Im Zentrum der Untersuchung steht die Beobachtung, dass es in solchen Fällen meist keinen einzelnen, eindeutigen Hinweis gibt. Nach Darstellung der Forscher ergeben sich die Warnsignale vielmehr aus kleineren Unstimmigkeiten über den gesamten Einstellungsprozess hinweg. Die bereits bekannte Untersuchung „Famous Chollima“ habe ebenfalls gezeigt, dass betrügerische Arbeitskräfte selten durch ein einziges Merkmal auffallen, sondern durch Hinweise in Identitätsdokumenten, Interviews, Standortdaten, Infrastruktur und Aktivitäten nach dem Onboarding.
Die Untersuchung von Mauro Eldritch, Heiner García und ANY.RUN beschreibt mehrere Auffälligkeiten bei den Identitäten. Die Forscher stießen auf manipulierte Ausweisdokumente, gestohlene Identitäten, widersprüchliche persönliche Angaben und Finanzdaten, die nicht immer zu der eingestellten Person passten. Für sensible Remote-Rollen sollten laut den Autoren deshalb mehrere voneinander unabhängige Signale in die Identitätsprüfung einfließen. Dokumente, Standort, Verhalten im Interview, Beschäftigungsverlauf und finanzielle Angaben müssten eine stimmige Gesamtgeschichte ergeben, bevor Zugang freigegeben werde.
Besonders hohe Aufmerksamkeit empfehlen die Forscher bei Rollen mit Zugriff auf Quellcode, Cloud-Infrastruktur, Produktionssysteme oder Finanzwerte. In ihrer eigenen Untersuchung setzten sie speziell konfigurierte ANY.RUN-Sandboxen ein, um die Aktivitäten der operativen Kräfte zu beobachten, ohne reale Unternehmenssysteme zu gefährden. So konnten sie sehen, welche Dateien geöffnet wurden, welche Werkzeuge zum Einsatz kamen und welche Netzwerkverbindungen aufgebaut wurden — Informationen, die sich allein mit Identitätsprüfungen nur schwer erfassen lassen.
Nach Einschätzung der Autoren sollten Sicherheitsteams ein ähnliches Prinzip anwenden, wenn im Umfeld von Mitarbeiteraktivitäten verdächtige Dateien, Links, Skripte oder Werkzeuge auftauchen. Statt sich nur auf Warnmeldungen oder isolierte Indikatoren zu stützen, könnten Teams in interaktiven Sandboxen wie ANY.RUN prüfen, wie sich die Aktivität tatsächlich verhält, und vor einer Eskalation oder Eindämmung belastbarere Hinweise sammeln. Das könne Unsicherheit verringern, Reaktionen beschleunigen und das Risiko senken, dass verdächtige Aktivitäten kritische Systeme erreichen.
Ein weiterer Schwerpunkt der Untersuchung ist die Infrastruktur der mutmaßlichen Operativen. Die Forscher identifizierten unter anderem IP-Adressen, VPN-Endpunkte und VPS-Anbieter. Sicherheitsteams können solche Indikatoren nach Angaben der Autoren mit historischen Protokollen, EDR-Telemetrie, Proxy-Aufzeichnungen, DNS-Daten und anderen Sicherheitsquellen abgleichen, um festzustellen, ob dieselbe Infrastruktur bereits in der eigenen Umgebung aufgetaucht ist.
Gleichzeitig warnen die Forscher davor, einen einzelnen Treffer vorschnell als Beweis für Aktivitäten aus der Demokratischen Volksrepublik Korea zu werten. In Kombination mit anderen verdächtigen Signalen könne ein solcher Abgleich jedoch ein starkes Argument für eine vertiefte Prüfung sein. ANY.RUN verweist in diesem Zusammenhang auf seinen Threat Intelligence Lookup, der zusätzlichen Kontext zu Indikatoren liefern soll, darunter verwandte Sandbox-Sitzungen, zugeordnete Bedrohungen und Zielmuster über Länder und Branchen hinweg.
Die Autoren betonen zudem, dass Erkenntnisse zu identifizierter Infrastruktur nicht einmalig geprüft und dann abgelegt werden sollten. Stattdessen sollten sie in eine laufende Erkennung einfließen, damit Sicherheitsteams dieselbe oder verwandte Infrastruktur später erneut entdecken können. Als Unterstützung nennt ANY.RUN seine Threat Intelligence Feeds, die aktuelle Indikatoren aus realen Untersuchungen an vorhandene Sicherheitswerkzeuge liefern sollen.