El FBI desmantela granjas de portátiles de trabajadores norcoreanos en Texas y arresta a dos ciudadanos estadounidenses

El Departamento de Justicia de Estados Unidos (DoJ) ha perturbado las operaciones del grupo de amenaza Famous Chollima mediante el arresto de dos sospechosos, la imputación de 14 personas y la incautación de casi 187 ordenadores portátiles utilizados en esquemas de trabajadores remotos de TI norcoreanos.

Famous Chollima (también conocido como WageMole) es rastreado habitualmente como un actor de amenaza norcoreano asociado con esquemas fraudulentos de trabajadores de TI que generan ingresos para el régimen de Corea del Norte.

Debido a que Corea del Norte está sujeto a amplias sanciones internacionales, sus operativos buscan empleos tecnológicos en empresas de todo el mundo, a menudo utilizando identidades robadas, alquiladas o fabricadas.

En algunos casos, también intentan comprometer las redes de los empleadores para robar datos sensibles, desplegar malware u obtener criptomonedas y otros activos.

Como parte de una operación en Texas con el nombre en clave "Lonestar Roundup", el FBI registró 40 residencias sospechosas de albergar granjas de portátiles entre el 21 y el 25 de septiembre.

Las granjas de portátiles son lugares donde los facilitadores alojan computadoras proporcionadas por empleadores, a las que los trabajadores norcoreanos de TI acceden de forma remota para parecer ubicados en Estados Unidos.

Los agentes del orden incautaron aproximadamente 187 ordenadores portátiles y dispositivos de entrada KVM, que fueron utilizados por operativos de Famous Chollima que la empresa de ciberseguridad CrowdStrike había estado rastreando desde abril de 2025.

Los investigadores de CrowdStrike señalan que los trabajadores norcoreanos de TI utilizaron varios métodos para enviar los portátiles proporcionados por la empresa a la "granja", en lugar de a la dirección indicada en los documentos de identidad proporcionados:

Presentar informes falsos de robo para generar envíos de reemplazo a la dirección de la granja.
Rotar entre direcciones residenciales para ocultar el destino final.
Alegar reubicaciones de última hora para desviar dispositivos durante el envío.
Abusar de roles de dotación de personal de TI que a veces ocupan para redirigir envíos de forma encubierta.

CrowdStrike afirma que la exposición pública ha presionado a los operativos, llevándolos a depender más de la suplantación de identificadores de dispositivos o incluso de reutilizar identificadores entre organizaciones víctimas.

Si bien CrowdStrike reconoce que acciones como Lonestar Roundup probablemente tendrán un impacto limitado, la compañía calificó la operación como "el comienzo de un esfuerzo más amplio de las fuerzas del orden de EE.UU. para desmantelar la infraestructura estadounidense de Famous Chollima".

El DoJ de EE.UU. también publicó una acusación en Ohio que describe un esquema de trabajadores remotos de TI que operó desde 2019 hasta julio de 2025, afectó a 70 empresas en el país y generó aproximadamente 3 millones de dólares para los actores de amenaza norcoreanos.

Los trabajadores utilizaron identidades robadas o fabricadas, VPN e infraestructura de proxy para parecer ubicados en EE.UU., mientras que sus facilitadores estadounidenses alojaban los portátiles proporcionados por las empresas, instalaban software de acceso remoto y transferían las ganancias a cuentas controladas por Corea del Norte.

Las autoridades arrestaron a dos ciudadanos estadounidenses, Michael James Bostelle y Juan Cecilio Pena Carrillo, acusados de fraude electrónico, blanqueo de dinero y robo de identidad.

Por separado, el DoJ anunció cargos similares contra 12 acusados chinos.

Construya su plan de seguridad para ataques impulsados por IA

Únase a Mikko Hyppönen y líderes de seguridad de la NFL, CHANEL y Atlassian para una cumbre digital de dos horas sobre lo que cambian los ataques a velocidad de IA, lo que los defensores deberían dejar de hacer y cómo validar, decidir, corregir y revalidar a velocidad de máquina.