Famous Chollima combina el fraude con motivación financiera con la recolección de inteligencia. En lugar de irrumpir, los operadores consiguen que los contraten, asegurando credenciales legítimas y acceso a largo plazo, para luego usarlo para cobrar salarios, robar datos y vaciar activos en criptomoneda.

La técnica principal de Famous Chollima es el fraude de empleo. Los operadores usan identidades robadas y fabricadas —currículums alterados, fotos de perfil modificadas e historiales laborales prestados— para conseguir que los contraten como personal remoto de TI, ingeniería y blockchain en empresas de todo el mundo. Una vez dentro, cobran un salario y, en algunos casos, acceden a código fuente, datos sensibles y billeteras de criptomoneda. Los facilitadores con sede en EE. UU. mantienen viva la ilusión al alojar "granjas de laptops": reciben en sus hogares las laptops entregadas por las empresas y las conectan a dispositivos KVM para que los operadores en el extranjero puedan iniciar sesión y parecer que trabajan dentro del país.

Una segunda vía apunta a los buscadores de empleo en lugar de a los empleadores. Reclutadores falsos y sitios de entrevistas falsificados incitan a los candidatos a ejecutar supuestas "actualizaciones de drivers" o a copiar y pegar comandos de PowerShell y curl, lo que entrega malware personalizado —GolangGhost en macOS, PylangGhost en Windows— para robar credenciales, datos del navegador y billeteras de criptomoneda.

Los métodos comunes incluyen: distribución de malware mediante falsos pasos de entrevista, instalación de controladores y extensiones de robo en el navegador. Explotación de víctimas con comandos de PowerShell o curl para iniciar descargas maliciosas. Establecimiento de persistencia a largo plazo para la exfiltración de datos y el espionaje.