Sicherheitsforscher sind mit einer ungewöhnlichen Methode vorgegangen: Sie erschufen eine Fake Crypto Startup-Firma, warben für Entwicklerjobs und stellten drei Personen ein, die sie für IT-Operative aus Nordkorea halten. Der Clou: Jede virtuelle Maschine, die die vermeintliche Firma ausgab, wurde dabei protokolliert. So konnten die Ermittler Prozesse rund um Identitäten, Zugriffsrechte und typische Arbeitsroutinen sichtbar machen.
Im Zentrum standen dabei nicht nur die technischen Abläufe im Hintergrund, sondern auch Hinweise, die bei Unterlagen, Profilen und Bildern auftauchen. Für Arbeitgeber ist die Botschaft klar: Ein erfolgreiches Hiring ist nicht nur ein Risiko für den Betrieb – es kann den Einstieg in Quellcode und interne Systeme zusätzlich legitimieren.
Wie die Fake Crypto Startup-Falle aufgebaut war
Die Forscher beschrieben, dass sie ihre Rolle gezielt von der Kandidaten- zur Arbeitgeberseite verlagerten. Statt selbst Identitäten bereitzustellen, bauten sie ein scheinbares DeFi-Projekt mit dem Namen Ballena Azul. Danach suchte ein Recruiter auf Plattformen wie GitHub nach passenden „Facilitators“ bzw. Vermittlern für Entwicklerzugänge.
Der erste Entwickler wurde gefunden und bestätigte wiederum eine weitere Person, die schließlich den Kontakt zu einem dritten Kandidaten herstellte. Anschließend lief der Rekrutierungsprozess wie geplant: Alle drei durchliefen Interview und Vertrag, erhielten Zugang zu einer Arbeitsumgebung (Work-VM) und konnten sich über die Systeme bewegen.
Welche Belege und Warnzeichen die Ermittler fanden
Besonders aufschlussreich waren die onboardingbezogenen Unterlagen. In einem Fall gab die betreffende Person an, in Pasadena, Texas zu leben. Später lieferte sie eine California-Fahrerlaubnis sowie ein New-York-Bankkonto.
Auch Metadaten spielten eine Rolle: Die Ermittler berichten, dass Bildmetadaten darauf hindeuteten, dass die Aufnahme mit Google Gemini verarbeitet worden war. Zusätzlich wurde ein SynthID-Wasserzeichen genannt – ein unsichtbarer Marker, den Google in Bildern einbettet, die von dessen KI-Tools erstellt oder bearbeitet wurden.
Wichtig: Die Forscher ordneten die beiden Befunde (Gemini-Verarbeitung in den Metadaten und SynthID als Wasserzeichen) als separate Indizien ein. Gleichzeitig erklärten sie nicht im Detail, wie genau das Wasserzeichen technisch erkannt wurde.
Weitere Identitätsprofile: Texas und New York
Beim zweiten Kandidaten tauchte eine Texas-Lizenz auf, außerdem ein angeblich gültiger Social-Security-Number-Datensatz sowie ein Bankkonto in Kansas City. Der dritte lieferte eine New-York-Lizenz, wobei laut Bericht die Lizenz zu einer anderen Person gehörte.
Als Bildnachweis wurde eine echte iPhone-15-Aufnahme verwendet, bei der die GPS-Koordinaten entfernt bzw. gekürzt waren. Das deutet auf ein bewusstes Vorgehen hin, um Geodaten zu verschleiern.
Warum ein erfolgreiches Hiring besonders riskant ist
Die Forscher betonen, dass solche Szenarien nicht nur ein „Recruiting-Risiko“ darstellen. Sobald eine Platzierung erfolgreich durchläuft, werden Zugriffe, die mit einem echten Mitarbeiterkonto verknüpft sind, voraussichtlich auch offiziell freigeschaltet und erwartet. Damit kann ein Zugang zu Quellcode und internen Systemen entstehen, selbst wenn der eigentliche Verursacher nur als Tarnidentität agiert.
