اف‌بی‌آی شبکه‌ی «مزارع لپ‌تاپ» کره شمالی برای نفوذ به شرکت‌های آمریکایی را متلاشی کرد

دفتر تحقیقات فدرال آمریکا (FBI) در عملیاتی گسترده، بیش از ۴۰ اقامتگاه در تگزاس را مورد بازرسی قرار داده و ۱۸۷ لپ‌تاپ و تجهیزات جانبی را توقیف کرد. این تجهیزات توسط عوامل کره شمالی برای کسب مشاغل دورکار (Remote Jobs) در شرکت‌های آمریکایی با استفاده از هویت‌های جعلی به کار گرفته می‌شدند.

عملیات Lonestar Roundup و مکانیسم مزارع لپ‌تاپ

این تلاش که تحت عنوان Operation Lonestar Roundup شناخته می‌شود، «مزارع لپ‌تاپ» (Laptop Farms) را هدف قرار داد. این مزارع در واقع مکان‌هایی بودند که رایانه‌های صادر شده توسط کارفرمایان در آن‌ها متمرکز می‌شد و به کارکنان خارج از کشور اجازه می‌داد به صورت ریموت به این سیستم‌ها دسترسی داشته باشند. تسهیل‌گران مستقر در ایالات متحده، این دستگاه‌ها را پیکربندی کرده و درآمدهای حاصل از این مشاغل را به حساب‌های تحت کنترل کره شمالی منتقل می‌کردند.

تحلیل فنی و دامنه نفوذ

شرکت CrowdStrike که تحلیل‌های فنی و اطلاعاتی لازم را در اختیار FBI قرار داده است، اعلام کرد که این کمپین گسترده‌تر از آن چیزی است که تصور می‌شد و بیش از ۷۰ شرکت آمریکایی را هدف قرار داده است. این شبکه که توسط CrowdStrike با نام Famous Chollima ردیابی می‌شود، به بخش‌های حساس زیر نفوذ کرده است:

• هوافضا و دفاعی (Aerospace & Defense)
• انرژی و خدمات مالی
• بهداشت و درمان
• امنیت سایبری و فناوری‌های دولتی

تکنیک‌های مورد استفاده برای دور زدن امنیت

عوامل تهدید برای دریافت سخت‌افزارها و انتقال آن‌ها به مزارع لپ‌تاپ از روش‌های متکاری استفاده می‌کردند:

• گزارشات جعلی سرقت: برخی از آن‌ها گزارشات پلیس جعلی مبنی بر سرقت لپ‌تاپ ارائه می‌دادند تا کارفرما دستگاه جایگزین را به آدرس‌های متفاوتی ارسال کند.
• تغییر آدرس لحظه آخری: برخی دیگر با ادعای جابجایی سریع یا از طریق شرکت‌های استخدامی (Staffing Firms)، تجهیزات را بدون اطلاع کارفرما به مقاصد مورد نظر خود منحرف می‌کردند.
• استفاده از سخت‌افزارهای کمکی: پس از رسیدن دستگاه‌ها، تسهیل‌گران سخت‌افزارها و نرم‌افزارهای خاصی (مانند تجهیزات KVM) را نصب می‌کردند تا دسترسی ریموت عوامل خارجی را تسهیل کرده و شناسایی آن‌ها توسط تیم‌های امنیتی را دشوار سازند.

اهداف استراتژیک و تداوم تهدید

مقامات آمریکایی اعلام کردند که این طرح علاوه بر تولید درآمد برای برنامه‌های تسلیحاتی تحریم‌شده‌ی کره شمالی، راهی برای دسترسی به اطلاعات حساس بوده است. در یکی از موارد، یک عامل خارجی توانسته بود به اطلاعات فنی تحت کنترل صادرات (Export-controlled technical information) از یک پیمانکار دفاعی در کالیفرنیا دست یابد.

با وجود این توقیفات، کارشناسان CrowdStrike معتقدند که این اقدامات احتمالاً تنها باعث کاهش سرعت فعالیت‌ها در مناطق خاصی می‌شود و اثرات دائمی نخواهد داشت، زیرا عوامل تهدید به سرعت تکنیک‌های خود را برای اجتناب از شناسایی تطبیق می‌دهند.

به‌روزرسانی (اکتبر 14, 2026 — therecord.media)

به‌روزرسانی: وزارت دادگستری ایالات متحده (DOJ) در ادامه عملیات مقابله با شبکه‌های جاسوسی و درآمدزایی کره شمالی، دو تبعه آمریکایی به نام‌های Michael James Bostelle و Juan Cecilio Pena Carrillo را بازداشت کرد. در جریان این عملیات، نیروهای امنیتی به بیش از ۴۰ اقامتگاه در تگزاس یورش برده و ۱۸۷ دستگاه لپ‌تاپ و تجهیزات مرتبط را که برای تسهیل دسترسی عوامل کره شمالی به شبکه‌های داخلی شرکت‌ها استفاده می‌شد، توقیف کردند.

بر اساس اسناد دادگاه، این شبکه با استفاده از هویت‌های سرقتی و استخدام دورکار (Remote Work)، توانسته است بیش از ۳ میلیون دلار از حدود ۷۰ شرکت آمریکایی در ۱۷ ایالت مختلف کسب کند. این سازمان‌ها در بخش‌های حساسی نظیر مراقبت‌های بهداشتی (Healthcare)، امنیت سایبری (Cybersecurity)، خرده‌فروشی و تولید فعالیت می‌کنند. متهمان با اتهامات کلاهبرداری بانکی (Wire Fraud)، پول‌شویی (Money Laundering) و سرقت هویت مورد پیگرد قانونی قرار گرفته‌اند.

