Die Aktion war eine Fortsetzung einer früheren Untersuchung. Laut Quelltext hatten Mauro Eldritch von BCA LTD, Heiner García von NorthScan und ANY.RUN Ende 2025 bereits als vermeintlicher Vermittler agiert, der seine Identität zur Miete anbietet. Darüber berichtete The Hacker News im Dezember. Diesmal übernahmen die Forscher die Rolle des Arbeitgebers und bauten ein falsches DeFi-Protokoll namens Ballena Azul auf.
Der erste Entwickler kam demnach über einen Recruiter ins Spiel, der auf GitHub nach Vermittlern suchte. Dieser Entwickler empfahl einen Freund, der wiederum einen dritten Kandidaten ins Spiel brachte. Nach Angaben der Forscher nutzte niemand eine technische Schwachstelle aus; der Zugang erfolgte vollständig über den Einstellungsprozess.
Auffällig waren vor allem die Identitätsunterlagen. Der erste Eingestellte gab zunächst an, in Pasadena in Texas zu leben, schickte dann aber einen kalifornischen Führerschein und ein Bankkonto aus New York. Die Forscher erklärten, die Metadaten des Bildes hätten gezeigt, dass es mit Google Gemini verarbeitet worden sei. Außerdem meldeten sie ein SynthID-Wasserzeichen, also die unsichtbare Kennzeichnung, die Google in Bilder einbettet, die mit seinen KI-Werkzeugen erstellt oder bearbeitet wurden.
Der zweite Kandidat legte einen Führerschein aus Texas, eine gültige Sozialversicherungsnummer und ein Bankkonto in Kansas City vor. Der dritte schickte einen Führerschein aus New York, der einer anderen Person gehörte, sowie ein echtes Foto eines iPhone 15, bei dem die GPS-Koordinaten entfernt worden waren. Der Bericht führt die Gemini-Metadaten und das SynthID-Wasserzeichen als getrennte Befunde auf, erläutert aber nicht, wie das Wasserzeichen selbst erkannt wurde. Die Gemini-App kann Bilder laut Quelltext auf ein SynthID-Wasserzeichen prüfen, erkennt jedoch nur Inhalte, die von Googles KI-Modellen erzeugt oder bearbeitet wurden; ein negatives Ergebnis schließt Bearbeitung durch andere Werkzeuge nicht aus.
Nach dem ersten Arbeitstag stand Aufklärung im Vordergrund. Alle drei führten dxdiag, systeminfo und wmic aus, um ihre Systeme zu profilieren, und prüften anschließend, aus welchem Land ihre Verbindung zu stammen schien. Einer installierte danach Chrome Remote Desktop und synchronisierte sein persönliches Google-Konto mit der Sandbox. Dadurch wurden laut Bericht Browserverlauf, gespeicherte Passwörter und installierte Erweiterungen offengelegt. Außerdem meldete er sich auf derselben Maschine bei GitHub an.
Die beobachteten Werkzeuge unterschieden sich nach Angaben der Forscher von der Operation im Dezember. In diesem Fall sahen sie 2fa.cn für die Weitergabe von Zwei-Faktor-Codes zwischen mehreren Beteiligten; in der früheren Operation seien authenticator.cc und otp.ee genutzt worden. Zudem tauchte Outlook.com auf, wo zuvor ausschließlich Gmail verwendet worden sei. In den Browsern fanden sich Erweiterungen für KI-gestützte Bewerbungen und Unterstützung bei Vorstellungsgesprächen, darunter AIApply, Final Round AI, Simplify Copilot sowie ein Werkzeug für gespeicherte Eingabeaufforderungen für ChatGPT. Die Infrastruktur verortet der Bericht bei Vultr und Gorilla Servers; außerdem seien durchgehend AstrillVPN-Ausgangsknoten verwendet worden. Silent Push hat Astrill separat als festen Bestandteil nordkoreanischer Operationen verfolgt.
Der gemeinsame Warnhinweis vom 31. Juli erklärt, nordkoreanische IT-Arbeiter suchten Verträge mit der Absicht, ihre Gehälter an übergeordnete nordkoreanische Stellen weiterzuleiten. Er nennt auch Dokumente, die „mit Bildbearbeitungssoftware gefälscht oder verändert“ wurden, als Warnsignal für Arbeitgeber. Weitere Hinweise seien ein einzelnes Konto, das in kurzer Zeit von vielen Adressen aus erreicht wird, sowie Profiltexte, die wie maschinelle Übersetzung wirken.
Im April verurteilte das Justizministerium in einem getrennten Fall zwei Helfer in den USA. Laut Quelltext platzierte das Schema Arbeiter bei mehr als 100 US-Unternehmen unter Verwendung von mindestens 80 gestohlenen Identitäten und brachte Nordkorea mehr als 5 Millionen US-Dollar ein. Die realen Namen hinter den drei in der aktuellen Untersuchung verwendeten Personas sind unbekannt; der Bericht nennt auch keine Zeitangaben dazu, wie lange das Scheinunternehmen betrieben wurde.