Corea del Nord infiltra aziende con falsi dipendenti: PiKVM, webcam e identità rubate

🛡️ Executive Summary

• Huntress ha identificato nel 2026 cinque sospetti lavoratori nordcoreani già assunti in aziende di sanità, finanza, vendite e marketing.
• Le indagini collegano documenti falsificati, Astrill VPN, proxy, PiKVM, capture card Guermok e immagini rubate a schemi compatibili con Famous Chollima.
• Il dipendente non viola il perimetro: viene assunto, riceve account e laptop legittimi e può operare attraverso infrastrutture che ne nascondono posizione e identità.

Il lavoratore nordcoreano non deve necessariamente bucare la rete aziendale: può convincere l’azienda ad assumerlo, ricevere un computer configurato, ottenere credenziali legittime e iniziare a lavorare dall’interno. Una nuova indagine di Huntress mostra quanto questo modello, associato all’ecosistema Famous Chollima, sia diventato difficile da distinguere dal normale lavoro remoto. Nel corso del 2026 i ricercatori hanno aiutato diverse organizzazioni a identificare cinque persone ritenute probabili lavoratori DPRK, impiegate non soltanto nell’IT ma anche in sanità, servizi finanziari, vendite e marketing. Il modello completa quanto già emerso nell’esperimento in cui ricercatori hanno assunto direttamente tre sospetti IT worker nordcoreani dentro una falsa startup DeFi, dimostrando che l’infiltrazione non riguarda più soltanto candidature sospette ma può arrivare fino all’onboarding reale. Le tracce raccolte da Huntress comprendono documenti apparentemente falsificati, VPN e proxy usati sistematicamente, fotografie sottratte a persone reali, PiKVM collegati ai laptop aziendali e capture card utilizzate come webcam virtuali.

Tre dipendenti nel settore sanitario usavano infrastrutture e documenti quasi gemelli

L’indagine pubblicata da Huntress parte da un’organizzazione australiana che nel febbraio 2026 sospettava che tre propri dipendenti fossero lavoratori nordcoreani presentatisi come cittadini cinesi. Gli analisti hanno esaminato sei mesi di Unified Audit Logs, autenticazioni Microsoft 365, Exchange, SharePoint e telemetria ITDR, individuando per tutti e tre un uso ricorrente di Astrill VPN, insieme a IPRoyal Proxy e infrastrutture WorkTitans. Preso isolatamente, l’utilizzo di una VPN non dimostra alcuna attività malevola, ma la correlazione tra più servizi di anonimizzazione, geolocalizzazioni incoerenti e orari di lavoro anomali rafforza il sospetto.

Lo stesso uso di AstrillVPN, account multipli e infrastrutture distribuite era già emerso nell’operazione Ballena Azul contro sospetti lavoratori DPRK, dove i ricercatori avevano osservato direttamente il comportamento degli operatori dopo l’assunzione. Meno del 50% dell’attività analizzata da Huntress avveniva negli orari lavorativi previsti e il picco cadeva esattamente a mezzanotte UTC, corrispondente alle 9 del mattino in Corea del Nord.

Passaporti e bollette mostrano anomalie difficili da spiegare come coincidenze

La verifica si è spostata quindi sui documenti conservati negli account OneDrive di due dipendenti: carta d’identità cinese, passaporto e bolletta elettrica, apparentemente utilizzati durante l’onboarding.

Le immagini sembravano plausibili, ma Huntress ha trovato sovrapposizioni anomale: passaporti emessi a Shenzhen a un solo giorno di distanza, carte d’identità con esattamente lo stesso periodo di validità, stessa autorità emittente, indirizzi sulla stessa strada e fotografie con offset UTC +03:00 scattate da un iPhone 15 Pro Max a pochi minuti di distanza.

Le bollette presentavano inoltre errori identici e riferimenti ad Arizona Public Service incompatibili con il fornitore cinese dichiarato. È un livello di costruzione documentale coerente con il salto qualitativo già osservato nei falsi colloqui nordcoreani, dove AI, identità sintetiche e documenti manipolati vengono utilizzati per rendere più credibile il candidato. Il singolo documento può apparire autentico; è il confronto tra dossier differenti a far emergere la fabbrica comune.

