微软清理与朝鲜IT工人相关的3,000个电子邮件账户

微软暂停了3000个Outlook和Hotmail账户，这些账户与朝鲜计划有关，涉及朝鲜国民冒充远程工作者，使用虚假身份。

美国官员长期以来一直警告说，朝鲜 利用网络黑客攻击、欺诈和IT行动的非法收入来绕过国际制裁并维持其军事计划。当局现在正在打击他们所谓的全球犯罪行动，该行动秘密地将数百万美元输送给金正恩的独裁政权。

微软关闭 3,000 与朝鲜相关的电子邮件账户

微软在一次扫荡中暂停了超过3,000个电子邮件账户，这次扫荡是针对由冒充远程技术专业人士的朝鲜IT工人运营的国际计划。

微软的行动紧随美国司法部、联邦调查局和其他联邦机构参与的协调行动。他们一起开始瓦解一个由微软威胁情报部门代号“Jasper Sleet”的复杂阴谋。这是一个利用全球自由职业就业市场和技术公司的行动。

该行动不仅欺骗雇主，还被认为直接资助朝鲜的核武器计划。

根据微软威胁情报团队的说法，该计划涉及来自朝鲜民主主义人民共和国（DPRK）的受过培训的IT专业人员，他们假设虚假身份以获得外国公司，特别是美国公司的远程就业。

其中许多工人是 高度熟练的，一些雇主无意中称赞他们是顶级表现者。

“这些不是入侵系统的黑客，”微软威胁情报中心（MSTIC）说。“他们是熟练的开发人员、质量保证工程师和IT支持专家，他们通过面试，完成实际工作，并融入其中——除了一个关键细节：他们是为DPRK工作。”

在许多情况下，同谋者，有时是美国公民，通过出租他们的身份或运营当局描述的“笔记本电脑农场”来促进访问。

笔记本农场是物理场所，不具防备的雇主发出的笔记本电脑被运送到这里并进行维护。至少有29个这样的地点遭到执法部门搜查，这些地点安装的笔记本电脑装有远程访问软件，或被物理重定向至中国或俄罗斯。

美国司法部最近详细披露了一起马里兰州美甲沙龙员工的案件，该男子将于8月接受判决。调查发现，该男子同时代表朝鲜IT工人从事13份工作，通过远程薪资支付赚取了近100万美元。

据联合国估计，朝鲜IT工人项目每年产生高达6亿美元的收入。这些收入往往用于支持网络犯罪活动和该国的核野心。

微软利用AI和检测工具进行反击

在本周的 博客文章 中，微软详细说明了暂停了3,000个消费者电子邮件账户，主要是Outlook和Hotmail，这些账户正被朝鲜特工使用。

微软威胁情报中心高级总监杰里米·达尔曼表示：“除了最近关闭的3000个消费者电子邮件账户外，为了破坏该行为者的活动并保护我们的客户免受此威胁，微软继续关闭已识别的个人账户，并追踪该行为者对AI的使用。”

微软观察到，朝鲜工人正变得越来越复杂。他们现在利用AI工具修复简历和求职信中的语法错误，增强照片以显得更专业或更西方化，并使用换脸技术将他们的图像叠加在被盗的身份文件上。

有些人甚至尝试使用变声软件，帮助中介代表他们通过工作面试。虽然微软尚未观察到在实时面试中使用结合AI驱动的语音和视频深度伪造技术，但该公司警告称，这可能只是时间问题。

微软表示：“如果成功，这种战术将使朝鲜IT工人能够直接进行面试，不再依赖中介代表他们。”

这些增强的AI战术使特工能够更好地掩盖其来源，使雇主更难识别红旗。常见方法包括在LinkedIn、GitHub和自由职业市场等各种就业平台上重复使用姓名、电子邮件地址和档案模板。

为了检测和防御这些战术，微软部署了一种定制的机器学习解决方案，使用其所谓的“不可能时空旅行”分析来标记可疑活动，其中包括监控在狭窄时间框架内地理位置不合理的位置的登录情况，例如从美国访问后紧接着从中国或俄罗斯访问。

微软还在加强其身份保护工具，并敦促公司采用强大的身份验证协议和实时风险检测系统。这家科技公司与美国政府机构合作，共享情报并构建可应用于整个网络安全行业的技术解决方案。

该公司承诺保持对不断演变的威胁的压力。达尔曼表示：“Jasper Sleet不断改变和演变他们的档案。我们密切关注他们如何适应，特别是与AI相关的适应，并努力保持领先一步。”