Für Unternehmen heißt das: Sicherheitsmaßnahmen dürfen nicht erst im Moment der Einstellung enden. Entscheidend sind fortlaufende Überprüfungen und organisatorische Kontrollmechanismen.
Was die Operativen in der Work-Umgebung machten
Am ersten Tag beschrieben die Ermittler vor allem Reconnaissance-Aktivitäten: Alle drei führten Befehle wie dxdiag, systeminfo und wmic aus, um Informationen über ihre Maschinen zu sammeln. Zusätzlich wurde geprüft, aus welchem Land die Verbindung scheinbar stammt.
Ein weiterer Schritt sticht heraus: Einer der Kandidaten installierte Chrome Remote Desktop und synchronisierte ein persönliches Google-Konto mit der Sandbox. Dadurch erhielt er Zugriff auf Inhalte wie Browsing History, gespeicherte Passwörter und installierte Erweiterungen. Danach loggte er sich auf derselben Maschine bei GitHub ein.
Dass die Operativen diese Art von Konfigurationen in einer bereitgestellten Umgebung vornehmen, unterstreicht, wie eng Identitätsbetrug und potenziell nachfolgende technische Nutzung verknüpft sein können.
Typische Tools und Indikatoren aus dem beobachteten Ablauf
Im Vergleich zu einer zuvor beschriebenen Operation war das Werkzeug-Setup in dieser Runde teils anders. Die Forscher nennen dabei unter anderem, dass für den Versand von Zwei-Faktor-Codes zwischen den Operativen offenbar 2fa.cn genutzt wurde. In der früheren Variante waren andere Dienste genannt worden.
Auch die E-Mail-Landschaft wirkte anders: Wo zuvor offenbar Gmail im Fokus stand, tauchte in dieser Beobachtung Outlook.com auf.
Zudem trugen die Browser Hinweise auf gezielte Unterstützung beim Bewerbungs- und Interviewprozess. Laut Bericht waren Erweiterungen wie AIApply, Final Round AI, Simplify Copilot sowie ein Werkzeug mit gespeicherten Prompts für ChatGPT aktiv.
Infrastruktur und Netzwerkhinweise
Zur technischen Infrastruktur wurden Vultr und Gorilla Servers genannt. Ferner heißt es, dass Astrill VPN-Exit-Nodes über den Verlauf der Aktion eingesetzt wurden. Eine separate Beobachtung („Tracking“) hatte Astrill bereits zuvor als wiederkehrenden Bestandteil entsprechender nordkoreanischer Aktivitäten eingeordnet.
Auch wenn die Details variieren können, lässt sich daraus ableiten, dass VPN-Muster und bekannte Exit-Node-Listen als Ergänzung zu Identitätsprüfungen dienen können.
Empfehlungen: So prüfen Unternehmen Identitäten kontinuierlich
Aus den Erkenntnissen leiteten die Forscher mehrere Empfehlungen ab. Statt sich auf eine einmalige Prüfung beim Hiring zu beschränken, raten sie zu periodischen Identity Checks. Für Firmen, die Remote-First sind, wird außerdem eine Verifizierung in Person als Option genannt.
Darüber hinaus sollten Recruiter gezielt geschult werden, und es wird empfohlen, AstrillVPN als Netzwerkindikator zu blockieren. Zusätzlich nennt der Bericht weitere Signale, die in der entsprechenden Lagebeurteilung (Joint Alert) auftauchen.
- Ein einzelnes Konto wurde offenbar von vielen Adressen aus innerhalb eines kurzen Zeitfensters erreicht.
- Profiltexte wirkten wie maschinelle Übersetzungen.
- Unterlagen, die mit Bildbearbeitungssoftware gefälscht oder verändert wurden, zählen zu den beobachtbaren Warnzeichen.
Damit wird deutlich: Arbeitgeber sollten sowohl technische als auch organisatorische Muster ernst nehmen – vom Bewerberprofil bis zu Metadaten und Bildindikatoren.
