FBI під час операції в Техасі припинило роботу мережі «ферм ноутбуків», через які північнокорейські IT-працівники видавали себе за фахівців зі США, а Міністерство юстиції США (DoJ) повідомило про арешти та обвинувачення у пов’язаних схемах.
Як працювали «ферми ноутбуків»
За даними DoJ, угруповання Famous Chollima (відоме також як WageMole) організовувало віддалену роботу під чужими або вигаданими особами, щоб обходити санкції. Американські посередники приймали на свої адреси ноутбуки, видані реальними роботодавцями, встановлювали ПЗ для віддаленого доступу і переводили зароблені кошти на контрольовані КНДР рахунки.
CrowdStrike, що відстежує діяльність Famous Chollima з квітня 2025 року, описує способи переадресації техніки до «ферм»: фальшиві повідомлення про крадіжку для отримання заміни, ротація адрес, заяви про «переїзд» у процесі доставки та зловживання доступами в підрядних IT-ролях.
Операція Lonestar Roundup у Техасі
У рамках операції «Lonestar Roundup» агенти між 21 і 25 вересня обшукали 40 помешкань у Техасі, де, як підозрювали, розміщувалися «ферми ноутбуків». Правоохоронці вилучили приблизно 187 ноутбуків і KVM-пристрої, які використовували оператори Famous Chollima.
За повідомленням Tom’s Hardware із посиланням на The New York Times, FBI загалом закрило понад 40 таких «ферм» у Техасі та вилучило понад 200 пристроїв.
Суперечливі дані про арешти і масштаби
Джерела розходяться: BleepingComputer повідомляє про арешт двох громадян США (Michael James Bostelle та Juan Cecilio Pena Carrillo) і висунення схожих обвинувачень проти 12 громадян Китаю, тоді як Tom’s Hardware зазначає, що на момент операції арештів не проводили, аби якнайшвидше зупинити роботу «ферм». Також різняться оцінки кількості вилучених пристроїв: приблизно 187 проти «понад 200».
Масштаб і наслідки
За даними DoJ, окрема схема віддалених IT-працівників діяла з 2019 до липня 2025 року, зачепила 70 компаній у США та згенерувала близько $3 млн доходу для операторів із КНДР. Tom’s Hardware додає, що загалом КНДР може заробляти близько $500 млн на рік на подібних схемах, що б’є і по стартапах, і по корпораціях Fortune 500. В одному з випадків в Amazon вирахували проникнення через затримку введення з клавіатури близько 110 мс, що видало віддалене розташування виконавця.
CrowdStrike відзначає, що після публічного розголосу оператори частіше підміняють ідентифікатори пристроїв або навіть повторно їх використовують у різних організаціях. Компанія вважає «Lonestar Roundup» початком ширшої кампанії правоохоронців зі знищення інфраструктури Famous Chollima у США, попри очікуваний обмежений миттєвий ефект.