Im Februar wandte sich ein australisches Unternehmen aus dem Gesundheitssektor an Huntress: Der Verdacht bestand, dass drei Beschäftigte nordkoreanische Arbeitskräfte seien, die sich als chinesische Staatsbürger ausgaben. Aufgefallen war die Nutzung von Astrill VPN, das in der Vergangenheit bereits mit nordkoreanischem Arbeitskräftebetrug in Verbindung gebracht wurde.
Die Analyse von Protokollen, Anmeldevorgängen und Aktivitäten der vorangegangenen sechs Monate ergab zusätzlich den Einsatz von IPRoyal Proxy — einem ansonsten legitimen kommerziellen Proxy-Anbieter — sowie des kugelsicheren Hosters WorkTitans B.V., der nach Darstellung von Huntress offenbar vom niederländischen Fiscal Information and Investigation Service (FIOD) durchsucht wurde.
Ein einzelner VPN- oder Proxy-Dienst auf einem Gerät wäre für sich genommen unauffällig. Doch, so Minton und Maclachlan, „die ausgedehnte Nutzung von VPN- und Proxy-Infrastruktur über alle drei Konten hinweg wich vom typischen Verhalten von Endanwendern ab und deutet auf Versuche hin, den tatsächlichen Standort der Personen zu verbergen". Hinzu kamen auffällige Ähnlichkeiten zwischen zwei Reisepässen, die auf denselben Fälscher hindeuten, sowie chinesische Stromrechnungen mit exakt identischen Fehlerstellen — inklusive Verweisen auf Websites von Arizona Public Service. Huntress meldete die Funde an die Partnerorganisation und empfahl nachdrücklich, Incident-Response-Dienste hinzuzuziehen.
Im ersten der beiden August-Fälle wurde Huntress von einem Partner alarmiert, nachdem ein Drittanbieter-Sicherheitsprodukt eine Warnung ausgelöst hatte. Die Untersuchung zeigte, dass der Beschäftigte ein PiKVM-Gerät nutzte, das die Fernsteuerung eines Rechners auf Hardware-Ebene erlaubt. Solche Geräte sind in Unternehmensumgebungen selten und wurden bereits früher mit nordkoreanischen Kampagnen in Verbindung gebracht. Zudem stammte das Profilfoto aus einem echten GitHub-Konto und war verändert worden. Der Partner bestätigte den Verdacht anschließend und verwies darauf, dass sich der Mitarbeiter geweigert habe, den Raum zu zeigen, in dem er sich befand, und nur widerwillig vor die Kamera trat.
Daraufhin suchte das Team für Detection Engineering and Threat Hunting bei Huntress gezielt nach entsprechenden Indikatoren und stieß bei einem weiteren Partner auf einen wahrscheinlichen Fall: einen zwei Wochen zuvor eingestellten Mitarbeiter aus Vertrieb und Marketing. Auch hier waren PiKVM- und Guermok-USB-Geräte angeschlossen; echte Ausweisdokumente waren digital verändert worden, um das Foto einer realen Person durch ein anderes zu ersetzen. Hinzu kamen Chrome-Erweiterungen zum Übersetzen, zur Audio- und Videoaufzeichnung und zur englischen Aussprachehilfe, der Aufruf von Mikrofon- und Audio-Testseiten sowie das Veröffentlichen von Zoom-Meeting-Links auf einer Code-Sharing-Website.
Als Gegenmaßnahmen empfiehlt Huntress, Alarme für PiKVM- und Guermok-Geräte einzurichten — besonders, wenn beide von demselben Benutzerkonto verwendet werden. Ebenso sollten Webdienste und Browser-Erweiterungen für Bildschirm-, Audio- und Videoaufzeichnung, Mikrofontests, Übersetzung und Dateifreigabe beobachtet werden, dazu das Teilen wiederkehrender Meetings auf öffentlichen Text-Sharing-Seiten, VPN- und Proxy-Infrastruktur in Kombination mit ungewöhnlicher Geografie sowie anhaltende identitätsbezogene Aktivitäten außerhalb der regulären Arbeitszeiten.
„Gefälschte Ausweisdokumente sind mit bloßem Auge nur schwer zu erkennen; ein Blick auf die Metadaten und besondere Aufmerksamkeit bei kürzlich ausgestellten Dokumenten können jedoch Auffälligkeiten zutage fördern", schreiben die Autoren und raten, Ausweisdokumente neuer Mitarbeiter notariell beglaubigen zu lassen. Die Abwehr beginne im Bewerbungsgespräch: Standard-Hintergrundprüfungen, Online-Recherchen zur Person und die Verifikation früherer Arbeitsverhältnisse helfen laut Huntress, nordkoreanische Bewerber früh auszusortieren.