В конце сентября 2026 года команда по борьбе с противником компании CrowdStrike сотрудничала с Федеральным бюро расследований США (ФБР) с целью нарушить работу нескольких компьютерных ферм, расположенных по всей территории США, которые поддерживались противником FAMOUS CHOLLIMA, связанным с КНДР, для мошеннического трудоустройства агентов в американских компаниях с сокрытием их истинного местоположения и личности.
Эти компьютерные фермы позволяли агентам FAMOUS CHOLLIMA выдавать себя за законных удаленных работников и переводить незаконные зарплаты обратно своему режиму, сохраняя постоянный доступ к жертвам-организациям. Работая вместе с ФБР, аналитические данные о противнике и его операциях, а также технический анализ от CrowdStrike помогли осуществить эти нарушения.
Эта операция знаменует начало более широких усилий правоохранительных органов США по ликвидации инфраструктуры FAMOUS CHOLLIMA в США. Команда по борьбе с противником компании CrowdStrike намерена оставаться неотъемлемой частью этих усилий.
Зависимость FAMOUS CHOLLIMA от компьютерных ферм
Для проведения своих мошеннических операций по трудоустройству агенты FAMOUS CHOLLIMA должны сначала найти способ получить доступ к предоставленным работодателем ноутбукам. Поскольку противник получает работу под ложной или украденной личностью, доставка этих ноутбуков к их базе операций не является простой задачей.
Вместо этого агенты FAMOUS CHOLLIMA используют различные методы обмана во время найма, чтобы перенаправить предоставленное работодателем оборудование на адреса компьютерных ферм. CrowdStrike OverWatch наблюдал, как агенты подавали ложные заявления в полицию о краже ноутбука, чтобы инициировать отправку замены на адреса ферм; они меняют адреса проживания, чтобы скрыть конечный пункт назначения. Другие заявляли о переезде в последний момент, чтобы перенаправить устройства во время транспортировки. В некоторых случаях агенты получали должности через IT-агентства по подбору персонала, что позволяло тихо перенаправить устройства конечного клиента на инфраструктуру фермы без ведома агентства по подбору персонала.
После прибытия на ферму организатор устанавливает на эти ноутбуки сочетание аппаратного и программного обеспечения, чтобы обеспечить удаленный доступ. CrowdStrike Overwatch видел, как FAMOUS CHOLLIMA пыталась скрыть свое использование этих инструментов RMM, вероятно, из-за усиления оперативной безопасности после публичных сообщений об их деятельности.
С мая 2026 года FAMOUS CHOLLIMA начала подделывать хэши устройств; например, делая видеозахватную карту похожей на веб-камеру. Недавно CrowdStrike OverWatch наблюдал, как FAMOUS CHOLLIMA использовала одно и то же замаскированное устройство в нескольких отдельных жертвах-организациях, что указывает на то, что агенты намеренно повторно используют идентификаторы устройств, чтобы избежать обнаружения. Это демонстрирует четкое понимание показателей, которые отслеживают защитники. Сетевая инфраструктура в компьютерных фермах была обнаружена с общими идентификаторами для нескольких одновременных фальшивых личностей, что является признаком масштаба и координации операции.
Компьютерные фермы жизненно важны для операций FAMOUS CHOLLIMA, генерирующих доход, поскольку они решают три проблемы, которые противник не может легко преодолеть из-за рубежа: физическую, финансовую и юридическую.
Без присутствия в США агенты FAMOUS CHOLLIMA не смогли бы получать и настраивать предоставленное работодателем оборудование, обходить системы контроля мошенничества на основе геолокации или ориентироваться в системах верификации личности, которые являются барьером для законного трудоустройства. Компьютерная ферма и ее организаторы служат арендованным американским присутствием: физическим адресом, юридической личностью и механизмом для соблюдения требований «знай своего клиента», которые являются частью требований к должной осмотрительности финансовых учреждений.
Хотя нарушение работы компьютерной фермы, вероятно, окажет лишь ограниченное влияние на FAMOUS CHOLLIMA, сосредоточенное в основном на геолокации ликвидации, такие операции посылают четкий сигнал противнику о том, что правоохранительные органы и CrowdStrike имеют видимость их инфраструктуры и активно отслеживают их передвижения.
