्कर्स ने काफी हद तक आर्टिफिशियल इंटेलिजेंस पर डिपेंड किया। वे ChatGPT से ऐसा कोड लिखवा रहे थे, जिसे शायद खुद नहीं समझते थे, और अपने टास्क पूरे कर रहे थे। इंटरव्यू और डेली स्टैंडअप में लाइव ट्रांसलेशन टूल भी चलते रहे।
ऑपरेशन में सपोर्टिंग इन्फ्रास्ट्रक्चर भी उजागर हुआ। रिसर्चर्स ने AstrillVPN के एग्जिट नोड, Vultr और Gorilla Servers पर होस्टेड सर्वर और ट्रांजेक्शन हिस्ट्री वाले क्रिप्टोकरेंसी वॉलेट्स लॉग किए। एक ऑपरेटिव सर्वर पहले से थ्रेट इंटेलिजेंस फीड्स में टैग था, जिससे पता चला कि वह पहले के कैंपेन से रियूज़ किया गया था।
“रिपोर्ट में लिखा है कि ये नतीजे दिखाते हैं कि DPRK IT वर्कर स्कीम्स सिर्फ हायरिंग रिस्क नहीं हैं। एक बार अंदर पहुँचने के बाद, ऑपरेटिव्स को कोड, सिस्टम, इंटेलेक्चुअल प्रॉपर्टी और भरोसेमंद बिजनेस प्रोसेस में वैध एक्सेस मिल सकती है।”
North Korean हैकर्स क्रिप्टो इंडस्ट्री के लिए लगातार खतरा बने हुए हैं। TRM Labs ने अप्रैल 2026 तक की क्रिप्टो-हैक लॉसेज़ का 76% हिस्सा DPRK क्रूज़ को बताया है। 2025 में चोरी $2 बिलियन तक पहुँच चुकी थी।
इनफिल्ट्रेशन का ये तरीका अलग है। North Korean वर्कर इंजीनियर्स बनकर रिमोट जॉब्स जीत लेते हैं, फिर सीक्रेट्स चुरा लेते हैं या वापस आने का रास्ता सेट कर देते हैं। एक Ethereum (ETH)-फंडेड प्रोजेक्ट ने पहले 53 क्रिप्टो प्रोजेक्ट्स में 100 संदिग्ध North Korean IT वर्कर्स को चिन्हित किया था।
हमारे YouTube चैनल को सब्सक्राइब करें और लीडर्स व जर्नलिस्ट्स के एक्सपर्ट इनसाइट्स देखें
