Huntress schildert drei Fälle. Im Februar 2026 fielen bei einem australischen Gesundheitsunternehmen drei Beschäftigte auf, die sich als chinesische Staatsbürger ausgaben. Auffällig waren wiederholte Verbindungen über Astrill VPN und IPRoyal Proxy, gefälschte Ausweisdokumente, Ähnlichkeiten zwischen den Pässen zweier Mitarbeiter sowie eklatante sprachliche Anomalien in elektronischen Rechnungen, die beim Onboarding als Wohnsitznachweis eingereicht wurden. Huntress schränkt ein, dass die Dokumente trotz mutmaßlicher Fälschung echte Angaben oder Fotos von Personen enthalten könnten, deren Identitätsdaten gestohlen oder entliehen wurden.
In einem zweiten Fall bei einem nicht genannten Finanzdienstleister fand sich PiKVM auf einem Gerät. Der Einsatz von KVM-Umschaltern wie PiKVM oder TinyPilot wurde dem nordkoreanischen Schema bereits früher zugeschrieben; er erlaubt entfernten Akteuren den Zugriff auf Rechner in sogenannten Laptop-Farmen. Der vermeintliche Mitarbeiter lud zudem über den Filesharing-Dienst SendGB eine bearbeitete Fassung eines echten GitHub-Profils herunter — vermutlich als eigenes Profilbild für ein internes Kommunikationswerkzeug. Wenige Tage nach der PiKVM-Installation wurde am selben Gerät eine USB-Capture-Karte von Guermok angeschlossen, um Videostreams als Webcam-Eingabe in Konferenzanwendungen wie Zoom einzuspeisen. Für sich genommen sei Guermok unauffällig, so Huntress — die unmittelbare zeitliche Nähe zur PiKVM-Installation jedoch nicht.
Der dritte Fall aus August 2026 betraf eine Neueinstellung im Vertrieb und Marketing. Der 13 Tage zuvor eingestellte Mitarbeiter hatte offenbar eine existierende Identität übernommen und das Gesicht der betreffenden Person durch das eigene ersetzt — nachdem Strafverfolgungsbehörden nach deren Festnahme Name, Geburtsdatum, Wohnort und Foto online veröffentlicht hatten.
Als Gegenmaßnahme empfiehlt Huntress, bereits im Bewerbungsgespräch anzusetzen und vor dem Onboarding gründliche Hintergrundprüfungen vorzunehmen: Standardprüfungen, Online-Recherche zur Person und Verifikation der Beschäftigungshistorie hälfen, entsprechende Bewerber früh auszusortieren.
Recorded Futures Insikt Group beobachtete ein Cluster mit Bezug zu PurpleDelta, das sich zwischen Ende 2024 und Anfang 2025 bei über 1.100 Unternehmen bewarb — überwiegend in Software und Technologie, Personalvermittlung und Beratung sowie Gesundheit und Biotechnologie. Die mutmaßlich in China ansässigen Operatoren pflegten demnach 22 erfundene Personas, teils KI-generiert, mit Ausweisdokumenten aus dem illegalen Dienst TrustID Card (“trustidcard[.]com”). Bis zu 60 Bewerbungen täglich auf zehn Jobplattformen, Browser für Mehrfachkonten, getrennte Chrome-Profile und umfangreiche Tracking-Tabellen belegen ein “hohes operatives Tempo”.
“In Vorstellungsgesprächen nutzten sie Bildschirmaufzeichnungssoftware zusammen mit KI-Transkription und Chatbots, um Antworten in Echtzeit zu erzeugen, und wiederholten ChatGPT-Antworten oft wörtlich”, so Recorded Future. Nach der Einstellung hätten die Operatoren interne Besprechungen mitgeschnitten und mit Google Translate vorformulierte Ausreden entworfen, um private Geräte und Bankkonten für die Arbeit zu rechtfertigen. Hinzu kommen Identitätsvermittlungsdienste, das Anmieten von Konten über AnyDesk, Multi-Account-Werkzeuge sowie Koordination über Telegram und Slack mit Helfern, die Firmenhardware beschaffen und betreuen. Die Aktivität sei “nahezu sicher andauernd” und werde “sehr wahrscheinlich weiter an Umfang und Raffinesse zunehmen”.
Group-IB beschreibt das Vorgehen als “arbeitsbasiertes Zugangsmodell”, das auf Social Engineering, synthetischen Identitäten und Plattformmissbrauch beruht — keine klassische Malware-Kette. Neben Datendiebstahl drohten Unternehmen erhebliche rechtliche Risiken, da Beschäftigung oder Bezahlung nordkoreanischer IT-Arbeiter einen direkten Verstoß gegen Finanzsanktionen der UN, der USA und Großbritanniens darstellen könne. Behörden aus den USA, Japan, Südkorea, Australien, Kanada, Frankreich, Deutschland, Italien, den Niederlanden, Neuseeland und Großbritannien veröffentlichten kürzlich eine gemeinsame Warnung und fordern strengere Identitätsprüfungen, persönliche Vorstellungsgespräche und Systeme zur Erkennung auffälliger Konten.