Nordkoreanska spioner avslöjade – hade IT-jobb på över 70 bolag

Den amerikanska federala polisen FBI har slagit till mot ett omfattande nätverk som misstänks ha hjälpt nordkoreanska IT-arbetare att få anställning hos amerikanska företag. Vid insatser i Texas beslagtogs omkring 187 datorer och annan utrustning som använts för att ge personer utomlands tillgång till företagens interna system.

Enligt det amerikanska justitiedepartementet har över 70 företag påverkats av upplägget, som ska ha genererat omkring tre miljoner dollar i intäkter. Pengarna misstänks ha förts vidare till organisationer kontrollerade av den nordkoreanska regimen.

Fick jobb med stulna identiteter

Till skillnad från traditionella cyberattacker behövde de misstänkta aktörerna inte nödvändigtvis bryta sig in i företagens system. I stället sökte de vanliga IT-jobb, genomförde rekryteringsprocesser och fick tillgång till företagens utrustning som anställda.

Enligt åtalet använde de stulna eller förfalskade identitetshandlingar för att utge sig för att vara amerikanska arbetstagare. Genom VPN-tjänster och andra tekniska lösningar kunde de samtidigt dölja var de egentligen befann sig.

För att få upplägget att fungera tog de hjälp av personer bosatta i USA. Dessa tog emot företagens jobbdatorer, installerade program för fjärråtkomst och såg till att utrustningen förblev ansluten till internet.

På så sätt kunde en person utanför USA arbeta genom en dator som fysiskt befann sig i landet. Företagets säkerhetssystem kunde därmed se anslutningar från en till synes legitim arbetsmiljö, trots att någon annan kontrollerade datorn.

FBI slog till mot över 40 adresser

Operationen, som fått namnet Operation Lonestar Roundup, genomfördes bland annat mellan den 21 och 25 september. FBI genomsökte över 40 bostäder i Texas som misstänktes användas som så kallade laptop farms, platser där stora mängder företagsdatorer förvarades och fjärrstyrdes.

Två amerikanska medborgare har gripits och totalt 14 personer omfattas av åtalet, varav två fortfarande har hemliga identiteter. De misstänkta brotten omfattar bland annat bedrägeri, penningtvätt och identitetsstöld.

De aktuella anklagelserna är ännu inte rättsligt prövade och de åtalade betraktas som oskyldiga tills motsatsen bevisats.

Företagens egna anställda blir säkerhetsrisken

Det som gör metoden särskilt svår att upptäcka är att den misstänkta angriparen kan ha helt legitima behörigheter. En anställd utvecklare kan exempelvis behöva tillgång till källkod, interna dokument och tekniska system för att kunna utföra sitt arbete.

Om personen bakom anställningen arbetar för en främmande stat kan samma åtkomst användas för att kopiera känslig information eller samla in företagshemligheter.

FBI varnar för att nordkoreanska IT-arbetare inte bara använder anställningarna för att tjäna pengar. De har även kopplats till datastölder och utpressning, där företag pressas på pengar genom hot om att känslig information ska offentliggöras.

I en ny säkerhetsvarning beskriver FBI dessutom hur metoderna utvecklats. Nordkoreanska aktörer uppges numera anlita andra personer för att genomföra anställningsintervjuer, verifiera identiteter och till och med utföra hela arbetsuppdrag åt dem.

Distansarbete öppnar en ny väg in

Upplägget visar en säkerhetsrisk som även är relevant för svenska företag med internationell rekrytering. När anställda arbetar på distans kan det vara svårt att säkerställa att personen som använder företagets dator verkligen är den som anställts.

Enligt FBI använder de misstänkta aktörerna bland annat fjärrstyrningsprogram som AnyDesk, TeamViewer och Chrome Remote Desktop. De kan även använda särskild KVM-utrustning som gör det möjligt att styra datorns tangentbord, mus och bildskärm över nätverket.

Det innebär att en dator kan användas på distans utan att angriparen behöver vara fysiskt närvarande. Eftersom liknande teknik också används för legitim IT-support räcker det inte att enbart leta efter installerade fjärrstyrningsprogram.

FBI rekommenderar därför att företag kombinerar identitetskontroller under rekryteringen med löpande säkerhetsgranskning. Det handlar bland annat om att kontrollera ovanliga fjärranslutningar, granska åtkomst till känsliga system och uppmärksamma misstänkta förändringar i anställdas kontouppgifter.

Myndigheten betonar samtidigt att enskilda varningssignaler inte bevisar att en anställd är en bedragare. Säkerhetskontrollerna behöver bygga på flera samverkande indikatorer för att undvika att oskyldiga personer misstänkliggörs.

Pengarna misstänks finansiera Nordkoreas vapenprogram

Enligt det amerikanska justitiedepartementet är verksamheten en del av Nordkoreas försök att kringgå internationella sanktioner och skapa intäkter till staten. Pengarna från IT-arbetarnas anställningar misstänks bland annat bidra till landets militära program.

TechCrunch rapporterar att den senaste insatsen är en del av en större amerikansk satsning mot nordkoreanska cyberoperationer. Tidigare utredningar har också kopplat regimen till omfattande kryptovalutastölder och attacker mot företag.

För företagen handlar hotet därmed inte bara om att skydda sina nätverk från externa angripare. De måste också kunna säkerställa vem som faktiskt sitter bakom tangentbordet när en ny medarbetare får tillgång till känslig information.