← cd ~/blog

Smile, You're on Camera — Lazarus-IT-Worker in der Sandbox-Falle

Was passiert ist

Eine einmalige Operation: Threat-Intelligence-Forscher haben nordkoreanische IT-Worker der Lazarus-Untergruppe Famous Chollima in einer Sandbox festgehalten — und dabei jeden Klick, jede Datei, jede Netzwerkverbindung in Echtzeit mitgeschnitten. Das Ergebnis ist ein seltener Blick von innen in eine Infiltrationsoperation, die normalerweise im Verborgenen läuft.

Die Kooperation zwischen Mauro Eldritch (BCA LTD), Heiner García (NorthScan) und der Sandbox-Plattform ANY.RUN wurde im Dezember 2025 veröffentlicht — und im August 2026 mit Part 2 fortgesetzt, in dem die Forscher eine eigene Fake-DeFi-Firma gründeten und die Lazarus-Operativen einstellten, um sie nach der Einstellung zu beobachten.

Zeitgleich berichtet das FBI (bestätigt am 28. Juli 2026 auf einer Konferenz in Washington), dass ein nordkoreanischer IT-Worker es geschafft hat, bei einer US-Bundesbehörde angestellt zu werden — ein seltener bestätigter Fall, in dem das Schema bis in den Regierungsapparat durchgedrungen ist.

Das Schema: Famous Chollima

Wer ist Famous Chollima?

Famous Chollima ist eine Division der Lazarus Group, dem staatlichen APT Nordkoreas. Im Gegensatz zu anderen Lazarus-Untergruppen, die auf Malware und Hacks spezialisiert sind, setzt Famous Chollima auf Social Engineering — fast ohne Malware, dafür mit viel Schauspielerei.

Das Ziel: nordkoreanische Operativen als Remote-IT-Worker in westliche Firmen einschleusen — vor allem in Finanzwesen, Krypto/Web3, Gesundheitswesen und zunehmend auch Bauingenieurwesen und Architektur. Die verdienten Gehälter fließen zurück an das sanktionierte Regime, vermutlich mit in die Ballistic-Missiles-Programme. Parallel betreiben sie Wirtschaftsspionage aus der Position des Mitarbeiters heraus.

Zwei Methoden

Methode 1: Identitätsdiebstahl. Die Operativen stehlen Identitäten und Lebensläufe echter Ingenieure und gehen selbst zu den Interviews. Sie nutzen KI-Tools für Echtzeit-Antworten während der Interviews und Deepfakes für Video-Calls.

Methode 2: “Ghost Developer”-Modell. Sie kontaktieren junge Ingenieure (oft über GitHub-Spam oder Telegram) und bieten ihnen an, als “Frontmann” zu fungieren: der Ingenieur geht zu den Interviews und bekommt 10–20 % des Gehalts, während die “Ghost Developer” die eigentliche Arbeit erledigen. Der Ingenieur muss die Firment Hardware empfangen und den Operativen 24/7 Remote-Zugriff gewähren.

Das Angebot klingt verlockend: “$3.000 im Monat für ein paar Standup-Meetings und gelegentliche Video-Calls.” Was der Ingenieur tatsächlich tut: er vermietet seine Identität und ist am Ende der einzige, der für alle Schäden haftet — materiell, rechtlich, reputationsmäßig.

Die Operation: Eine Sandbox-Falle

Phase 1: Rekrutierung (Heiner García als “Andy Jones”)

Heiner García näherte sich einem Recruiter namens “Aaron” (Alias “Blaze”) über GitHub an. Blaze spamte Dutzende von Repositories mit einem generischen Job-Angebot — als Pull Request, öffentlich sichtbar:

“I run a US-based job hunting business… I’m looking for someone to attend these interviews on my behalf, using my name and resume… you can expect to make around $3000 per month.”

