Descubra a equipe de hackers de TI da Coreia do Norte: mais de 30 identidades falsas infiltradas em projetos de desenvolvimento globais

Recentemente, um hacker de chapéu branco anônimo conseguiu invadir o dispositivo de um trabalhador de TI da Coreia do Norte, revelando os bastidores de como uma equipe técnica de cinco pessoas utiliza mais de 30 identidades falsas para atuar. Esta equipe não só possui documentos de identificação falsificados emitidos pelo governo, como também infiltra diversos projetos de desenvolvimento através da compra de contas em plataformas online.

Os investigadores obtiveram os dados do disco rígido na nuvem, perfis de navegador e capturas de tela dos dispositivos da equipa. Os dados mostram que esta equipa depende fortemente de uma série de ferramentas de uma empresa de motores de busca para coordenar agendas de trabalho, atribuir tarefas e gerir orçamentos, toda a comunicação é feita em inglês.

Um relatório semanal de 2025 revelou os modos de trabalho e os desafios enfrentados pela equipe de hackers. Por exemplo, alguns membros relataram "não conseguir entender os requisitos de trabalho, não saber o que fazer", e a solução correspondente foi "dedicar-se de coração, dobrar esforços".

Os registos detalhados de despesas mostram que os seus itens de gastos incluem a compra de números de segurança social (SSN), a utilização de contas de plataformas de negociação online, o aluguer de números de telefone, a subscrição de serviços de IA, o aluguer de computadores e a aquisição de serviços de VPN e proxies.

Uma das folhas de cálculo detalha a programação e o roteiro de discurso para a participação na reunião sob a falsa identidade "Henry Zhang". O processo operacional mostra que esses trabalhadores de TI da Coreia do Norte primeiro adquirem uma conta na plataforma online, alugam equipamentos de computador e, em seguida, completam o trabalho de outsourcing através de ferramentas de controlo remoto.

Um dos endereços de carteira que eles usaram para enviar e receber pagamentos está intimamente relacionado a um ataque de protocolo que ocorreu em junho de 2025. Posteriormente, foi confirmado que o CTO do protocolo e outros desenvolvedores eram trabalhadores de TI da Coreia do Norte com documentos falsificados. Através desse endereço, também foram identificados outros profissionais de TI da Coreia do Norte envolvidos em projetos de infiltração.

Foram encontradas algumas provas-chave nos registos de pesquisa e no histórico do navegador da equipa. Além dos documentos fraudulentos mencionados acima, o histórico de pesquisa deles também mostra o uso frequente de ferramentas de tradução online e a tradução de conteúdos para coreano usando IPs russos.

Atualmente, os principais desafios que as empresas enfrentam na prevenção de trabalhadores de TI da Coreia do Norte incluem:

1. Falta de colaboração sistemática: falta de um mecanismo eficaz de compartilhamento de informações e cooperação entre os prestadores de serviços da plataforma e as empresas privadas;
2. Falha de supervisão por parte do empregador: a equipe de recursos humanos frequentemente demonstra uma atitude defensiva após receber um alerta de risco, chegando até a recusar-se a cooperar com a investigação;
3. Impacto da vantagem em quantidade: Embora seus meios técnicos não sejam complexos, a ampla base de candidatos continua a penetrar no mercado de trabalho global.
4. Canais de conversão de fundos: algumas plataformas de pagamento são frequentemente usadas para converter a receita em moeda fiduciária obtida com o trabalho de desenvolvimento em criptomoeda.

Essas descobertas têm um significado positivo para a segurança proativa dos projetos da indústria, oferecendo-nos a oportunidade de entender a "forma de trabalho" dos hackers norte-coreanos a partir de uma perspectiva ativa.