US-Justizministerium gibt Anklage gegen 14 Personen, 2 Festnahmen und Beschlagnahme von rund 187 Geräten im Zusammenhang mit nordkoreanischer Remote-IT-Arbeiter-Masche bekannt

https://x.com/FBIDallas/status/2110112211779654086

Das US-Justizministerium hat am 13. Oktober koordinierte Maßnahmen gegen die Remote-Informationstechnologie-(IT)-Arbeitskräfte-Masche der nordkoreanischen Regierung bekannt gegeben. Die Bundesstaatsanwaltschaft für den nördlichen Bezirk von Ohio hat im Zusammenhang mit einer Verschwörung, die mehr als 70 US-Unternehmen betraf, Anklage gegen 14 Personen erhoben; zwei von ihnen, US-Bürger, wurden festgenommen. Laut einer Pressemitteilung des Justizministeriums durchsuchte das Federal Bureau of Investigation (FBI) in Texas mehr als 40 als „Laptop-Farmen“ bezeichnete Stützpunkte und beschlagnahmte rund 187 Laptops und Fernzugriffsgeräte.

Vom Justizministerium angekündigte Maßnahmen

Auch das offizielle X-Konto der Nationalen Sicherheitsabteilung des Justizministeriums kündigte am selben Tag die koordinierten Maßnahmen an und meldete die Anklagen und Festnahmen in Ohio und Texas sowie die Beschlagnahme von rund 187 Computergeräten. Die FBI-Außenstelle Cleveland erklärte ebenfalls, dass die Staatsanwaltschaft für den nördlichen Bezirk von Ohio nach eigenen Ermittlungen 14 Personen angeklagt habe und 70 Unternehmen geschädigt worden seien. Die Zahlen der angeklagten Personen und der geschädigten Unternehmen stammen aus den Ankündigungen beider Behörden zum selben Fall und stellen keine Zusammenrechnung unterschiedlicher Fälle dar.

https://x.com/DOJNatSec/status/2110089489452253489

https://x.com/FBICleveland/status/2110144855032709629

Nach Angaben des Justizministeriums umfasst die Anklageschrift vier Vorwürfe, nämlich Verschwörungen im Zusammenhang mit Überweisungsbetrug, Geldwäsche und Identitätsdiebstahl. Bei den Bezeichnungen der Straftaten handelt es sich um die Formulierungen aus der Anklageschrift, und das Justizministerium wies am Ende der Pressemitteilung ebenfalls darauf hin, dass die Vorwürfe in der Anklageschrift lediglich Anschuldigungen sind und die Angeklagten als unschuldig gelten, bis ihre Schuld vor Gericht zweifelsfrei bewiesen ist. „Angeklagt“ bedeutet nicht „rechtskräftig verurteilt“. Bei zwei der 14 angeklagten Personen ist die Identität versiegelt, sodass ihre Namen in der Pressemitteilung des Justizministeriums nicht veröffentlicht wurden.

Bei den festgenommenen Personen handelt es sich um Michael James Bostel aus Pennsylvania und Juan Cecilio Peña Carrillo aus Texas; beide seien US-Bürger, wie die Staatsanwaltschaft für den nördlichen Bezirk von Ohio mitteilte. Zu den übrigen Angeklagten gehören chinesische Staatsangehörige, deren Wohnsitz in China angegeben ist. Diese Namensliste spiegelt die Zusammensetzung der Angeklagten laut Anklageschrift der Staatsanwaltschaft wider.

Wie die Masche funktionierte

Die Funktionsweise stellt sich nach den Vorwürfen der Staatsanwaltschaft in der Anklageschrift wie folgt dar: Nordkoreanische IT-Kräfte nutzten gestohlene oder gefälschte Ausweisdokumente sowie Infrastruktur wie virtuelle private Netzwerke (VPN) und Proxys, um wie US-Bürger mit Wohnsitz in den Vereinigten Staaten zu wirken, bewarben sich auf Remote-IT-Stellen bei US-Unternehmen und wurden eingestellt. In den USA ansässige Helfer nahmen mehrere von geschädigten Unternehmen ausgegebene Laptops in ihren Wohnungen entgegen, bewahrten sie auf, richteten sie ein, installierten Fernzugriffssoftware und waren dafür zuständig, die verdienten Gelder an von Nordkorea kontrollierte Konten weiterzuleiten, so die Staatsanwaltschaft.

Diesen Stützpunkt, an dem mehrere Laptops in einer Wohnung gestapelt waren, bezeichneten die Ermittlungsbehörden als „Laptop-Farm“ (laptop farm). Das Justizministerium teilte mit, dass diese Masche von 2019 bis etwa Juli 2025 betrieben worden sei, Einnahmen von rund 3 Millionen US-Dollar von den geschädigten Unternehmen generiert worden seien und dieses Geld offenbar an von Nordkorea kontrollierte, sanktionierte Entitäten geflossen sei. Die 3 Millionen US-Dollar und die Überweisungswege sind Vorwürfe der Staatsanwaltschaft in der Anklageschrift und der Pressemitteilung und stellen keine gerichtlich festgestellte Summe dar. Zu den betroffenen Branchen zählten laut Staatsanwaltschaft das Gesundheitswesen, Telekommunikation, Cyber-Support, Einzelhandel und Fertigung, darunter Unternehmen in Ohio, 16 weiteren Bundesstaaten und Washington, D.C.

