FAMOUS CHOLLIMA (Deepfakes e GenAI em Ataques)

Nota do Capítulo 17, pasta de AI-Orchestrated Attacks (Ameaças com IA).
Analisa as campanhas rastreadas como FAMOUS CHOLLIMA, nas quais a Coreia do Norte usa deepfakes e GenAI para infiltrar candidatos falsos em vagas de emprego e monetizar o acesso corporativo.
Dialoga com as notas de Campanha Anthropic e de CAIRN da mesma pasta, e com os controles de contra-inteligência do capítulo 13.

1. Contexto e Posicionamento na Biblioteca

O capítulo 13 descreveu a contra-inteligência corporativa e o risco de insiders, e esta nota apresenta a versão com IA generativa desse risco, conduzida por um ator patrocinado por estado. FAMOUS CHOLLIMA é o nome dado pela CrowdStrike ao conjunto de atividades da Coreia do Norte que combina candidatos de emprego com identidade falsa, assistidos por deepfake em videochamadas e por GenAI na produção de currículos e de portfólios, para obter contratações em empresas ocidentais. Mandiant e outros rastrearam conjuntos correlatos sob designações UNC, e o fenômeno também aparece na literatura como operação de trabalhadores de TI norte-coreanos, com foco em gerar receita para o regime sob sanções.

O posicionamento na biblioteca é o de caso-modelo para três discussões que este capítulo integra. É caso de ameaça com IA, porque deepfake e GenAI são ferramentas operacionais do ator. É caso de contra-inteligência aplicada, porque a fronteira a defender é o processo de contratação e a identidade do colaborador, e não apenas a rede. E é caso de hunting, porque o empregado falso, uma vez dentro, produz telemetria de endpoint e de identidade detectável se a organização souber o que procurar. A nota cobre o padrão de ataque, os sinais de detecção e as contramedidas, encerrando com um checklist operacional.

2. O Ator e o Modelo de Ameaça

O modelo de ameaça da FAMOUS CHOLLIMA difere do ransomware clássico e da espionagem clássica, e essa diferença explica por que os controles tradicionais falham. O objetivo primário é financeiro e sustentado: obter emprego remoto em empresas de economia sólida, receber salários em múltiplas vagas simultâneas, e a partir do acesso interno escalar para roubo de dados, extorsão e roubo de criptoativo. Em alguns conjuntos reportados, o empregado falso implanta malware no ambiente ou vende acesso a outros grupos. O regime norte-coreano orquestra e se beneficia, e a operação escala por meio de redes de candidatos treinados, identidades roubadas ou sintéticas e terceiros que abrigam equipamentos.

A inovação com IA é o que permite escalar o esquema. Currículos e perfis são gerados ou embelezados por GenAI, respostas em entrevistas técnicas podem contar com assistência em tempo real, e a videochamada usa face swap de deepfake quando o candidato real não corresponde à identidade apresentada. O nome FAMOUS CHOLLIMA referencia o cavalo alado da propaganda norte-coreana, e a escolha do nome pela indústria reforça que se trata de um ecossistema organizado, com divisão de trabalho, e não de indivíduos isolados tentando sorte em processos seletivos. Essa organização em rede é o que explica a repetição de padrões entre vítimas diferentes, e é também o que cria a oportunidade de detecção por correlação, desenvolvida mais adiante nesta nota.

3. Padrões Observados nas Campanhas

Os padrões abaixo aparecem de forma recorrente nos relatos públicos da indústria e servem de gabarito para os processos de contratação e para o SOC. Nenhum padrão isolado é prova, e a combinação de dois ou mais, especialmente nos grupos de identidade e de dispositivo, é o que deve disparar verificação reforçada.

O padrão do laptop pré-configurado merece ênfase porque é o que transforma a infiltração em risco técnico imediato. O dispositivo enviado pela empresa pode chegar com malware preinstalado ou ser rapidamente acessado pelo operador real, e casos públicos documentaram carga de malware em primeira sessão. A combinação de dispositivo com operador em outra geografia cria também um problema legal e trabalhista, pois o contrato assina um país e a mão na máquina está em outro.

4. Deepfake em Entrevistas: Mecânica e Verificação

O deepfake de entrevista é o componente mais citado e o mais mal entendido do caso, e entendê-lo evita dois erros opostos, o pânico com qualquer videochamada e a confiança excessiva em detectores. Na prática reportada, o esquema usa três montagens diferentes: o candidato real opera a voz enquanto um modelo de face swap troca o rosto em tempo real, o candidato real responde com atraso enquanto um assistente de LLM sugere respostas técnicas em segundo monitor, e, em casos menos comuns, um avatar gerado substitui a pessoa inteira. A qualidade varia muito entre grupos, e os relatos de entrevistadores descrevem desde montagens convincentes até falhas grosseiras de paridade labial.

