Justizministerium klagt Mittelsmänner an und durchsucht 40 nordkoreanische „Laptop-Farmen“ in Texas

Das US-Justizministerium gab am Dienstag, den 13. Oktober, bekannt, dass es mindestens zwei amerikanische Mittelsmänner angeklagt und mehr als 40 „Laptop-Farmen“ in ganz Texas durchsucht hat – Teil einer Razzia gegen nordkoreanische Agenten, die mit gestohlenen amerikanischen Identitäten als remote arbeitende IT-Mitarbeiter bei US-Unternehmen angestellt wurden. Bundesagenten beschlagnahmten mehr als 180 Computer, die Unternehmen an vermeintlich neue inländische Mitarbeiter verschickt hatten.

Nordkorea betreibt seit Jahren Remote-IT-Arbeiter-Systeme, um seine sanktionierten Waffenprogramme zu finanzieren, doch diese Aktion sticht durch ihren Umfang hervor: Das Justizministerium bezeichnete die Razzien in Texas als die bislang größte offengelegte Zahl von Laptop-Farmen, die in einer einzigen Operation aufgedeckt wurden. Eine Laptop-Farm ermöglicht es einem Mittelsmann – typischerweise einem US-Bürger, der für seine Teilnahme bezahlt wird –, von Unternehmen bereitgestellte Laptops an einer echten US-Adresse zu hosten und nordkoreanischen Arbeitern im Ausland die Fernanmeldung zu ermöglichen, sodass es so aussieht, als würden sie aus dem Inland arbeiten – wodurch die Standortprüfungen umgangen werden, auf die sich Arbeitgeber verlassen.

Laut Justizministerium infiltrierte das System mindestens 70 in den USA ansässige Unternehmen in Ohio und 16 weiteren Bundesstaaten sowie Washington D.C., in den Bereichen Gesundheitswesen, Cyber-Support, Einzelhandel, Kommunikation und Fertigung. Staatsanwälte schätzen, dass die Operation rund 3 Millionen Dollar an gestohlenen Geldern einbrachte; die Behörde nannte die betroffenen Unternehmen nicht. Die Akteure nutzten glaubwürdige E-Mail-Adressen, gefälschte LinkedIn-Profile und ausgebaute Social-Media-Historien, um Hintergrundprüfungen der Arbeitgeber zu bestehen, und vergaben in manchen Fällen ganze Jobs an andere ausländische Staatsangehörige als Subunternehmer, um einer Entdeckung zu entgehen.

CrowdStrike, das dem FBI bei den Ermittlungen half, erklärte, Laptop-Farmen seien „essenzielle“ Infrastruktur für die nordkoreanische Hacking-Operation, die das Unternehmen als Famous Chollima verfolgt, und dass diese Gruppe für etwa die Hälfte aller dokumentierten Hands-on-Keyboard-Eindringversuche verantwortlich sei, die CrowdStrike im vergangenen Jahr beobachtet hat. Eine separate Öffentlichkeitswarnung des FBI (PSA261013), die zusammen mit der Maßnahme des Justizministeriums veröffentlicht wurde, warnt, dass Tausende staatlich kontrollierte nordkoreanische IT-Mitarbeiter weiterhin bei westlichen Unternehmen beschäftigt sind, über die in diesem Fall identifizierten hinaus.

Das Remote-IT-Arbeiter-System ist eine von mehreren Einnahmequellen, mit denen Nordkorea seine Atom- und Raketenprogramme finanziert, neben direkten Hacks von Kryptowährungsbörsen und der Kompromittierung von Open-Source-Softwareprojekten; CrowdStrike schätzt, dass mit Nordkorea verbundene Akteure allein 2025 mindestens 2 Milliarden Dollar an Kryptowährungen gestohlen haben. Sicherheitsforscher gehen davon aus, dass die tatsächliche Zahl der Unternehmen, die unwissentlich nordkoreanische Agenten eingestellt haben, sowie der tatsächliche Umfang der gestohlenen Gelder deutlich höher liegen als öffentlich bekannt. Die Ankündigung des Justizministeriums und das PSA261013 des FBI wurden von Zack Whittaker für TechCrunch berichtet.