Leggi anche: Contagious Interview nasconde malware negli SVG dei falsi colloqui di lavoro

Un PiKVM trasforma il laptop aziendale in una postazione controllabile da remoto

Il caso tecnicamente più interessante emerge ad agosto, quando Huntress interviene in un’azienda del settore finanziario poco dopo l’assunzione di un dipendente sospetto. Sul computer vengono trovate tracce di un PiKVM V4 Mini, dispositivo open source basato su Raspberry Pi che consente di controllare un computer a livello hardware attraverso Internet. Diversamente da un normale software di remote desktop, PiKVM può gestire tastiera, mouse e video anche prima dell’avvio del sistema operativo, senza installare un agente remoto sul PC controllato. Il dispositivo permette quindi di lasciare fisicamente il laptop nel Paese dichiarato dal lavoratore e controllarlo da un’altra area geografica, preservando indirizzo IP e apparenza della postazione. È lo stesso principio operativo descritto nei casi delle laptop farm nordcoreane, già richiamate nell’analisi italiana sui falsi colloqui LinkedIn e sulle infrastrutture utilizzate per simulare la presenza locale dei dipendenti. I log di Windows e il registro mostrano che il PiKVM era stato collegato il 31 luglio, giorni prima dell’installazione dell’agente Huntress.

Il laptop arriva in una casa e poche ore dopo diventa una macchina fissa

La timeline ricostruita mostra quanto la componente fisica sia importante. Il 24 luglio il laptop viene preparato dal managed service provider; il 27 luglio l’account inizia ad autenticarsi ai servizi cloud; il 31 luglio alle 04:16 UTC il computer compare dietro un router da viaggio GL.iNet e alle 16:51 si collega a una rete domestica denominata Pickle_Rick. Alle 21:12 viene collegato il PiKVM e meno di quindici minuti dopo il computer passa definitivamente a Ethernet, senza tornare sul Wi-Fi. Per Huntress la sequenza è compatibile con l’arrivo della macchina in una laptop farm, cioè una struttura fisica nella quale computer aziendali restano accesi e vengono controllati da lavoratori situati altrove. Il valore strategico di questo modello è evidente se confrontato con le operazioni che trasformano proxy residenziali e dispositivi reali in infrastrutture per nascondere l’origine geografica delle connessioni: nel caso DPRK il nodo residenziale non è soltanto una copertura di rete, ma coincide con il vero endpoint aziendale consegnato dal datore di lavoro.

Webcam, microfono e fotografia rubata costruiscono il dipendente remoto

Dopo l’installazione del PiKVM, l’utente verifica rapidamente audio, microfono e indirizzo IP pubblico, utilizzando servizi online pochi minuti prima di partecipare a riunioni Zoom. Huntress trova inoltre una Guermok USB3 Video, capture card registrata da Windows come webcam e capace di inviare all’applicazione un flusso proveniente da una sorgente differente. Anche questo dispositivo è legittimo; la combinazione con PiKVM, test audio, verifiche dell’IP e successivi meeting acquista però un significato completamente diverso.

L’utente aveva inoltre scaricato da SendGB una fotografia successivamente ricondotta al profilo GitHub di un’altra persona e manipolata nel volto. Il quadro amplia quanto osservato nelle campagne Contagious Interview contro sviluppatori GitHub, dove l’identità professionale e la piattaforma di collaborazione diventano direttamente parte della catena di attacco: qui GitHub non serve a consegnare malware, ma fornisce involontariamente il materiale da cui costruire un’identità umana credibile.

Il threat hunting scopre un secondo lavoratore cercando PiKVM e Guermok

Gli indicatori raccolti nel caso finanziario diventano immediatamente strumenti di ricerca negli altri ambienti protetti. Cercando la combinazione PiKVM + Guermok, Huntress individua un altro lavoratore assunto appena tredici giorni prima in un ruolo di sales e marketing, dimostrando che il fenomeno si sta spostando oltre le classiche posizioni da sviluppatore. In questo ambiente emergono Toffeeshare per il trasferimento di documenti, estensioni Chrome per traduzione e registrazione audiovisiva, strumenti per la pronuncia inglese e VDO.Ninja per trasformare sorgenti video in webcam virtuali. Inviti Zoom ricorrenti, completi di password, erano stati pubblicati anche su un servizio pubblico di condivisione del codice. La capacità di sostenere più ruoli e identità contemporaneamente richiama l’uso dell’intelligenza artificiale da parte degli operatori DPRK per compensare limiti linguistici, preparare colloqui e mantenere personaggi professionali coerenti, ma in questo caso il dettaglio più importante è organizzativo: un indicatore trovato su un singolo endpoint permette di scoprire altri insider soltanto se viene cercato trasversalmente nell’intera telemetria.