Einordnung im größeren Kontext: Verbindungen zu früheren Fällen
Der Bericht stellt diese Aktion als Fortsetzung („sequel“) einer zuvor beschriebenen Untersuchung dar. Dabei hatte ein gemeinsames Vorgehen unter Beteiligung von Personen und Organisationen aus unterschiedlichen Bereichen darauf abgezielt, Vermittler zu enttarnen, die Identitäten „mieten“ oder weiterreichen.
In der zuvor erwähnten US-Fallkonstellation waren zwei Vermittler verurteilt worden, weil sie Beschäftigungen in über 100 US-Unternehmen über mindestens 80 gestohlene Identitäten ermöglicht hatten. Laut Bericht flossen dabei mehr als 5 Millionen US-Dollar an nordkoreanische Stellen.
Für dieses neue Szenario beschreiben die Forscher zusätzlich, dass es in ihrem Setup zwar zu keiner Ausnutzung gekommen sei („Nobody exploited anything“). Dennoch sei die Gefahr real, weil ein echter Platzierungserfolg den operativen Zugang zu internen Ressourcen möglich machen könnte.
Rolle von Gemini und SynthID: Was Prüfer können – und was nicht
Im Bericht wird erwähnt, dass Googles Gemini-App Bilder auf ein SynthID-Wasserzeichen prüfen kann. Allerdings gilt laut Darstellung eine wichtige Einschränkung: Solche Tools erkennen nur Inhalte, die von den KI-Modellen von Google erstellt oder bearbeitet wurden. Ein negatives Ergebnis schließt demnach nicht aus, dass Bilder mit anderen Bearbeitungstools manipuliert wurden.
Das ist für Unternehmen relevant, weil es die Prüfstrategie erweitert: Selbst wenn ein Wasserzeichen nicht gefunden wird, bleibt die Notwendigkeit bestehen, Dokumente und Bildmaterial weiterhin kritisch zu bewerten.
Offene Punkte und vorsichtige Bewertung
Die Forscher ordnen ihre Zielpersonen als „suspected“ (verdächtige) IT-Operative ein. Laut Bericht werden sie als „suspected Famous Chollima operatives“ bezeichnet. Gleichzeitig wird diese Bezeichnung bei CrowdStrike im Zusammenhang mit einer nordkoreanischen IT-Worker-Operation verwendet; das Team ordnet es unter einen breiteren Lazarus-Kontext ein.
Außerdem weist der Bericht darauf hin, dass eine von mehreren Regierungen veröffentlichte Mitteilung am 31. Juli keine konkreten Zuordnungen zu einem bestimmten Vendor-Cluster enthält. Zum Zeitpunkt der Veröffentlichung wurde keine von den Regierungen bestätigte eindeutige Identifizierung in dem Artikel als verifiziert genannt.
Auch die Dauer des gefälschten Unternehmens lässt sich laut Bericht nicht eindeutig einordnen, da keine Zeitangaben zum Betrieb der Fake-Firma genannt wurden.
Fazit: Was Unternehmen aus dem Fake Crypto Startup lernen sollten
Die dokumentierte Aktion zeigt, wie schnell ein Fake Crypto Startup im Recruiting-Kontext zur Falle werden kann – und wie gründlich Operative bei Reconnaissance, Tools und Identitätsdarstellungen vorgehen. Für Arbeitgeber liegt der wichtigste Lernpunkt darin, die Sicherheit nicht nur auf den ersten Hiring-Check zu beschränken.
Mit regelmäßigen Identitätsprüfungen, stärkerer Verifizierung (insbesondere bei Remote-Prozessen), geschulten Recruitern sowie einem klaren Blick auf technische und organisatorische Warnsignale können Unternehmen das Risiko deutlich senken. Gerade weil ein erfolgreicher Platzierungserfolg den Zugang zu internen Systemen legitimieren kann, lohnt sich ein mehrschichtiger Ansatz.
Quelle: https://thehackernews.com/2026/08/researchers-built-fake-crypto-startup.html