A verificação eficaz combina perguntas dinâmicas com provas de interação que a montagem tem dificuldade de sustentar. Pedir que o candidato gire a cabeça, cubra parte do rosto ou se aproxime da câmera quebra a consistência do face swap em tempo real, porque o mapeamento facial perde pontos de referência. Perguntas de encadeamento, que exigem retomar um detalhe dito dez minutos antes, expõem assistência em tempo real, porque o candidato lendo sugestão não mantém o fio da conversa. A exigência de que o candidato escreva, ao vivo e compartilhando tela, uma função simples do domínio da vaga cruza a identidade com a competência declarada.

Nenhuma dessas provas é conclusiva isoladamente, e o objetivo não é condenar candidato, e sim gerar motivo para verificação documental reforçada. O erro operacional mais comum é deixar o detector de deepfake decidir sozinho, tanto pela taxa de falso negativo quanto pela discriminação injusta de pessoas com conexão ruim ou câmera de baixa qualidade. A regra prática é tratar a videochamada como coleta de sinais, e a decisão como processo documentado, com direito de contestação.

5. Farm de Identidades e Correlação entre Organizações

O termo farm de identidades descreve a infraestrutura industrial por trás das candidaturas, com banco de identidades roubadas ou sintéticas, currículos parametrizados, números de contato provisionados e equipamentos padronizados reutilizados entre operações. Para a organização individual, o esquema parece um candidato estranho; para o ecossistema de defesa, o mesmo rosto, o mesmo notebook e o mesmo estilo de texto reaparecem em dezenas de processos seletivos, e é essa reutilização que se explora. O compartilhamento setorizado de sinais, com TLP adequado, quebra a economia do esquema, porque cada identidade custa caro para produzir e queima rápido quando correlacionada.

A limitação honesta dessa frente é jurídica e de privacidade, porque compartilhar dados de candidatos entre empresas exige base legal e minimização, e o caminho correto é compartilhar sinais derivados, como hashes e padrões, e não documentos completos. Mesmo com essa restrição, a correlação intraempresa entre processos seletivos simultâneos já captura parte do ganho, porque a mesma identidade se aplica a vagas múltiplas na mesma organização. O ganho intraempresa é imediato e não depende de consórcio externo.

6. Sinais de Detecção

Os sinais se dividem entre o momento do processo seletivo e o período pós-contratação, e os dois momentos pedem donos diferentes. No seletivo, os sinais são majoritariamente de documento, de vídeo e de consistência, e o dono é o RH com apoio de segurança. Após a contratação, os sinais são de telemetria, e o dono é o SOC. A lista a seguir consolida os sinais de maior valor prático, com a observação de que falsos positivos existem em cada item, como candidatos em países com uso legítimo de VoIP, e a interpretação deve ser conjuntural.

Sinais do processo seletivo incluem paridade facial fraca em videochamada, como luz ou contorno inconsistente e atraso entre áudio e lábios, histórico de emprego verificável apenas por referências de e-mail pessoal, números de telefone VoIP recém-criados, endereços IP de entrevistas geograficamente distantes da identidade, e portfólios cujo histórico de commits pertence a outra pessoa. Sinais pós-contratação incluem dispositivo corporativo conectado exclusivamente via túnel para residência de terceiro, sessões com proxy residencial de saída fixa, ausência total de atividade fora do horário combinado, clonagem em massa de repositórios no início do contrato, e tentativa rápida de acesso a ambientes de produção além do escopo declarado da vaga.

Para o SOC, a consulta abaixo exemplifica a busca por padrão de dispositivo encaminhado, comparando a geolocalização declarada no contrato com os pontos de saída de VPN do colaborador e detectando consistência anômala de um único ponto de saída.

SigninLogs
| where TimeGenerated > ago(30d)
| where UserPrincipalName has "@" and UserType == "Member"
| summarize Sessoes = count(),
    Saidas = dcount(Location),
    PrimeiraSaida = min(Location),
    UltimaSaida = max(Location)
    by UserPrincipalName
| where Saidas <= 1
| extend Risco = "acesso_com_ponto_de_saida_fixo_em_janela_de_30_dias"

No plano de código, o sinal de maior valor no início do contrato é a clonagem massiva de repositórios, especialmente de módulos fora do escopo declarado da vaga, porque o empregado falso coleciona acesso antes que a observação reforçada termine. O padrão aparece cedo, ainda na janela de observação reforçada, e por isso rende mais que caças tardias de exfiltração. A consulta abaixo exemplifica a busca por usuários cujo volume de eventos de clonagem em sete dias destoa da baseline do time.