Heiner impersonierte einen der bereits kontaktierten Entwickler und baute eine Vertrauensbeziehung auf. In mehreren Video-Calls (aufgenommen und auf YouTube dokumentiert) sammelte er Details:

  • Blaze verlangt ID, volle Identität, SSN, Bankzugänge, Visa-Status
  • Er fordert 24/7 Laptop-Zugriff via AnyDesk
  • Er installiert Google Remote Desktop als Backup
  • Er nutzt KI-Tools für Bewerbungen und Interview-Vorbereitung
  • AnyDesk-Passwort: 123qwe!#QWE (und später 123456 für Chrome Remote Desktop)
  • Zielsektoren: IT, Fintech, E-Commerce, Healthcare
  • Er “arbeitet aus verschiedenen Zeitzonen” — ein euphemistischer Hinweis auf Nordkorea

Phase 2: Die Laptop-Farm (ANY.RUN Sandbox)

Die Forscher hatten nie echte Laptops. Stattdessen setzten sie erweiterte ANY.RUN-Sandbox-Instanzen auf — speziell angepasst für stundenlange Sessions mit vorinstallierten Entwicklungstools und realistischer Nutzungshistorie. Alles wurde in Echtzeit aufgezeichnet: Bildschirm, Netzwerk, Dateisystem, jeder Klick.

Die Umgebungen liefen über Residential Proxies (um wie US-basierte Entwickler zu wirken) — und die Forscher konnten jederzeit das Internet kappen, den Remote-Desktop aktiv halten und die Maschine abstürzen lassen.

Die 8 Tapes

Die Aufzeichnungen wurden als “Tapes” dokumentiert:

Tape 1 — The Planning: Blaze verbindet sich via AnyDesk, führt DxDiag aus (Hardware-Check), öffnet Chrome, sucht “where is my location”. Seine IP: 194.33.45.162 — Astrill VPN, UK-Exit. Astrill VPN ist eines der Lieblings-Tools nordkoreanischer Operativer. Dann: geplanter Absturz.

Tape 2 — A Note for Andy: Nach dem “Crash” Wechsel auf Windows 10. Blaze hinterlässt eine Notepad-Nachricht an “Andy”: “I want you to give me your all doc and info today so that I can start ASAP.” Wieder gesteuert abgestürzt. Jede Minute mit den Forschern war eine Minute weniger für echte Betrügereien.

Tape 3 — Incorrect Password: Nach jedem “Crash” ein System-Restore, der alle Fortschritte löschte. Blaze wurde in Login- und CAPTCHA-Schleifen gehalten — fast eine Stunde lang, während IOCs und Verhaltensmuster extrahiert wurden.

Tape 4 — Intruder: Ein zweiter Operativer unter dem Namen “Assassin” loggt sich ein — selbe Astrill-VPN-IP wie Blaze. Sie teilen sich Infrastruktur. Blaze sucht “Chrome Download” (Chrome via Google suchen, um Chrome herunterzuladen). Die Forscher schalten auf einen deutschen VPN-Server um — Blaze landet in CAPTCHA-Hölle und deutschem Google.

Tape 5 — Criminal Engineering: Blaze loggt sich in sein Google-Konto ein und aktiviert Sync. Damit sichtbar: seine komplette Browser-Extension-Liste — das Toolkit der Famous Chollima:

ToolFunktion
Simplify CopilotAuto-Fill für Job-Bewerbungen
AIApplyAutomatisierte Jobsuche
Final Round AIEchtzeit-Antworten für Interview-Fragen
Saved Prompts (GPT)LLM-Prompt-Lesezeichen
Authenticator.cc / otp.eeOTP-Generator (MFA-Bypass)
Google Remote DesktopPersistenter Remote-Zugriff

Er richtet Chrome Remote Desktop ein — PIN 123456 — und hat zwei weitere Hosts sichtbar: AARON-PC und Blaze. Dann: kontrollierter Absturz. Sein E-Mail-Konto bleibt offen.

