Предполагаемые работники из КНДР начали устраиваться в медицину, продажи и маркетинг
Исследователи Huntress выявили несколько случаев, когда соискатели с признаками связи с КНДР проходили удалённый найм вне ИТ-сектора. По данным Recorded Future, одна из связанных с этой схемой групп подала заявки более чем в 1100 компаний.
Схема с удалённым трудоустройством предполагаемых работников из КНДР выходит за пределы ИТ. Исследователи Huntress сообщили о недавних случаях в австралийской медицинской компании, а также в продажах и маркетинге. Такие соискатели скрывают своё происхождение и местонахождение с помощью поддельных или похищенных документов, VPN и прокси-сервисов.
В феврале 2026 года три сотрудника австралийской компании из сферы здравоохранения были отмечены как предполагаемые граждане КНДР, выдававшие себя за китайцев. На это, по данным Huntress, указывали повторяющиеся подключения через Astrill VPN и IPRoyal Proxy, подозрительные документы, сходство паспортов двух работников и необычные формулировки в электронных счетах, представленных как подтверждение адреса. При этом исследователи оговариваются: даже поддельные документы могли содержать реальные данные или фотографии людей, чьи личности были похищены либо использованы без их ведома.
В августе Huntress также расследовала случай с новым сотрудником отдела продаж и маркетинга, которого приняли на работу за 13 дней до обнаружения подозрительных признаков. По оценке компании, для трудоустройства могла быть использована чужая или заимствованная личность: данные реального человека, включая имя, дату рождения, место проживания и фотографию, ранее были опубликованы правоохранительными органами после его ареста, а лицо на изображении было заменено лицом предполагаемого работника из КНДР.
Ещё один эпизод произошёл в неназванной финансовой компании. На устройстве сотрудника обнаружили PiKVM — KVM-переключатель, позволяющий удалённо подключаться к технике, размещённой на так называемых фермам ноутбуков. Позднее к тому же устройству подключили USB-карту захвата Guermok, которая может передавать видео в приложения для видеоконференций как сигнал веб-камеры. Само по себе использование Guermok не считается подозрительным, однако последовательная установка PiKVM и подключение карты захвата вызвали вопросы у исследователей. Сотрудник также скачал через SendGB изменённую версию легитимного профиля GitHub — предположительно для фотографии в корпоративном мессенджере.
Recorded Future связывает часть этой активности с кластером PurpleDelta. По данным её подразделения Insikt Group, с конца 2024-го до начала 2025 года группа подала заявки в более чем 1100 компаний, главным образом из сфер разработки ПО и технологий, кадровых и консалтинговых услуг, здравоохранения и биотехнологий. Исследователи насчитали 22 вымышленные личности; часть из них, вероятно, была создана с применением ИИ. Операторы, предположительно находящиеся в Китае, подавались как минимум на 60 вакансий в день через десять платформ.
Для собеседований участники схемы использовали запись экрана, ИИ-транскрибацию и чат-ботов для подготовки ответов в реальном времени; Recorded Future сообщает, что иногда они дословно повторяли ответы ChatGPT. После найма они записывали внутренние встречи и с помощью Google Translate составляли заранее подготовленные объяснения, почему им нужны личные устройства и банковские счета для работы.
Huntress рекомендует проверять кандидатов ещё на этапе интервью, проводить тщательную проверку перед оформлением и сверять сведения о соискателях и их трудовом опыте с открытыми источниками.