США ликвидировали более 40 «ноутбучных ферм» по делу о северокорейских IT-работниках

Министерство юстиции США во вторник предъявило обвинения 14 людям и изъяло около 187 компьютеров в рамках продолжающейся кампании против мошеннической схемы, по которой северокорейские IT-специалисты устраивались на удалённую работу в западные компании.

Среди обвиняемых — граждане США и КНР. Им вменяют сговор с целью мошенничества с использованием электронных средств связи, отмывание денег, сговор с целью хищения персональных данных и отягчённую кражу личности. Схема затронула более 70 американских компаний и действовала примерно с 2019 года до июля 2025-го. Двое граждан США — Карильо и Бостелл — арестованы, остальные остаются на свободе. Ещё один американец, Трей Майкл Нолти, упомянут в обвинении, но пока не привлечён: по версии следствия, он управлял подставной фирмой Dark Falls LLC, якобы занимавшейся разработкой ПО.

«Ноутбучные фермы» и поддельные личности

В ходе рейдов с 21 по 25 сентября 2026 года в Техасе было ликвидировано более 40 так называемых ноутбучных ферм. Суть схемы (её отслеживают под именами Famous Chollima, purpledelta и Wagemole) в том, что граждане КНДР под чужими или вымышленными именами получают работу, а часть зарплаты переправляют режиму — в обход санкций, на финансирование ядерной и военной программ. Американские пособники размещают у себя выданные работодателями ноутбуки, настраивают удалённый доступ и открывают банковские счета, создавая видимость сотрудника из США. За это они получают вознаграждение. Всего схема принесла около 3 млн долларов, а среди пострадавших — компании здравоохранения, связи, розницы и производства по всей стране.

По данным CrowdStrike, злоумышленники изобретательно перенаправляют технику на фермы: подают фиктивные заявления о краже ноутбука, чтобы получить замену, меняют адреса, ссылаются на внезапные переезды. С мая 2026 года наблюдается подмена аппаратных идентификаторов — например, устройство выдаёт себя за веб-камеру. Ферма, отмечают аналитики, служит «арендованным присутствием в США» для прохождения проверок «знай своего клиента». При этом разгром отдельных ферм лишь временно замедлит операцию.

Новые приёмы

ФБР в отдельном предупреждении указало, что северокорейцы всё чаще перепоручают работу фрилансерам из Южной Азии и Западной Африки — Пакистана, Индии, Нигерии, — платя им долю зарплаты. Те же исполнители помогают массово откликаться на вакансии и проходить собеседования. Злоумышленники используют личности пособников без разрешения, вербуют финансово уязвимых американцев, сочиняют легенды (например, о статусе беженца из-за войны в Украине) и присваивают чужие профили в соцсетях. Новая и тревожная тенденция — угрозы насилием в адрес бывших руководителей и их семей. Отдельная цель — должности с допуском к гостайне, оборонные подрядчики и военнослужащие, которых просят разместить у себя ноутбуки.

Источник: The Hacker News