Tape 6 — Eavesdropper: Die Forscher lesen seine E-Mails (mit ihm offline). Sie finden Slack-Workspaces, Job-Plattform-Abos und Gespräche mit einem Zeeshan Jamshed — der über “Eid” spricht, sich über Job-Plattformen auslässt und verbittert klingt: “same 3 questions that keeps asking and asking for the rest of your lives.” Zeeshan scheint ein weiterer Operativer zu sein, möglicherweise in einer Firma in einer mehrheitlich muslimischen Region.

Tape 7 — Fool me Twice: Blaze erneut auf Windows 11. Er loggt sich wieder ein — Location jetzt Texas, USA. Er richtet Google Remote Desktop ein, checkt E-Mails (ohne die Einmischung zu bemerken). Dann: Proxy kappt, Internet weg. Blaze troubleshootet IPv4-Konfiguration, ohne zu hinterfragen, warum er noch remote verbunden ist mit einer Maschine ohne Internet.

Tape 8 — Realization: Blaze wird misstrauisch. Er prüft die Windows-Registry, sucht “ip fraud check”, besucht Scamalytics und IP Score — und findet: deutsche IP. Er konfrontiert die Forscher via Telegram. Keine Antwort. Letzter kontrollierter Absturz. Operation beendet.

Bonus: Eifersucht ausgelöst

Die Forscher erfanden einen rivalisierenden Recruiter namens “Ralph” und erzählten Blaze, dass sie ein besseres Angebot hätten. Blaze verlor es — beschimpfte Ralph, nannte ihn “weird”, warf ihm vor, Accounts blockiert zu haben, und bestand darauf, dass “Andy” ausschließlich mit ihm arbeitet. Das bestätigte: fehlende Koordination zwischen Zellen, gemeinsame Infrastruktur und schlechte OpSec — mehrere Operative bewerben sich teils für die gleiche Position am selben Tag.

Part 2: Die Fake-Firma

Im August 2026 veröffentlichten die Forscher Part 2 der Operation. Diesmal spielten sie nicht Facilitator, sondern gründeten eine eigene Firma: Ballena Azul LTD / Blue Whale LTD — eine Fake-DeFi-Plattform für Krypto-Wale.

Mit professioneller Website, echtem UK-Companies-House-Eintrag (einer bestehenden, unabhängigen Registrierung), OpenSea-Präsenz und schlüssigem Geschäftsmodell. Die Forscher stellten Famous Chollima-Operativen ein und beobachteten sie nach der Einstellung — wie sie auf Quellcode zugriffen, mit internen Systemen interagierten und versuchten, sich in vertrauensbasierte Prozesse einzunisten.

Die Erkenntnis: Das Schema endet nicht bei der Einstellung. Ein erfolgreicher Placement bedeutet monatelangen oder jahrelangen Zugang zu internen Systemen, IP und Unternehmensentscheidungen — während parallel ein legitimes Gehalt an das DPRK-Regime fließt. Wenn genug Operative in derselben Firma sind, könnten sie Engineering-Entscheidungen, Code Reviews und Pull Requests beeinflussen — ganz ohne Software-Schwachstellen auszunutzen.

Der FBI-Fall: Nordkoreaner bei US-Behörde

Zeitgleich zur Veröffentlichung von Part 2 berichtete TechCrunch (11. August 2026), dass das FBI untersucht, wie ein nordkoreanischer IT-Worker bei einer nicht genannten US-Bundesbehörde angestellt wurde — bestätigt durch einen FBI-Offiziellen auf einer Konferenz am 28. Juli in Washington.

Das ist bemerkenswert: Bisher galten strenge Vetting- und Security-Clearance-Verfahren als Bollwerk gegen solche Infiltrationen. 2024 gab es bereits einen Fall, in dem ein Mann aus Maryland einem nordkoreanischen Hacker half, sich als Amerikaner auszugeben und einen Remote-Job als Auftragnehmer für die Federal Aviation Administration (FAA) zu bekommen. Der neue Fall zeigt, dass das Schema auch im Regierungsapparat funktioniert.