I documenti possono appartenere a persone vere ma avere il volto sostituito

Il secondo caso mostra una forma più raffinata di frode identitaria. I numeri presenti sui documenti risultavano plausibili e parte dei dati coincideva con quelli di una persona realmente esistente, compresi nome, data di nascita e località, mentre il volto non corrispondeva e le firme sembravano sovrapposte digitalmente. Questo suggerisce che gli operatori non debbano necessariamente inventare una persona da zero: possono riutilizzare dati autentici e sostituire fotografia e componenti visive, aumentando la probabilità di superare controlli automatici che verificano soltanto la coerenza formale del documento. Il modello è coerente con l’evoluzione delle operazioni nordcoreane che combinano identità sintetiche, identità rubate, account intermediari e strumenti AI per attraversare onboarding e verifiche aziendali. In questo scenario il background check non deve verificare soltanto che il documento “esista”, ma che persona, fotografia, storia professionale e infrastruttura digitale appartengano realmente allo stesso individuo.

L’assunzione è il vettore di accesso

La caratteristica che distingue questo modello dalle normali intrusioni è strutturale: il dipendente possiede legittimamente l’account che utilizza. Non deve rubare una password perché gliela assegna l’azienda; non deve compromettere un endpoint perché riceve un laptop aziendale; non deve violare un repository perché l’accesso può rientrare nelle sue mansioni. Una volta superato l’onboarding, il confine tradizionale tra attaccante esterno e insider si dissolve. È precisamente ciò che rende l’operazione più pericolosa rispetto ai falsi colloqui nordcoreani utilizzati per indurre sviluppatori a eseguire repository malevoli e installare stealer o RAT: lì il colloquio è l’esca per ottenere codice eseguito sulla macchina della vittima; qui il colloquio serve a ottenere un contratto, uno stipendio e accessi legittimi all’infrastruttura aziendale.

Il lavoro remoto diventa anche una macchina per generare valuta al regime

Il fenomeno non riguarda soltanto lo spionaggio. Le autorità statunitensi descrivono da anni gli IT worker nordcoreani come un canale per produrre entrate in valuta estera e aggirare le sanzioni internazionali, utilizzando facilitatori, identità rubate, società di comodo e conti intermediari. L’azienda colpita può quindi trovarsi contemporaneamente davanti a tre rischi: finanziare indirettamente Pyongyang attraverso gli stipendi, concedere accesso a proprietà intellettuale e dati interni e, in alcuni casi, diventare bersaglio di estorsione quando il lavoratore viene scoperto. L’ecosistema finanziario nordcoreano ha già dimostrato una capacità molto più ampia di utilizzare cybercrime, criptovalute e infrastrutture digitali per generare fondi, come mostrano le operazioni DPRK che affiancano lavoratori remoti e furti di asset digitali. Il falso dipendente rappresenta la variante più silenziosa: invece di sottrarre direttamente il denaro, si fa pagare regolarmente dalla vittima.

Continua con:

• Famous Chollima usa Pastebin, steganografia e 17 pacchetti npm per distribuire stager
• ACN porta in Italia l’allarme sui falsi colloqui LinkedIn e sulle campagne nordcoreane

Come riconoscere un lavoratore DPRK senza trasformare un indicatore in una prova

Huntress insiste su un punto fondamentale: nessuno degli indicatori descritti dimostra isolatamente che un dipendente appartenga alla Corea del Nord. PiKVM, Guermok, VPN, proxy, servizi di file sharing e strumenti di traduzione hanno tutti impieghi legittimi. Il rilevamento nasce dalla correlazione tra eventi: Windows Event ID 6416 con dispositivi PiKVM o Guermok, chiavi USB nel registro, autenticazioni attraverso servizi di anonimizzazione associate a geografie incoerenti, attività sistematicamente fuori dal fuso dichiarato, controlli ripetuti di webcam e microfono, condivisione pubblica di meeting e anomalie nei metadata dei documenti. Lo stesso principio vale per l’attribuzione delle campagne statali: come dimostra la necessità di distinguere con precisione tra target, tentativo di compromissione e vittima realmente violata nelle operazioni attribuite ad attori sponsorizzati, una serie di indicatori deve costruire una catena probatoria e non diventare automaticamente una sentenza sull’identità del lavoratore. Huntress raccomanda controlli più rigorosi durante l’assunzione, verifiche documentali robuste e hunting continuo sugli endpoint già assegnati. L’EDR può trovare il PiKVM dopo l’onboarding, ma la difesa migliore resta impedire che un’identità falsa diventi un dipendente reale.