In Texas fand ein separater Einsatz statt. Das FBI durchsuchte vom 21. bis 25. September mehr als 40 bekannte oder mutmaßliche Laptop-Farm-Standorte in Texas und beschlagnahmte im Rahmen der Gesamtkampagne „Lone Star Roundup“ rund 187 Laptops und KVM-Geräte (Tastatur, Video, Maus). Das offizielle Konto des FBI-Direktors verzeichnete in seiner Wochenübersicht 14 Anklagen, 2 Festnahmen und die Beschlagnahme von mehr als 180 Geräten im Zusammenhang mit der Nordkorea-Masche. Die Angabe in der Pressemitteilung des Justizministeriums lautet „rund 187 Geräte“, während im Beitrag des FBI-Direktors von „mehr als 180 Geräten“ die Rede ist.

https://x.com/FBIDirectorKash/status/2111192508780642687

Warnung an Unternehmen

Das Justizministerium gab bekannt, dass das FBI am selben Tag eine öffentliche Warnmeldung (PSA) für Unternehmen herausgegeben habe. Die Warnung erläutert, dass nordkoreanische IT-Kräfte, da private Unternehmen bei der Erkennung besser geworden seien, nun noch aktiver US-amerikanische Helfer rekrutieren, deren Aufgabenspektrum erweitern und in manchen Fällen die gesamte Arbeit an Arbeitskräfte in Drittländern weitervergeben. Die Pressemitteilung des Justizministeriums erwähnte auch frühere Warnhinweise, die Unternehmen dazu auffordern, die Identitätsprüfung im Einstellungsprozess zu verschärfen.

„Famous Chollima“ ist eine von CrowdStrike vergebene Bezeichnung und kein gerichtlich anerkannter Name. Die nordkoreanische Regierung hat keine offizielle Stellungnahme zu diesen Anklagen abgegeben.

Da Laptop-Farmen US-Wohnadressen und US-amerikanische Helfer nutzen, stellt die Staatsanwaltschaft den Fall nicht nur als Hacking aus dem Ausland dar, sondern als einen Sachverhalt, bei dem Identitätsdiebstahl und Einstellungsverfahren innerhalb der USA miteinander verflochten sind. Das Justizministerium vermerkte, dass diese Maßnahmen Teil einer Initiative zur Unterbindung illegaler nordkoreanischer Einnahmen seien und gleichartige Schritte bereits im Juni und November 2025 sowie im April und Mai 2026 unternommen worden seien.

Die vom Justizministerium erwähnte gemeinsame Warnung vom Mai 2022 erklärte, dass nordkoreanische IT-Kräfte pro Person bis zu 300.000 US-Dollar jährlich verdienen könnten. Dies ist eine allgemeine Erläuterung in der Warnung und kein bestätigter Wert für das persönliche Einkommen der jetzigen Angeklagten, weshalb diese Zahlen nicht vermischt werden dürfen. Die Pressemitteilung wies auch auf Belohnungen des Außenministeriums von bis zu 5 Millionen US-Dollar für relevante Informationen hin.

In der Warnung von 2025 neu konkretisierte Erpressung und Datenexfiltration

Bereits vor dieser Anklage hatte das FBI seine Warntexte schrittweise aktualisiert, um zu beschreiben, welche weiteren Handlungen nordkoreanische IT-Kräfte nach ihrer Anstellung innerhalb der Unternehmen vornehmen. Eine vom FBI am 23. Januar 2025 herausgegebene öffentliche Warnmeldung (PSA I-012325-PSA) hielt fest, dass es Fälle gegeben habe, in denen aufgeflogene Kräfte entwendete proprietäre Daten und Quellcodes als Geiseln nahmen, Lösegeld forderten und bei Nichterfüllung der Forderung den Code des geschädigten Unternehmens veröffentlichten. Dieselbe Warnung legte dar, dass sie Unternehmens-Code-Repositories wie GitHub auf persönliche Profile oder private Cloud-Konten kopierten und versuchten, Anmeldedaten und Sitzungs-Cookies zu sammeln, um Arbeitssitzungen von Nicht-Unternehmensgeräten aus zu öffnen (FBI-IC3-Warnung, 2025-01-23). Unabhängig von den Vorwürfen der Erlösübertragung in der aktuellen Anklageschrift ist der Kern der bundesweiten Warnung, dass bereits der Zugriff auf das Unternehmensnetzwerk selbst als Kanal für Datenlecks dienen kann.