朝鲜IT人员如何渗透全球远程经济

Part01

从加密货币劫掠到经济战转型

报告指出："过去五年间，朝鲜已从简单粗暴的加密货币劫掠转向更隐蔽、可扩展的经济战模式——在全球部署伪装IT人员。"这项由朝鲜侦察总局（RGB）主导的网络劳动力计划，通过伪造或窃取身份将特工安插至美国及国际科技公司的远程工作岗位。

调查发现，该计划成功将数字就业市场武器化，在Upwork、Ureed和Freelancer等平台上的渗透效率惊人。核心人物是臭名昭著的Andariel黑客小组高级官员Song Kum Hyok，他负责协调身份盗窃、AI优化简历以及对开发团队的策略性渗透。

精密伪造的身份网络

"这些伪造身份通常包含经过验证的KYC（了解你的客户）数据：社会安全号码、清白的背景调查记录，甚至绿卡扫描件，均来自数据泄露事件或地下黑市。"报告中特别指出。

调查追踪到多个GitHub账号（如devmad119、suitb2114）与精心打造的LinkedIn资料相关联，这些账号使用Joshua Palmer、Sandy Nguyen等看似普通的英文名，配有真实公司的工作经历和已验证的薪资文件。

深度渗透关键系统

一旦成功入职，这些特工便悄然融入核心开发流程。他们获取的GitHub代码库、CI/CD流水线、云环境及内部Slack频道访问权限，使其能够窃取大量敏感基础设施和知识产权。

报告警告称："从窃取身份到成为内应，这条无缝衔接的路径构成了平壤秘密网络间谍劳动力的运作支柱。"其破坏手段极为隐蔽，包括可能植入生产代码库的"休眠功能"、数据外泄脚本和持久性后门，一旦激活将造成毁灭性后果。

复杂的资金洗白网络

DomainTools追踪到始于加密货币薪资的精密洗钱链条：特工通过GitHub关联钱包接收加密支付，经由Hopana-Tech LLC等空壳公司中转，再利用智能合约分散至TRON和以太坊钱包。

"最终，这些清洗过的资金会汇入朝鲜控制的钱包...转化为该政权战略项目（包括武器研发）的可用资金。"Independent Lab LLC和Highland Park 215 Spa LLC等空壳公司将这些收入伪装成合法经营。美籍关键人物Kejia Wang通过注册实体、洗白超500万美元资金，甚至在新泽西州部署笔记本电脑农场等方式发挥核心作用。

招聘系统的结构性缺陷

报告指出当前招聘流程存在系统性漏洞：过度依赖第三方身份验证、自动化入职程序，以及对远程自由职业者的盲目信任。"与可被边界防御阻断的外部网络攻击不同，这些特工通过伪装成经过审查的远程员工，获得了企业网络内部的持久可信访问权限。"

攻击者展现出极强适应能力。当Upwork等平台加强审查后，他们立即转向中东和非洲地区审核较松的自由职业平台，利用合成语音、AI生成面孔和VPN地理欺骗等手段继续渗透。

超越金融盗窃的战略威胁

这项最初作为受制裁政权的经济命脉的计划，现已演变为地缘政治网络安全威胁。这些特工不仅实施薪资欺诈，更可能已入侵金融科技初创公司、国防承包商和关键基础设施企业的核心代码库。

"远不止于金融盗窃，该计划使朝鲜特工获得持久系统访问权限，得以注入恶意逻辑、窃取专有代码，并在关键领域创建长期后门。"据估算，通过该计划全球洗钱金额达2.5亿至6亿美元，而与朝鲜相关的网络活动造成的总损失高达60亿美元。

报告最后呼吁企业彻底重构信任模型，建议实施零信任原则、持续行为分析，并对所有远程雇佣人员进行严格验证。