重磅事件｜不入侵、不爆破！直接“应聘入职”，FBI突袭“笔记本农场”！揭秘朝鲜Famous Chollima 渗透，牟利300万美元

原创

AI紫队安全研究
AI紫队安全研究

AI紫队安全研究

2026年10月23日 11:59
广东

去阅读

大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【...】,然后点击【设为星标】即可。

关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。

美国司法部、FBI联合CrowdStrike开展代号Lonestar Roundup（孤星围捕）专项执法行动，突袭德克萨斯州40处民居，捣毁Famous Chollima（千里马）威胁团伙的笔记本农场（Laptop‑Farm）基础设施，扣押187台企业配发笔记本以及KVM远程切换设备，14人被提起指控、2名美国本土中间人被捕。

该团伙是朝鲜国家级网络作战力量的重要分支，不走传统黑客爆破入侵路线，直接伪造身份应聘远程IT岗位混入企业内部。2019‑2025年间，渗透美国17个州超过70家企业，覆盖医疗、通信、网络安全、零售、制造业，累计赚取300万美元薪资，资金回流至受国际制裁的朝鲜实体，同时伺机窃取源代码、商业机密与敏感数据。

最大的警示：攻击者可以拿到企业正规员工权限，这比外部黑客攻破边界的危害更大。远程招聘、外包自由职业，已经成为高级威胁新突破口。

一、整套作案流程：“笔记本农场”完整运作模式

很多人以为黑客是远在境外直接登录系统，但这套体系设计了完整的中间掩护链条，规避IP、地理位置校验：

1. 伪造身份投递简历

使用盗取、编造的美国公民身份，伪造简历、项目经历，AI换脸完成视频面试，应聘远程开发、运维、技术支持岗位。

2. 设备地址中转（笔记本农场核心环节）

企业向新员工邮寄公司配发笔记本。团伙唆使美国本地中间人，把收货地址改为民居“农场”。

设备送达民居之后，中间人架设KVM切换器，朝鲜境外操作人员远程操控这台企业原装电脑。对外所有网络出口、硬件设备全部在美国本土，企业后台看到的就是一个“美国本地居家办公员工”，IP、设备指纹全部合规，绕过绝大多数风控检测。

小手段：作案人员还会谎称快递丢失、临时搬家，不断修改收货地址，完成设备中转。

3. 正常上班+伺机窃密

操作人员以该员工账号完成日常开发工作，拿到企业内网、代码库、业务文档访问权限；一边领取企业发放工资，一边伺机窃取源代码、客户资料、商业情报。

4. 资金回流

薪资发放至中间人控制账户，扣除服务费之后，将资金跨境输送给朝鲜受制裁机构，用于武器项目经费。

5. 战术迭代升级

随着执法打击增多，团伙不再只依赖固定农场，开始把部分工作直接转包给第三方外籍人员，进一步拆分链路，增加溯源难度。

二、面试&简历上的高危识别特征（HR、技术面试官重点记）

FBI与CrowdStrike整理该团伙大量应聘痕迹，出现下面多条特征需要高度警惕：

1. 视频面试异常

频繁找借口关闭摄像头，网络卡顿；使用AI换脸，画面僵硬；拒绝线下面谈，只接受纯远程岗位。

2. 简历信息矛盾

履历跨度极大，同时掌握十多种编程语言、区块链、云技术，但深入追问具体项目细节回答含糊；工作经历时间线存在冲突。

3. 设备与收货异常

强烈要求修改笔记本邮寄地址；借口物品丢失，反复申请企业重新配发办公电脑。

4. 薪资结算诉求异常

希望薪资打至第三方人名账户，强烈要求加密货币结算。

5. 账号行为异常

同一个人同时应聘多家不同公司远程技术岗位；登录设备指纹频繁变化，但IP始终是美国住宅宽带。

公开的部分可疑邮箱样本：[email protected]、[email protected]，企业可以加入黑名单筛查。

三、企业极易踩的认知误区

❌误区1：只要IP在国内/美国本土，就代表人员真实可信

笔记本农场就是专门解决IP和地理位置，设备、出口都在目标国家，但实际操作人员身在境外。

❌误区2：外包人员只做业务开发，不会产生安全风险

一旦攻击者拿到外包账号，就拥有业务系统、Git代码库权限，相当于内部威胁，防火墙、边界防护全部失效。

❌误区3：只做线上简历筛选，不用做身份核验

AI换脸技术成熟，视频面试也可以造假，不能只靠一轮线上视频就确认候选人身份。

❌误区4：外包账号权限和正式员工一致

外包、远程兼职账号未做最小权限管控，可以直接访问核心数据库、全量代码仓库。

四、企业落地加固自查清单（HR+安全+技术部门协同）

👔人力资源&招聘流程管控

1. 远程岗位尽量做多重身份交叉核验：身份证、背景调查，关键岗位尽量要求至少一次真人线下核验；

2. 对强烈拒绝开摄像头、频繁卡顿、拒绝线下见面的候选人提高风险等级；

3. 严控设备邮寄地址，不允许随意变更收货地址；设备丢失、补发流程严格审批。

4. 高价值岗位，拒绝薪资打款至第三方个人账户、加密货币结算。

🛡️安全团队技术管控

1. 外包/兼职账号严格最小权限，禁止默认授予完整代码库、生产数据库访问权限；只开放完成工作所必须的资源。

2. 终端行为审计：企业配发电脑，审计KVM远程切换设备接入、异常远程桌面行为；监控账号跨大量项目访问、批量下载代码文档。

3. 账号基线：同一个账号，频繁变更设备指纹、硬件ID，即使IP正常也要告警。

4. 离职立刻回收全部权限，不仅仅回收VPN，同步关闭Git、OA、业务系统全部权限。

👨‍💻技术面试官

面试中深挖简历项目细节，针对简历写的技术点深度追问；如果候选人对自己写在简历的项目讲不清楚，直接标记高风险。

五、安全思考

Famous Chollima这一系列行动，揭示高级威胁一个重大变化：

网络攻击不一定需要漏洞、木马、钓鱼邮件。攻击者直接走HR招聘链路，以合法身份拿到企业内部入口。

传统安全防御更多聚焦外部边界：防火墙、EDR、邮件网关。但招聘、外包、自由职业这条业务流程，长期被很多企业的安全体系忽略。

对于大量使用远程外包、自由开发者的企业，招聘流程本身，已经是一条高危入侵攻击面。

加入知识星球，可获取权益

一、\"全球高级持续威胁：网络世界的隐形战争\"，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。

二、为什么加入？

职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？

三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」

✅ 职业发展「精准导航」

1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；

晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；

技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。

✅ 安全方案「对症开方」

实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；

架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。

✅ 圈子资源「直接对接」

大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；

四、适合谁？

想突破职业天花板的安全工程师/架构师；

需快速落地安全项目的企业负责人；

关注行业动态的安全爱好者或IT从业人员。

喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。