دفتر کنترل دارایی‌های خارجی وزارت خزانه‌داری آمریکا (OFAC) اخیراً ۱۰ فرد و یک نهاد را به دلیل تسهیل فعالیت شبکه‌های کارکنان IT وابسته به دولت کره شمالی تحریم کرد. این افراد با استفاده از هویت‌های جعلی و مدارک ساختگی، در شرکت‌های آمریکایی و سایر کشورهای جهان استخدام شده و درآمدهای حاصل از این مشاغل را به دولت کره شمالی منتقل می‌کردند.
جزئیات عملیات و تسهیل‌گران مالی
این تحریم‌ها افرادی را هدف قرار داده است که در زمینه تبدیل ارزها، انتقال رمز‌ارزها (Cryptocurrency) و مدیریت عملیات تیم‌ها فعالیت می‌کردند. برخی از چهره‌های کلیدی این شبکه عبارتند از:
- ویتولد ویکتورویچ اوبرتاس (Vitold Viktorovich Obertas): تبعه روسیه که متهم به انجام تراکنش‌های کریپتویی به ارزش نزدیک به ۲ میلیون دلار و تراکنش‌های ارزی ۱.۲۵ میلیون دلاری برای مقامات کره شمالی است.
- ایلیا الکساندروویچ بویکوف (Ilya Aleksandrovich Boykov): تبعه روسیه که در تبادلات و انتقال‌های رمز‌ارز به ارزش تقریبی ۳.۵ میلیون دلار نقش داشته است.
- مرکز توسعه فنی و مالی اول (FFTDC): نهادی که متهم به استقرار کارکنان IT کره شمالی در روسیه است و بیش از ۷۵۰ هزار دلار درآمد برای دولت این کشور ایجاد کرده است.
تحلیل فنی جریان وجوه در بلاک‌چین
بررسی آدرس‌های دیجیتالی منتشر شده در لیست SDN نشان می‌دهد که این شبکه از بلاک‌چین‌های Ethereum و TRON برای جابجایی وجوه استفاده کرده است. تحلیل‌های On-chain نشان‌دهنده ارتباطات پیچیده‌ای میان کیف پول‌هاست؛ به طوری که چندین آدرس مختلف، وجوه خود را به یک کیف پول مشترک که به عنوان آدرس واریز صرافی (Exchange Deposit Address) شناسایی شده، منتقل کرده‌اند.
برای مثال، آدرس‌های مرتبط با بویکوف و اوبرتاس در شبکه اتریوم دارای نقاط اشتراک هستند و حجم قابل توجهی از توکن‌های USDC، USDT و DAI از طریق این آدرس‌ها به صرافی‌هایی مانند Bybit و HTX منتقل شده است تا رد مالی آن‌ها پاک شود.
روش عملیاتی (TTPs) شبکه‌های IT کره شمالی
این طرح‌ها معمولاً با یک فرایند استخدام معمولی برای مشاغل دورکاری (Remote Job) آغاز می‌شود. عامل تهدید از روش‌های زیر برای نفوذ به سازمان‌ها استفاده می‌کند:
- جعل هویت: استفاده از مدارک سرقتی یا جعلی برای ارسال رزومه و گذراندن مصاحبه‌ها.
- پنهان‌سازی مکان: بهره‌گیری از VPNها، شبکه‌های پروکسی یا تسهیل‌گرانی که در کشورهای هدف مستقر هستند.
- مزارع لپ‌تاپ (Laptop Farms): ارسال سخت‌افزار توسط شرکت به یک آدرس محلی و سپس کنترل از راه دور آن توسط کارکنان کره شمالی.
ریسک‌های امنیتی برای سازمان‌ها
خطرات این فعالیت‌ها تنها به کلاهبرداری مالی محدود نمی‌شود. زمانی که این کارکنان به حساب‌های سازمانی و دستگاه‌ها دسترسی پیدا می‌کنند، می‌توانند به موارد زیر نفوذ کنند:
- مخازن کد (Code Repositories) و مالکیت معنوی.
- اطلاعات حساس مشتریان و ابزارهای داخلی.
- دسترسی‌های مدیریتی برای سرقت داده‌ها و سپس اخاذی از سازمان.
توصیه‌های امنیتی برای مدیران SOC و CISOها
برای مقابله با این تهدیدات، سازمان‌ها باید رویکردی جامع در تایید هویت و مدیریت دسترسی‌ها اتخاذ کنند:
- تایید هویت چندگانه: بررسی تطبیق مکان کاربر، آدرس ارسال سخت‌افزار و حساب‌های پرداخت.
- پایش دسترسی‌ها: نظارت مستمر بر اینکه چه کسی از دستگاه‌ها استفاده می‌کند و چه سیستم‌هایی در دسترس آن‌هاست.
- اعمال اصل حداقل دسترسی (PoLP): جلوگیری از اعطای دسترسی‌های گسترده به پیمانکاران دورکار و محدود کردن دسترسی‌ها به نیازهای ضروری شغلی.
- غربالگری مالی: برای نهادهای مالی، گنجاندن آدرس‌های کیف پول تحریم شده در لیست‌های نظارتی (Screening) ضروری است.