اف‌بی‌آی (FBI) در هشدار جدید خود به تغییر تاکتیک‌های این عوامل (TTPs) اشاره کرده است. این گروه‌ها اکنون برای دور زدن سیستم‌های شناسایی، از پیمانکاران ثالث در جنوب آسیا و غرب آفریقا برای ارسال رزومه و شرکت در مصاحبه‌ها استفاده می‌کنند. همچنین گزارش شده است که این عاملان تهدیدات فیزیکی و افشای داده‌های سازمانی را برای فشار آوردن به قربانیان به کار می‌برند.

یکی از تکان‌دهنده‌ترین ابعاد این گزارش، تلاش عوامل کره شمالی برای هدف قرار دادن نظامیان فعال ارتش آمریکا است تا از طریق آن‌ها به مجوزهای امنیتی (Security Clearances) دست یابند و نفوذ خود را به لایه‌های حساس‌تر امنیتی گسترش دهند.

به‌روزرسانی (اکتبر 14, 2026 — CyberScoop)

به‌روزرسانی: وزارت دادگستری ایالات متحده (DOJ) در ادامه عملیات Lonestar Roundup، ۱۴ نفر را متهم و حدود ۱۸۷ دستگاه کامپیوتر را توقیف کرد. در این عملیات، بیش از ۴۰ اقامتگاه در تگزاس که به عنوان «مزارع لپ‌تاپ» (Laptop Farms) شناخته می‌شدند، مورد بازرسی قرار گرفتند. این مراکز توسط تسهیل‌گرانی اداره می‌شدند که لپ‌تاپ‌های صادر شده توسط شرکت‌ها را نگهداری می‌کردند تا مهندسان کره شمالی بتوانند از خارج از کشور به آن‌ها دسترسی داشته باشند. طبق کیفرخواست‌ها، افرادی نظیر Michael James Bostelle و Juan Cecilio Pena Carrillo به همراه ۱۰ نفر دیگر در چین، با استفاده از هویت‌های سرقتی یا جعلی، در بیش از ۷۰ شرکت استخدام شده و حدود ۳ میلیون دلار حقوق دریافت کرده‌اند.

تحلیل‌های جدید نشان می‌دهد که عامل تهدید (Threat Actor) برای دور زدن سیستم‌های شناسایی، تاکتیک‌های پیچیده‌تری را به کار گرفته است. این افراد اکنون به شهروندان آمریکایی پرداخت می‌کنند تا در مصاحبه‌های استخدامی شرکت کنند، تست‌های اعتیاد (Drug Tests) را به جای آن‌ها انجام دهند و لپ‌تاپ‌های شرکتی را در خانه فعال نگه دارند. همچنین گزارش شده است که برای پنهان کردن هویت واقعی، از فریلنسرهایی در کشورهای پاکستان، هند و نیجریه برای انجام بخش‌هایی از وظایف شغلی استفاده می‌کنند.

از نظر فنی، شرکت CrowdStrike گزارش داده است که این گروه از ماه می، اقدام به جعل شناسه‌های دستگاه (Device Identifiers) کرده‌اند؛ به طوری که یک کارت کپچر ویدیو (Video Capture Card) را به عنوان وب‌کم معرفی می‌کنند تا سیستم‌های نظارتی را فریب دهند. این متدها به دلیل شباهت زیاد به رفتارهای عادی دورکاری، شناسایی آن‌ها را برای تیم‌های SOC دشوار می‌کند. در همین راستا، وزارت خارجه آمریکا پاداش‌هایی تا سقف ۵ میلیون دلار را برای دریافت اطلاعات منجر به متلاشی شدن این شبکه‌ها پیشنهاد داده است.

به‌روزرسانی (اکتبر 14, 2026 — GBHackers)

به‌روزرسانی: جزئیات جدیدی از عملیات FBI و CrowdStrike منتشر شده است که نشان می‌دهد این فعالیت‌ها تحت عنوان عملیات FAMOUS CHOLLIMA سازماندهی شده بودند. در جریان این عملیات، نیروهای امنیتی موفق شدند ۱۸۷ دستگاه لپ‌تاپ را از ۴۰ اقامتگاه مختلف در ایالت تگزاس توقیف کنند. این تجهیزات به عنوان «مزارع لپ‌تاپ» عمل می‌کردند تا عوامل کره شمالی بتوانند از راه دور و با جعل موقعیت مکانی، در محیط‌های سازمانی نفوذ کنند.

تحلیل‌های CrowdStrike نشان می‌دهد که عامل تهدید (Threat Actor) از روش‌های پیچیده‌ای برای دور زدن کنترل‌های سخت‌افزاری استفاده کرده است. این روش‌ها شامل موارد زیر است:

• ثبت گزارش‌های پلیس جعلی مبنی بر سرقت لپ‌تاپ‌ها برای دریافت سخت‌افزار جایگزین.
• استفاده از تکنیک Device Hash Spoofing برای تغییر شناسه دستگاه‌ها و جعل کارت‌های ضبط ویدیو (Capture Cards) به عنوان وب‌کم برای فریب سیستم‌های نظارتی.

همچنین، طبق کیفرخواست صادر شده در ایالت اوهایو، این طرح کلاهبرداری بیش از ۷۰ کارفرمای آمریکایی را هدف قرار داده و منجر به کسب درآمدی در حدود ۳ میلیون دلار برای کره شمالی شده است. این یافته‌ها تأکید می‌کند که کلاهبرداری در استخدام (Employment Fraud) می‌تواند به عنوان یک بردار نفوذ پایدار برای دسترسی به زیرساخت‌های حساس سازمان‌ها مورد استفاده قرار گیرد.