🔥 Fique por dentro das novidades mais quentes do momento! 🔥
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Foram observados actores de ameaças com ligações à República Popular Democrática da Coreia (também conhecida como RPDC ou Coreia do Norte) à procura de oportunidades de emprego fora do sector das tecnologias de informação (TI), com investigações recentes a identificar trabalhadores suspeitos empregados em vendas e marketing e na profissão médica.
A actual ameaça interna faz parte do que tem sido descrito como o esquema dos trabalhadores de TI, onde a Coreia do Norte aproveita a sua rede de trabalhadores qualificados de TI, tanto dentro como fora do país, para conseguir empregos fraudulentamente em empresas da Fortune 500 e empresas do sector privado em todo o mundo e obter rendimentos remotamente para promover os programas ilegais de armas nucleares e mísseis balísticos de Pyongyang.
Isto implica confiar em documentos de identidade roubados ou falsificados, VPNs e serviços de proxy para mascarar a sua verdadeira identidade e localização. A campanha de um ano também é rastreada sob os nomes Famous Chollima, Jasper Sleet, Nickel Tapestry, PurpleDelta (anteriormente TAG-121), UNC5267 e Wagemole.
“Os trabalhadores da RPDC apresentam um desafio de detecção único para os defensores: em vez de comprometerem contas ou invadirem através de lacunas nos ambientes das organizações, estão a enganar as empresas para que os contratem remotamente e, muitas vezes, realmente façam o trabalho legítimo para o qual foram contratados”, disse Huntress numa análise.
Num caso ocorrido em Fevereiro de 2026, três funcionários de uma empresa de saúde australiana foram sinalizados como trabalhadores norte-coreanos que se faziam passar por chineses depois de terem sido encontrados repetidamente ligados através da Astrill VPN e do IPRoyal Proxy, documentos de identidade criados de forma fraudulenta, semelhanças entre dois passaportes dos funcionários e anomalias flagrantes de palavras em facturas electrónicas apresentadas como prova de residência durante o processo de integração.
“Apesar da probabilidade de passaportes e carteiras de identidade de residentes serem fraudulentos, ainda existe a possibilidade de que esses documentos contenham informações legítimas ou fotos de outras pessoas que tiveram suas informações de identidade roubadas ou emprestadas”, acrescentou Huntress.
Um segundo caso este mês em uma empresa de serviços financeiros não identificada descobriu a presença de PiKVM em seu dispositivo. O uso de switches KVM como PiKVM ou TinyPilot foi anteriormente atribuído ao esquema norte-coreano de trabalhadores de TI, permitindo que os agentes de ameaças remotas se conectassem a dispositivos hospedados em fazendas de laptops.
O “funcionário” também teria acessado um serviço terceirizado de compartilhamento de arquivos SendGB para baixar uma versão modificada de um perfil legítimo do GitHub, provavelmente para uso como sua própria imagem de perfil em uma ferramenta de comunicação interna.
Dias após a instalação do PiKVM, o mesmo dispositivo também tinha uma placa de captura USB Guermok conectada a ele para permitir que “o streaming de vídeo através dele fosse enviado como uma entrada de webcam em aplicativos de webconferência como o Zoom”. Embora o uso do Guermok por si só não seja suspeito, o fato de a instalação do PiKVM e a conexão USB do Guermok terem ocorrido uma após a outra levanta sinais de alerta.
Num terceiro caso investigado pela Huntress em Agosto de 2026, um funcionário de vendas e marketing contratado 13 dias antes parecia ter roubado ou emprestado uma identidade existente para conseguir o emprego, substituindo o rosto do indivíduo legítimo pelo do suposto trabalhador da RPDC depois de os dados do primeiro, incluindo nome, data de nascimento e localização, juntamente com a sua fotografia, terem sido publicados online pelas autoridades policiais após a sua detenção.
“A mitigação do risco de trabalhadores fraudulentos começa na fase de entrevista e continua com a realização de verificações rigorosas de antecedentes de novas contratações antes da integração”, disse Huntress. “Em caso de dúvida, realizar verificações de antecedentes padrão, pesquisar os indivíduos on-line e verificar qualquer histórico de emprego ajudará a eliminar os trabalhadores da RPDC no início do processo de entrevista.”
Estes estão longe de ser casos isolados. O Grupo Insikt da Recorded Future disse ter observado um cluster ligado ao PurpleDelta aplicado a empregos em mais de 1.100 empresas, principalmente nos setores de software e tecnologia, pessoal e consultoria, e setores de saúde e biotecnologia, entre o final de 2024 e o início de 2025.
Suspeita-se que os atores da ameaça, incluindo vários operadores provavelmente baseados na China, tenham mantido 22 personas fabricadas, algumas geradas sinteticamente usando inteligência artificial (IA) e usando documentos de identidade provenientes de um serviço ilícito de geração de identidade chamado TrustID Card ("trustidcard[.]com").
Descrevendo a PurpleDelta como mantendo um “alto ritmo operacional”, a empresa de inteligência de ameaças disse que os atores da ameaça se candidataram a pelo menos 60 cargos por dia em 10 plataformas de trabalho, usaram navegadores de gerenciamento de várias contas e perfis separados do Google Chrome para gerenciar personas distintas, e mantiveram extensas planilhas de rastreamento para coordenar aplicativos entre identidades.
"Durante entrevistas de emprego, eles usaram software de gravação de tela junto com transcrição de IA
A actual ameaça interna faz parte do que tem sido descrito como o esquema dos trabalhadores de TI, onde a Coreia do Norte aproveita a sua rede de trabalhadores qualificados de TI, tanto dentro como fora do país, para conseguir empregos fraudulentamente em empresas da Fortune 500 e empresas do sector privado em todo o mundo e obter rendimentos remotamente para promover os programas ilegais de armas nucleares e mísseis balísticos de Pyongyang.
Isto implica confiar em documentos de identidade roubados ou falsificados, VPNs e serviços de proxy para mascarar a sua verdadeira identidade e localização. A campanha de um ano também é rastreada sob os nomes Famous Chollima, Jasper Sleet, Nickel Tapestry, PurpleDelta (anteriormente TAG-121), UNC5267 e Wagemole.
“Os trabalhadores da RPDC apresentam um desafio de detecção único para os defensores: em vez de comprometerem contas ou invadirem através de lacunas nos ambientes das organizações, estão a enganar as empresas para que os contratem remotamente e, muitas vezes, realmente façam o trabalho legítimo para o qual foram contratados”, disse Huntress numa análise.
Num caso ocorrido em Fevereiro de 2026, três funcionários de uma empresa de saúde australiana foram sinalizados como trabalhadores norte-coreanos que se faziam passar por chineses depois de terem sido encontrados repetidamente ligados através da Astrill VPN e do IPRoyal Proxy, documentos de identidade criados de forma fraudulenta, semelhanças entre dois passaportes dos funcionários e anomalias flagrantes de palavras em facturas electrónicas apresentadas como prova de residência durante o processo de integração.
“Apesar da probabilidade de passaportes e carteiras de identidade de residentes serem fraudulentos, ainda existe a possibilidade de que esses documentos contenham informações legítimas ou fotos de outras pessoas que tiveram suas informações de identidade roubadas ou emprestadas”, acrescentou Huntress.
Um segundo caso este mês em uma empresa de serviços financeiros não identificada descobriu a presença de PiKVM em seu dispositivo. O uso de switches KVM como PiKVM ou TinyPilot foi anteriormente atribuído ao esquema norte-coreano de trabalhadores de TI, permitindo que os agentes de ameaças remotas se conectassem a dispositivos hospedados em fazendas de laptops.
O “funcionário” também teria acessado um serviço terceirizado de compartilhamento de arquivos SendGB para baixar uma versão modificada de um perfil legítimo do GitHub, provavelmente para uso como sua própria imagem de perfil em uma ferramenta de comunicação interna.
Dias após a instalação do PiKVM, o mesmo dispositivo também tinha uma placa de captura USB Guermok conectada a ele para permitir que “o streaming de vídeo através dele fosse enviado como uma entrada de webcam em aplicativos de webconferência como o Zoom”. Embora o uso do Guermok por si só não seja suspeito, o fato de a instalação do PiKVM e a conexão USB do Guermok terem ocorrido uma após a outra levanta sinais de alerta.
Num terceiro caso investigado pela Huntress em Agosto de 2026, um funcionário de vendas e marketing contratado 13 dias antes parecia ter roubado ou emprestado uma identidade existente para conseguir o emprego, substituindo o rosto do indivíduo legítimo pelo do suposto trabalhador da RPDC depois de os dados do primeiro, incluindo nome, data de nascimento e localização, juntamente com a sua fotografia, terem sido publicados online pelas autoridades policiais após a sua detenção.
“A mitigação do risco de trabalhadores fraudulentos começa na fase de entrevista e continua com a realização de verificações rigorosas de antecedentes de novas contratações antes da integração”, disse Huntress. “Em caso de dúvida, realizar verificações de antecedentes padrão, pesquisar os indivíduos on-line e verificar qualquer histórico de emprego ajudará a eliminar os trabalhadores da RPDC no início do processo de entrevista.”
Estes estão longe de ser casos isolados. O Grupo Insikt da Recorded Future disse ter observado um cluster ligado ao PurpleDelta aplicado a empregos em mais de 1.100 empresas, principalmente nos setores de software e tecnologia, pessoal e consultoria, e setores de saúde e biotecnologia, entre o final de 2024 e o início de 2025.
Suspeita-se que os atores da ameaça, incluindo vários operadores provavelmente baseados na China, tenham mantido 22 personas fabricadas, algumas geradas sinteticamente usando inteligência artificial (IA) e usando documentos de identidade provenientes de um serviço ilícito de geração de identidade chamado TrustID Card ("trustidcard[.]com").
Descrevendo a PurpleDelta como mantendo um “alto ritmo operacional”, a empresa de inteligência de ameaças disse que os atores da ameaça se candidataram a pelo menos 60 cargos por dia em 10 plataformas de trabalho, usaram navegadores de gerenciamento de várias contas e perfis separados do Google Chrome para gerenciar personas distintas, e mantiveram extensas planilhas de rastreamento para coordenar aplicativos entre identidades.
"Durante entrevistas de emprego, eles usaram software de gravação de tela junto com transcrição de IA
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #a #fraude #trabalhista #na #coreia #do #norte #se #expande #além #da #ti, #chegando #à #saúde #e #às #vendas
🎉 Obrigado por acompanhar, até a próxima notícia!
Postar um comentário