Grupa hakerska wspierana przez Koreę Północną zainfekowała ponad 30 000 komputerów w ponad 100 krajach. Wykradła też dane z ponad 7 000 portfeli kryptowalutowych — poinformowały w piątek japońska Narodowa Agencja Policji i FBI.
Portfele kontrolowane przez tę grupę otrzymały co najmniej 10,71 mln dolarów w aktywach cyfrowych między grudniem 2025 a lipcem 2026 roku. Agencje nadały grupie nazwę WaterPlum; jest ona również znana jako Contagious Interview.
Jak fałszywi rekruterzy dotarli do 7 000 portfeli kryptowalutowych
WaterPlum podszywa się pod headhuntera rekrutującego dla firm z branży sztucznej inteligencji, kryptowalut i tokenów niewymienialnych. Grupa kontaktuje się z programistami w mediach społecznościowych, serwisach z ofertami pracy i na platformach dla freelancerów.
„Członkowie WaterPlum podszywają się pod potencjalnych pracodawców, by na całym świecie atakować programistów i specjalistów IT, oferując im rzekomo atrakcyjne możliwości zatrudnienia” — podały we wspólnym ostrzeżeniu japońska Narodowa Agencja Policji i FBI.
Kandydaci są następnie proszeni o udział w rozmowie kwalifikacyjnej sprawdzającej umiejętności techniczne lub wykonanie testu programistycznego. Grupa namawia ich do pobrania plików z serwisów do udostępniania kodu, tłumacząc to problemami z połączeniem wideo albo koniecznością wykonania zadania.
Pliki zawierają złośliwe oprogramowanie. Programy wyszukują hasła zapisane w przeglądarce, zrzuty ekranu i naciśnięcia klawiszy. Wykradają też klucze prywatne dające dostęp do portfela kryptowalutowego — oprogramowania używanego do przechowywania cyfrowych pieniędzy.
BeInCrypto pisało w sierpniu o badaczu, który przez 22 miesiące miał dostęp do serwerów grupy. Zidentyfikował 1 640 ofiar w 57 krajach. Oficjalna liczba podana w piątek jest mniej więcej 18 razy większa.
Japonia likwiduje swoją pierwszą farmę laptopów
Policja zamknęła również pierwszą znaną w kraju farmę laptopów. Lokalni pomocnicy przechowywali komputery w swoich domach. Pracujący za granicą Koreańczycy z Północy zdalnie nimi sterowali i podszywali się pod mieszkańców Japonii, by zdobywać zlecenia dla freelancerów.
Jak podali śledczy, pracownicy ci przelali za granicę kryptowaluty o wartości kilkuset milionów jenów. Te same adresy internetowe powiązały farmę z hakerami.
„Japońska Narodowa Agencja Policji (NPA) i FBI oceniają, że zarówno cyberprzestępcy z grupy WaterPlum, jak i niektórzy północnokoreańscy pracownicy IT działają w ramach 313. Biura Generalnego Departamentu Przemysłu Zbrojeniowego, podlegającego Komitetowi Centralnemu Partii Pracy Korei.”
Jeden z podejrzanych Koreańczyków z Północy ubiegał się w maju 2025 roku o stanowisko inżyniera w japońskiej giełdzie bitFlyer, posługując się skradzionym życiorysem. Osoby prowadzące rozmowę zauważyły, że odmówił przeprowadzki i zażądał zapłaty w kryptowalutach. Wyglądało na to, że odczytuje odpowiedzi z drugiego ekranu, i nie został zatrudniony.
Wcześniejsze kampanie wykorzystywały podczas wideorozmów rekrutacyjnych deepfake’i, by dotrzeć do wyższej kadry kierowniczej. Śledczy zalecają teraz inżynierom uruchamianie kodu od rekruterów w piaskownicy — odizolowanym środowisku testowym, odgrodzonym od prawdziwych plików.
Źródło: BeInCrypto