GitAuditLogs
| where TimeGenerated > ago(7d)
| where Action in ("git.clone", "repo.clone", "git.pull")
| summarize Clones = count(), Repos = dcount(RepoName)
    by Actor, Team
| where Clones > 40 and Repos > 10
| extend Risco = "clonagem_massiva_fora_da_baseline_do_time"

O cruzamento entre os sinais de recrutamento e os sinais de endpoint é o que dá força analítica à hipótese. Um candidato com entrevista anômala que depois apresenta ponto de saída fixo e clonagem massiva forma um conjunto que justifica revisão imediata de acessos, e não apenas observação passiva. O SOC deve registrar os dois conjuntos como hipóteses de caça distintas, com janela de observação reforçada nos primeiros 90 dias de contrato e critério de escalonamento escrito.

7. Contramedidas no Processo de Contratação

A contramedida central é colocar verificação de identidade forte no seletivo, tratando o processo de contratação como front de segurança, e não como processo exclusivamente de RH. A verificação recomendada inclui identidade documental com prova de vida, comparação entre o documento e a pessoa na videochamada, checagem de histórico de emprego com contatos corporativos e não pessoais, revisão de proveniência do portfólio com entrevista técnica ao vivo, e verificação de endereço e meios de pagamento com atenção a intermediários. Empresas que operam com contratação global devem padronizar esse fluxo, porque o ator escolhe justamente as vagas remotas de contratação acelerada.

No plano de dispositivo, a regra é nunca enviar hardware antes da verificação de identidade completa, e provisionar o dispositivo com controles que presumem operador não confiável: MDM com encriptação e possibilidade de apagamento remoto, bloqueio de dispositivos USB não autorizados, detecção de túneis e de ferramentas de acesso remoto não homologadas, e política de primeiro acesso condicionada à atividade coerente com a vaga. No plano de onboarding, janelas de observação reforçada nos primeiros 30 a 90 dias, com revisão de acessos concedidos e alertas de comportamento, cobrem a fase em que o empregado falso mais se destaca por busca rápida de valor.

A tabela abaixo distribui as contramedidas por área responsável, porque a falha mais comum nos casos públicos foi de fronteira, com cada área presumindo que o risco pertencia à outra. O formato segue o princípio de dono único que a biblioteca aplica aos controles do capítulo 15, e cada linha carrega a evidência que comprova funcionamento. A evidência por linha é o que transforma a tabela em controle auditável.

8. Checklist Operacional de Verificação

O checklist abaixo consolida a seção anterior em um formato executável para equipes de recrutamento e de segurança. Ele é deliberadamente minimalista, e cada item pede evidência registrada, não opinião.

VERIFICACAO DE IDENTIDADE (antes da oferta)
1. Documento oficial com foto e prova de vida na mesma sessão da videochamada.
2. Videochamada com câmera obrigatória; registrar inconsistência de paridade facial.
3. Referências de emprego com contato em domínio corporativo, não pessoal.
4. Proveniência do portfólio: revisar commits e autoria com revisor técnico.
5. Telefone e e-mail: preferir canais corporativos verificáveis; sinalizar VoIP recente.
6. Comparar geolocalização das entrevistas com endereço declarado.

VERIFICACAO DE DISPOSITIVO (antes do envio de hardware)
7. Nunca enviar hardware antes da verificação de identidade completa.
8. Provisionar MDM, encriptação e apagamento remoto antes do despacho.
9. Validar endereço de entrega contra o documento; sinalizar endereço de terceiro.
10. Bloquear ferramentas de acesso remoto não homologadas no dispositivo.

OBSERVACAO POS-CONTRATACAO (primeiros 90 dias)
11. Acesso condicionado a escopo da vaga; revisar concessões automáticas.
12. Alertar sobre clonagem massiva de repositórios e acesso fora do escopo.
13. Alertar sobre ponto de saída de VPN fixo e incompatível com localidade contratada.
14. Revisão de acessos com o gestor nos dias 30, 60 e 90.