Kontext:

  • Tausende nordkoreanische IT-Worker sollen in den letzten Jahren bei US- und europäischen Organisationen angestellt worden sein
  • Nordkorea ist für 76 % aller Krypto-Diebstähle verantwortlich (TRM Labs, 2026)
  • Mindestens 2 Milliarden Dollar wurden 2025 über Krypto-Hacks erbeutet
  • Die DOJ hat 2025 mehrere großangelegte Enforcement-Actions durchgeführt, inklusive Festnahmen, Sanktionen und Zerschlagung von Laptop-Farmen

Indicators of Compromise (IOCs)

Netzwerk

  • IP: 194.33.45.162 (Astrill VPN, UK-Exit)
  • Telegram: t.me/peregrine423f
  • Slack: aaronzeeshan.slack.com, aaronsfazzy.slack.com
  • GitHub: github.com/7codewizard, github.com/neymafullstack, github.com/swiftcode1121, github.com/ghost
  • Calendly: calendly.com/7codewizard/30min
  • Portfolio: jackson-portfolio.vercel.app
  • LinkedIn: linkedin.com/in/jackson-kidd-1680b2339/
  • Bold Pro: us.bold.pro/my/jaron-gaston-241007104612

E-Mails

  • kamaunjoroge296@gmail.com
  • jacksonkidd216@gmail.com

Verhaltens-Indikatoren

  • Nicknames: Blaze, Assassin
  • AnyDesk-IDs: 1686564829, 1291915543
  • Passwörter: 123qwe!#QWE, 123456
  • Suchanfragen: “what is my location”, “where is my location”, “where is my ip”, “netspeedtest”
  • Erste Aktion nach Login: DxDiag → Chrome als Default → “where is my location”

Toolset

VPN & Remote Desktop:

  • Astrill VPN
  • AnyDesk
  • Google Remote Desktop

Browser-Extensions:

  • Simplify Copilot (Job-Auto-Fill)
  • AIApply (automatisierte Jobsuche)
  • Final Round AI (Interview-Antworten in Echtzeit)
  • Saved Prompts for GPT (Prompt-Lesezeichen)
  • Authenticator.cc / otp.ee (OTP-Generator)
  • Google Remote Desktop

Befehle:

  • dxdiag, systeminfo, whoami, remoting_start_host.exe

Plattformen:

  • GitHub, LinkedIn, ZipRecruiter, Bold Pro, Vercel, Calendly
  • Slack, Telegram

Was das für Arbeitgeber bedeutet

Red Flags beim Hiring

  1. Remote-Only-Bewerber, die Webcam vermeiden — oder nur mit stark gefiltertem/unscharfem Bild appearen
  2. Mehrere Bewerber für die gleiche Position mit ähnlichen Profilen und gleichzeitigem Interview-Timing — mögliche fehlende Koordination zwischen Zellen
  3. Bewerber, die technische Fragen mit delayierten, übermäßig polierten Antworten beantworten — mögliches KI-Coaching (Final Round AI, AIApply)
  4. Neue Mitarbeiter, die sofort Remote-Desktop-Tools installieren (AnyDesk, Chrome Remote Desktop) und persistente Verbindungen zu externen Hosts aufbauen
  5. OTP-Generator-Extensions im Browser — können für MFA-Bypass bei Unternehmenskonten genutzt werden
  6. Laptop-Farm-Indikatoren: ein Mitarbeiter, dessen Laptop nie in den Standby geht, immer online ist, aber Aktivitätsmuster zeigen, die nicht zum deklarierten Standort passen

Was tun?

