Kuzey Kore Hacker Ekibinin İç Operasyonları

Son günlerde, anonim bir beyaz şapkalı Hacker, bir Kuzey Koreli IT çalışanın cihazına başarılı bir şekilde sızarak, beş kişilik bir teknik ekibin nasıl 30'dan fazla sahte kimlik kullanarak siber faaliyetlerde bulunduğuna dair iç yüzünü ortaya çıkardı. Bu ekip sadece sahte resmi kimlik belgelerine sahip olmakla kalmıyor, aynı zamanda çevrimiçi platform hesapları satın alarak çeşitli geliştirme projelerine sızıyor.

Araştırmacılar, ekibin bulut depolama verilerine, tarayıcı yapılandırma dosyalarına ve cihaz ekran görüntülerine erişim sağladı. Veriler, ekibin iş programlarını koordine etmek, görevleri dağıtmak ve bütçeyi yönetmek için bir teknoloji devinin ofis paketine yüksek derecede bağımlı olduğunu gösteriyor; tüm iletişim İngilizce yapılıyor.

2025 yılına ait bir haftalık rapor dosyası, bu Hacker ekibinin çalışma biçimini ve karşılaştıkları zorlukları ortaya koyuyor. Örneğin, bazı üyeler "iş gereksinimlerini anlayamıyorum, ne yapmam gerektiğini bilmiyorum" diye şikayet etmişler, buna karşılık sunulan çözüm ise "kendini ver, iki kat daha fazla çalış" olmuş.

Ekibin harcama detayları, harcama kalemlerinin sosyal güvenlik numarası (SSN) satın almak, çevrimiçi ticaret platformu hesabı, telefon numarası kiralama, AI hizmetine abone olma, bilgisayar kiralama ve VPN/Proxy hizmetleri satın alma gibi kalemleri içerdiğini göstermektedir.

Sahte kimlikle "Henry Zhang" olarak katılanların zaman çizelgesi ve konuşma metninin yer aldığı detaylı bir elektronik tablo. İşlem akışı, bu Kuzey Koreli IT çalışanlarının önce çevrimiçi platform hesapları satın alıp, bilgisayar ekipmanları kiraladıklarını ve ardından uzaktan kontrol araçlarıyla dış kaynaklı işleri tamamladıklarını gösteriyor.

Araştırma, ekibin para gönderip almak için kullandığı bir cüzdan adresini de buldu. Bu adres, Haziran 2025'te gerçekleşen 680.000 dolarlık bir sözleşme saldırısı ile yakın zincir içi ilişkiye sahip. Olaydan sonra, saldırıya uğrayan projenin CTO'su ve diğer geliştiricilerin sahte belgelerle çalışan Kuzey Koreli BT çalışanları olduğu doğrulandı. Bu adres aracılığıyla, diğer sızdırılan projelerdeki Kuzey Koreli BT personeli de tanımlandı.

Ekip üyelerinin arama kayıtları ve tarayıcı geçmişinde çok sayıda önemli kanıt bulundu. Bu kanıtların Kuzey Kore'den geldiğini nasıl teyit edecekleri sorgulanabilir; yukarıda bahsedilen sahte belgelerin yanı sıra, arama geçmişleri çevrimiçi çeviri hizmetlerini sıkça kullandıklarını ve içeriği Korece'ye çevirmek için Rus IP'si kullandıklarını gösteriyor.

Şu anda, işletmelerin Kuzey Koreli BT çalışanlarına karşı önlem alma konusunda karşılaştığı ana zorluklar şunlardır:

1. Sistematik işbirliği eksikliği: Platform hizmet sağlayıcıları ile özel sektör arasında etkili bir bilgi paylaşımı ve işbirliği mekanizması yok.
2. İşverenin dikkatsizliği: İnsan kaynakları ekibi, risk uyarısı aldıktan sonra genellikle savunmacı bir tutum sergilemekte ve hatta soruşturmayı işbirliği yapmayı reddetmektedir.
3. Miktar avantajı etkisi: Teknolojik yöntemleri karmaşık olmasa da, büyük iş arayanlar havuzuyla küresel istihdam pazarına sürekli olarak sızıyor.
4. Fon dönüşüm kanalları: Bazı ödeme platformları, geliştirici işlerinden elde edilen fiat gelirlerini kripto para birimine dönüştürmek için sıkça kullanılmaktadır.

Bu araştırma, sektöre Kuzey Koreli hackerların "çalışma" yöntemlerini proaktif bir bakış açısıyla ifşa etme fırsatı sunuyor ve proje sahipleri için önceden güvenlik önlemleri almak açısından önemli bir anlam taşıyor. Şirketler ve bireyler, potansiyel tehditleri tanıma ve önleme yeteneklerini artırmak için dikkatli olmalıdır.