9. Resposta a Infiltração Confirmada

A descoberta de empregado falso abre um incidente com particularidades que o playbook genérico de insider não cobre, porque a identidade contratada é, desde o início, controlada pelo adversário. As prioridades são restringir o acesso sem alertar o operador antes da coleta de evidência, preservar o dispositivo para perícia e mapear tudo que o acesso tocou, do repositório à nuvem. A sequência abaixo é um esqueleto operacional que o time deve adaptar com o jurídico antes do primeiro caso, e não durante.

PLAYBOOK DE INFILTRACAO CONFIRMADA (esqueleto)
1. Ativar canal restrito do incidente, com jurídico e RH desde o início.
2. Congelar mudanças na conta do suspeito sem revogar acesso imediatamente.
3. Coletar telemetria dos últimos 90 dias: logons, egress, repositórios, dados.
4. Inventariar dispositivos entregues e agendar coleta física coordenada.
5. Revisar integrações criadas pela conta: chaves de API e encaminhamento de e-mail.
6. Definir momento de contenção: revogação de sessões, senhas e MFA em bloco.
7. Executar perícia do dispositivo com cadeia de custódia documentada.
8. Interromper fluxo financeiro: salários, benefícios e reembolsos.
9. Avaliar notificação a autoridades e compartilhamento setorizado de sinais.
10. Fechar com lições aplicadas ao checklist do seletivo e ao monitoramento.

Dois detalhes do playbook merecem justificativa. A revogação em bloco do passo 6 existe porque revogação parcial alerta o operador, que pode transferir sessões para outros dispositivos da farm antes da contenção completa. O passo 5 cobre o padrão recorrente de o empregado falso criar chaves de API e regras de encaminhamento, que sobrevivem ao desligamento da conta se não forem inventariadas.

10. Lições de Casos Públicos

Os casos públicos do fenômeno reforçam três lições que o checklist materializa. A primeira é que o ponto de entrada não é técnico, e organizações que investiram em EDR e zeraram phishing continuam vulneráveis na porta do RH, porque o credenciamento é obtido por processo formal. A segunda é que a detecção pós-contratação funciona quando a baseline é madura: casos reportados de descoberta de empregado falso partiram de anomalias de acesso e de uso de dispositivo, e não de investigações planejadas de identidade. A terceira é que a cooperação entre empresas amplifica a defesa, porque a mesma identidade sintética é apresentada a várias vítimas, e compartilhamento de sinais entre organizações quebra a reutilização que o esquema depende.

Um cuidado analítico final é separar as vertentes do fenômeno na priorização. A vertente de empregado falso para salário e acesso é a mais comum, e a vertente de acesso usado para implantação de malware e roubo direto de criptoativo é a de maior impacto por episódio. A resposta das seções 7 e 8 cobre as duas, mas o plano de comunicação executiva deve apresentá-las como cenários de risco distintos, com impacto e frequência diferentes, seguindo a lógica de relatórios por público da seção 5 da biblioteca.

11. Erros Comuns e Pontos de Atenção

O ponto de atenção jurídico merece registro. Responder à descoberta de empregado falso envolve leis trabalhistas do país do contrato, possibilidade de crime e evidências que podem apoiar notificação a autoridades, e o playbook deve ter participação jurídica definida antes do primeiro caso. Contenção técnica apressada que destrói evidência, ou comunicação interna que contamina investigação, são erros de resposta mais comuns que a falha de detecção em si.

12. Integração com o Restante da Biblioteca

A nota dialoga com o capítulo 13 na estrutura de contra-inteligência, porque o vetor é a identidade e o processo corporativo, e as contramedidas são de vetting, exatamente o controle CI defensivo descrito na pasta de taxonomia de CI. Com o controle INS.1 do capítulo 15, a nota reforça que o inventário de ativos inclui o colaborador e o dispositivo entregue, e com o grupo HNT fornece hipóteses de caça prontas, como acesso com ponto de saída fixo e clonagem massiva no início de contrato. No capítulo 17, a nota forma com a Campanha Anthropic o par de casos de ameaça com IA, e a nota de CAIRN oferece o instrumental para verificar sinais de GenAI em artefatos associados a candidatos, como portfólios e código apresentado.

Para o leitor que monta o plano do capítulo 17, a recomendação é sair desta nota com três compromissos concretos. Padronizar a verificação de identidade do seletivo com o checklist da seção 8, incluir sinais de empregado falso nas baselines do SOC, e definir o playbook jurídico-técnico de resposta antes do primeiro caso. Com isso, a organização passa a tratar infiltração por identidade sintética como cenário operado, e não como curiosidade de relatório da indústria.