  • KYC und Background Checks verschärfen — insbesondere für Remote-Positionen mit Zugang zu sensiblen Daten
  • Video-Interviews mit Live-Identitätsprüfung — nicht nur “Kamera an”, sondern Verifikation gegen Ausweis
  • Device-Monitoring für Firment Hardware — unerwartete Remote-Desktop-Verbindungen alarmieren
  • MFA-Hardening — Hardware-Keys (FIDO2) statt OTP-Apps, die durch Browser-Extensions interceptierbar sind
  • Trainiert Talent Acquisition Teams — die ersten, die mit diesen Operativen sprechen, sind Recruiter, nicht Security-Teams

Was das für IT-Security bedeutet

Die Bedrohung ist nicht nur technisch

Famous Chollima nutzt keine Zero-Days, keine komplexen Exploit-Chains. Die Waffe ist eine gute Geschichte, eine überzeugende Persona und die Bereitschaft, Wochen oder Monate in Social Engineering zu investieren. Das fällt nicht in den Zuständigkeitsbereich klassischer Endpoint-Detection — es ist ein Prozess-Problem, kein Malware-Problem.

Sandbox-Approach als Blueprint

Die ANY.RUN-Operation zeigt, dass interaktive Sandboxes nicht nur für Malware-Analyse taugen. Mit erweiterten Laufzeiten und realistischer Umgebung lassen sie sich als Honeypots für menschliche Angreifer einsetzen — jeder Klick, jede Datei, jede Netzwerkverbindung wird erfasst. Das ist Threat Intelligence aus erster Hand, ohne dass echte Systeme gefährdet werden.

KI als Doppel-Edged Sword

Die Lazarus-Operativen nutzen KI massiv: für Bewerbungen, für Interview-Antworten, für Übersetzungen, für Prompt-Management. Das senkt die Barrieren — mittelmäßige Programmierer werden zu mittelmäßigen Bewerbern mit exzellenten Interview-Skills. Gleichzeitig können Verteidiger KI nutzen, um Verhaltensmuster zu erkennen, die auf Sandbox-Verhalten oder Identitätsbetrug hindeuten.

Für den Rettungsdienst

Das DRK und andere Gesundheitsorganisationen sind explizit im Zielfadenkreuz — Healthcare ist einer der primären Zielsektoren. Bei Remote-Positionen mit Zugang zu Patientendaten oder Abrechnungssystemen sollten:

  • Background Checks verpflichtend sein — auch für Freelancer
  • Remote-Desktop-Tools auf Firment Hardware blockiert oder streng überwacht werden
  • MFA auf Hardware-Keys basieren, nicht auf OTP-Apps
  • Onboarding-Prozesse eine Identitätsverifikation beinhalten, die über “Kamera an im Video-Call” hinausgeht
  • Security-Awareness-Trainings den Famous-Chollima-Szenario konkret benennen — nicht abstrakt “Achtung Phishing”, sondern “Achtung, dein neuer Remote-Kollege könnte in Nordkorea sitzen”

Einordnung

Diese Investigation ist ein Meilenstein — nicht weil sie neue Malware entdeckt hat, sondern weil sie zeigt, dass der menschliche Faktor die größte Schwachstelle ist. Die Lazarus-Operativen sind keine technischen Genies. Sie sind gute Schauspieler mit einem begrenzten, aber effektiven Toolkit aus Social Engineering, KI-Tools und Remote-Desktop-Software.

Die Sandbox-Falle der ANY.RUN-Forscher ist ein Blueprint für die Industrie: man muss nicht warten, bis die Angreifer zuschlagen. Man kann sie in kontrollierte Umgebungen locken und sie dabei beobachten. Das ist proaktive Threat Intelligence — und sie liefert Erkenntnisse, die man aus Malware-Analysen allein nicht bekommt.

Die Tatsache, dass ein nordkoreanischer IT-Worker es bis zu einer US-Bundesbehörde geschafft hat, zeigt: das Problem ist nicht kleiner geworden. Es ist größer. Und es wird technisch nicht gelöst — sondern durch bessere Prozesse, bessere Vetting-Verfahren und mehr Awareness.

Smile, you’re on camera. 🎥

Quellen: