A finales de septiembre de 2026, el FBI desarticuló varias "granjas de portátiles" en Estados Unidos utilizadas por el grupo de amenazas norcoreano FAMOUS CHOLLIMA. Estas infraestructuras permitían que trabajadores remotos falsos se infiltraran en empresas estadounidenses. Según CrowdStrike, esta operación conjunta representa el inicio de un esfuerzo más amplio para desmantelar la red de apoyo interno de dicho grupo.

El FBI desarticuló varias "granjas de portátiles" en EE. UU. utilizadas por el grupo de amenazas norcoreano FAMOUS CHOLLIMA a finales de septiembre de 2026, cortando la infraestructura que ayudaba a falsos trabajadores remotos a infiltrarse en empresas estadounidenses.

CrowdStrike reveló la operación conjunta el 13 de octubre, describiéndola como el inicio de un esfuerzo más amplio contra la red de apoyo nacional del grupo.

Las granjas albergaban portátiles de empresa que operativos en el extranjero controlaban remotamente mientras se hacían pasar por empleados de EE. UU. Esta configuración les ayudaba a ocultar sus ubicaciones, cobrar salarios para el régimen de Corea del Norte y mantener el acceso a los sistemas del empleador.

CrowdStrike señaló que decenas de organizaciones afectadas operaban en los sectores aeroespacial, energético, financiero, sanitario, de ciberseguridad, ingeniería de defensa, tecnología gubernamental y tecnología de consumo.

Los investigadores de CrowdStrike identificaron identidades falsas, indicadores técnicos y ordenadores en EE. UU. que respaldaban el esquema entre abril de 2025 y junio de 2026.

Su informe sobre la desarticulación describe el abuso de hardware y herramientas de acceso remoto, no una familia de malware recién identificada. El equipo combinó la actividad de los dispositivos con investigaciones dirigidas para descubrir a los facilitadores locales y compartir los hallazgos con el FBI.

El FBI desarticula granjas de portátiles de Famous Chollima de Corea del Norte

La operación dependía de una brecha sencilla: un trabajador contratado bajo una identidad robada no podía recibir fácilmente un portátil de la empresa en el extranjero sin levantar sospechas.

Como explica el informe previo sobre el fraude de identidad norcoreano, los ayudantes locales proporcionan las direcciones y el equipo necesarios para que los trabajadores extranjeros parezcan nacionales.

CrowdStrike observó que los operativos presentaban informes policiales falsos alegando que los portátiles habían sido robados, para luego solicitar reemplazos en las direcciones de las granjas.

Otros alegaban mudanzas repentinas para redirigir las entregas o rotaban a través de direcciones residenciales para ocultar el destino final. Algunos conseguían empleos a través de empresas de dotación de personal de TI, permitiendo que los dispositivos de los clientes llegaran a las granjas sin que dichas empresas lo supieran.

Una vez que llegaba el portátil, un facilitador añadía hardware y software para el control remoto. El dispositivo físico permanecía en Estados Unidos mientras su operador trabajaba desde otro lugar.

Esta presencia local ayudaba al grupo a superar los controles de ubicación, gestionar el equipo del empleador y respaldar las verificaciones de identidad y financieras necesarias para recibir los salarios.

Las granjas también proporcionaban una presencia local confiable para los controles financieros. CrowdStrike describió que los facilitadores aportaban una dirección física, una identidad legal y una ruta para superar los requisitos de diligencia debida bancaria.

Esto convierte a la red de apoyo en algo más que un lugar para almacenar portátiles: conecta la contratación, el acceso y el pago. Desconectar una granja obliga a los operadores a reconstruir esa cadena, incluso si el grupo más amplio puede trasladarse a otro lugar.

El spoofing de dispositivos complica la detección

Desde mayo de 2026, CrowdStrike ha observado que FAMOUS CHOLLIMA realiza spoofing de hashes de dispositivos, incluyendo hacer que una tarjeta de captura de vídeo parezca una cámara web.

Los investigadores también vieron el mismo dispositivo disfrazado en organizaciones víctimas distintas, lo que sugiere que los operadores reutilizaban identificadores de dispositivos mientras intentaban evitar la detección.

Las redes de granjas compartían identificadores entre varias identidades de trabajadores falsos al mismo tiempo, ofreciendo otra pista de una actividad coordinada.

Los hallazgos complementan la cobertura anterior sobre las tácticas de fraude en entrevistas remotas, donde sustitutos y herramientas de escritorio remoto ayudaban a ocultar quién estaba realizando realmente las entrevistas y el trabajo técnico.

La distinción es importante para ti como defensor: una herramienta legítima puede respaldar una operación ilegal sin ser malware. CrowdStrike menciona Astrill VPN, AnyDesk, OBS Studio y PiKVM como tecnologías que debes revisar en contexto.

Su sola presencia no prueba un compromiso, pero el uso inexplicable junto con inconsistencias de identidad o de envío merece una investigación.

CrowdStrike recomienda realizar comprobaciones de antecedentes estándar y revisar si hay números de teléfono, direcciones de correo electrónico, cuentas bancarias, redacción de currículos y contenido de sitios web reutilizados entre perfiles.

Otras señales de advertencia incluyen diferencias entre los documentos de identidad y las apariciones en vídeo, referencias laborales sospechosas, perfiles públicos nuevos y actividad de inicio de sesión inconsistente con la ubicación declarada del trabajador.

La última desarticulación sigue a los registros de granjas de portátiles a nivel nacional reportados en junio de 2025, pero las operaciones no deben tratarse como el mismo caso. CrowdStrike no reveló el recuento exacto de granjas, el total de arrestos ni la cantidad de dispositivos incautados en la acción de septiembre de 2026.

CrowdStrike advirtió que la interrupción probablemente tendrá un efecto local limitado en lugar de detener la operación general.

FAMOUS CHOLLIMA sigue activo y se espera que se adapte, por lo que es importante que sigas realizando comprobaciones sobre la identidad del trabajador, la entrega de dispositivos y el acceso remoto más allá del proceso de contratación inicial