Роль операции по борьбе с противником CrowdStrike в выявлении инфраструктуры компьютерной фермы FAMOUS CHOLLIMA
В период с апреля 2025 года по июнь 2026 года команда по борьбе с противником компании CrowdStrike выявила личности, технические показатели и компьютеры, расположенные в США, которые использовались противником для осуществления своих мошеннических операций по трудоустройству. Объединив наблюдения, основанные на телеметрии, с выводами, полученными в результате целевых операций, проведенных командой по борьбе с противником CrowdStrike, команда смогла выявить ключевые личности и раскрыть сети организаторов, расположенные в США, которые поддерживали эту схему.
Команда по борьбе с противником компании CrowdStrike продолжает отслеживать сети клиентов, чтобы защитить их от попыток проникновения FAMOUS CHOLLIMA, и передает соответствующую информацию правоохранительным органам, чтобы помочь противодействовать противнику с нескольких направлений.
Десятки жертв-организаций, выявленных в кластерах, нарушенных в ходе этой операции, охватывают критически важные секторы, включая аэрокосмическую промышленность, энергетику, финансовые услуги, здравоохранение, кибербезопасность, оборонное машиностроение, государственные технологии и потребительские технологии. Эта широта отражает секторально-независимую позицию FAMOUS CHOLLIMA в отношении целей, при которой любая организация, предлагающая удаленную работу, предоставляет возможность для получения дохода.
Заключение
Операции FAMOUS CHOLLIMA в США продолжаются. Это нарушение, вероятно, замедлит операции FAMOUS CHOLLIMA только в непосредственных районах, где были закрыты компьютерные фермы, и вряд ли создаст долгосрочные эффекты. Противник почти наверняка продолжит совершенствовать свои методы, чтобы избежать обнаружения и нарушения правоохранительными органами.
Это действие правоохранительных органов посылает четкий сигнал FAMOUS CHOLLIMA: их инфраструктура видна, их передвижения отслеживаются, и стоимость их операций растет.
Видимости одного лишь недостаточно. Операции по нарушению, такие как эта, являются критически важной частью повышения этой стоимости. Они заставляют противника восстанавливать, перемещать и реинвестировать ресурсы, которые в противном случае финансировали бы приоритеты режима. Каждая ликвидированная ферма — это время и деньги, которые FAMOUS CHOLLIMA не может вернуть.
С этой целью команда по борьбе с противником компании CrowdStrike остается глубоко приверженной своему партнерству с правоохранительными органами. FAMOUS CHOLLIMA доказала, что является настойчивым и адаптивным противником. Но настойчивость работает в обе стороны. Команда по борьбе с противником компании CrowdStrike продолжит отслеживать их эволюцию, раскрывать их инфраструктуру и работать с нашими партнерами, чтобы обеспечить, что каждое вторжение, каждое мошенническое трудоустройство и каждый украденный чек будут иметь реальные последствия.
Рекомендации
Хотя ведение списка известных личностей и показателей FAMOUS CHOLLIMA полезно, они являются крайне непостоянными. При оценке доказательств личности потенциальных сотрудников проведите стандартную проверку анкетных данных и ищите следующие показатели:
- Повторное использование номеров телефонов, адресов электронной почты, банковских счетов или контента, такого как текст резюме или копия веб-сайта, в нескольких онлайн-профилях
- Использование приложений для удаленного вычисления, таких как Astrill VPN, AnyDesk, OBS Studio или PiKVM
- Несоответствия между внешностью на видео и на удостоверяющих личность документах
- Входы в несколько локаций в часовых поясах, не совпадающих с заявленным местоположением
- Несоответствия между домашним адресом и адресом доставки
- Использование других известных персонажей CHOLLIMA в качестве рабочих рекомендаций
- Онлайн-связи с известными персонажами CHOLLIMA, включая подписчиков GitHub или контакты LinkedIn
- Учетные записи в любом банке, который позволяет держателям счетов создавать несколько виртуальных номеров счетов и легко конвертировать средства в криптовалюту
- Новые публичные профили в LinkedIn, Twitter, GitHub или фриланс-платформах
Дополнительные ресурсы
- Узнайте больше о разведке угроз CrowdStrike Counter Adversary Operations и поиске угроз, или запросите демонстрацию.
- Слушайте подкаст Adversary Universe, где CrowdStrike раскрывает злоумышленников за последними кибератаками.
