در یک عملیات هماهنگ و گسترده که جزئیات آن در مهر ۱۴۰۳ منتشر شد، وزارت دادگستری ایالات متحده موفق شد شبکه پیچیده‌ای از فعالیت‌های غیرقانونی گروه تهدید سایبری «فیموس چولیما» (Famous Chollima) را منهدم کند. این عملیات که منجر به دستگیری دو تبعه آمریکایی و متهم شدن ۱۴ فرد دیگر شد، پرده از یک استراتژی نفوذ سایبری برداشت: استفاده از «مزارع لپ‌تاپ» برای دور زدن پروتکل‌های امنیتی شرکت‌های غربی توسط کارگران فناوری اطلاعات کره شمالی.
مهندسی اجتماعی و مزارع لپ‌تاپ: ابزار نفوذ پیونگ‌یانگ
روش کار این شبکه بدین صورت بود که کارگران فناوری اطلاعات کره شمالی، با هویت‌های جعلی و استفاده از اطلاعات شهروندان آمریکایی، به عنوان توسعه‌دهنده نرم‌افزار، مهندس سیستم یا طراح وب در شرکت‌های معتبر غربی استخدام می‌شدند. برای حفظ این پوشش، آن‌ها از «مزارع لپ‌تاپ» استفاده می‌کردند. در این مزارع، لپ‌تاپ‌های شرکت‌های هدف به صورت فیزیکی در منازل همکاران محلی در ایالات متحده (مانند تگزاس) مستقر می‌شدند. این کارگران کره‌ای از طریق نرم‌افزارهای دسترسی از راه دور، به این دستگاه‌ها متصل شده و وظایف شغلی خود را انجام می‌دادند تا به نظر برسد که در موقعیت جغرافیایی مجاز فعالیت می‌کنند.
ابعاد فنی نفوذ و دور زدن پروتکل‌های E2EE
تکنیک مورد استفاده در این عملیات فراتر از فریب ساده است. متهمان با استفاده از تجهیزات KVM (Keyboard, Video, Mouse) و اتصالات IP-based، شبکه‌ای سراسری ایجاد کرده بودند که ترافیک کاری را به نحوی مدیریت می‌کرد که هیچ نشانی از دسترسی غیرمجاز از مناطق غیرمجاز (مانند پیونگ‌یانگ) در لاگ‌های شبکه شرکت‌های قربانی باقی نماند. این اقدام نه تنها نقض قوانین امنیتی بود، بلکه به این کارگران اجازه می‌داد به کدهای منبع حساس، اطلاعات مالی و زیرساخت‌های حیاتی شرکت‌ها دسترسی پیدا کنند. بر اساس گزارش‌های امنیتی، این کارگران وظیفه داشتند درآمدهای ارزی کلانی را برای تامین بودجه برنامه‌های تسلیحاتی کره شمالی به دست آورند.
شناسایی و انهدام: از ردیابی تا توقیف تجهیزات
واحد امنیت سایبری FBI با تحلیل الگوهای ترافیک اینترنت و بررسی لاگ‌های دسترسی، به عدم انطباق‌های زمانی در فعالیت کارگران پی برد. در نهایت، با حکم قضایی، بیش از ۱۸۷ لپ‌تاپ که در ایالت تگزاس به عنوان «مزارع لپ‌تاپ» عمل می‌کردند، ضبط شدند. این تجهیزات حاوی شواهد غیرقابل انکاری از پیوند میان این کارگران و سازمان‌های اطلاعاتی کره شمالی بود. دستگیری‌های صورت گرفته نشان می‌دهد که شبکه‌های داخلی (مزدوران بومی) نقش کلیدی در فراهم کردن زیرساخت‌های فیزیکی برای این عملیات سایبری ایفا می‌کردند.
پیامدهای امنیتی برای شرکت‌های فناوری
این واقعه زنگ خطری جدی برای تیم‌های امنیتی در حوزه Identity and Access Management (IAM) است. سازمان‌ها باید فراتر از احراز هویت ساده (SSO) حرکت کنند و به سمت مدل‌های Zero Trust پیش بروند. بررسی دقیق هویت‌های پیمانکاران از راه دور، استفاده از ابزارهای مانیتورینگ رفتار کاربر (UBA) و عدم اعتماد به دستگاه‌های متصل، حتی اگر در موقعیت‌های جغرافیاییِ «امن» باشند، اکنون به یک استاندارد ضروری تبدیل شده است.
مشخصات عملیاتی و یافته‌های قضایی
- هدف اصلی: نفوذ به شرکت‌های بزرگ فناوری جهت اخاذی ارزی و سرقت مالکیت معنوی.
- تعداد تجهیزات ضبط شده: بیش از ۱۸۷ دستگاه لپ‌تاپ.
- تکنیک فنی: استفاده از تجهیزات واسطه (KVM) برای مخفی‌سازی مکان فیزیکی کاربر.
- گروه مهاجم: فیموس چولیما (وابسته به نهادهای اطلاعاتی کره شمالی).
- وضعیت حقوقی: ۱۶ متهم تحت پیگرد، ۲ بازداشت شده در ایالات متحده.
