Ang grupong hacker na WaterPlum na nauugnay sa North Korea ay nakompromiso ang higit sa 30,000 device sa mahigit 100 bansa at rehiyon, nagnakaw ng impormasyon mula sa higit sa 7,000 cryptocurrency wallet habang tina-target ang mga developer sa pamamagitan ng pekeng kampanya sa pagre-recruit.
Sinabi ng Pambansang Ahensya ng Pulisya ng Japan noong Setyembre 18 na ang imbestigasyon nito, na isinagawa kasama ang National Cybersecurity Office, ang FBI, ang U.S. Department of Defense Cyber Crime Center at mga ahensya sa Australia at Germany, ay nakatuklas ng mga pamamaraan ng pag-atake ng grupo at ang koneksyon nito sa mga manggagawa sa IT ng North Korea.
Tinasa ng mga awtoridad ng Hapon at U.S. na ang WaterPlum, na nauugnay sa aktibidad ng banta na karaniwang kilala bilang Contagious Interview, at ilang manggagawa sa IT ng North Korea ay nagpapatakbo sa ilalim ng Bureau 313 ng Munitions Industry Department ng Workers’ Party of Korea.
Natuklasan ng mga imbestigador na mahigit 30,000 computer ang posibleng naimpeksyon sa pagitan ng mga Disyembre 2025 at Hulyo 2026. Ang mga biktima ay kumalat sa mahigit 100 bansa at rehiyon, kabilang ang Japan, kung saan ang mga web designer, inhinyero at mga taong nagtatrabaho sa crypto, blockchain, at Web3 ang kabilang sa mga pangunahing target.
Mahigit 7,000 talaan ng cryptocurrency wallet ang ninakaw sa panahon ng mga impeksyon, habang ang mga wallet na kinokontrol ng WaterPlum ay nakatanggap ng hindi bababa sa 1.7 bilyong yen, na katumbas ng humigit-kumulang $10.7 milyon batay sa halaga ng palitan na ginamit ng mga awtoridad ng Hapon.
Hiwalay na kinumpirma ng Foreign Ministry ng Japan na ang mga awtoridad mula sa Japan, United States, Australia, at Germany ay sabay-sabay na isiniwalat ang mga taktika ng WaterPlum at ang mga aktibidad ng mga manggagawa sa IT ng North Korea na sangkot sa pagbuo ng foreign currency at mga pamamaraan ng pagre-recruit.
Nilapitan ng WaterPlum ang mga software developer at iba pang manggagawa sa IT sa pamamagitan ng social media, online job site, gig platform, at freelance marketplace, ayon sa ulat ng pulisya ng Hapon. Nagpanggap ang mga attacker bilang mga lehitimong kumpanya ng artificial intelligence, cryptocurrency, at NFT o mga serbisyo sa pagre-recruit bago magbigay sa mga kandidato ng mga tila kaakit-akit na oportunidad sa trabaho.
Sa panahon ng teknikal na panayam o pagsubok sa pag-coding, inutusan ang mga kandidato na mag-download ng mga malisyosong programa na naka-host sa mga collaborative development platform at code repository. Sinabihan ang ilang biktima na kailangan ang mga file upang masuri ang mga problema sa software ng video conferencing o kumpletuhin ang isang takdang-aralin sa pag-coding.
Inilagay ng grupo ang malware kabilang ang BeaverTail, InvisibleFerret, OtterCookie, OtterCandy, at StoatWaffle sa loob ng mga malisyosong NPM package. Kapag nakompromiso ang isang device, ang mga attacker ay maaaring magtatag ng mga backdoor at gumamit ng mga tool sa remote access upang mapanatili ang access at kumilos sa mga apektadong sistema. Ang malware na nagnanakaw ng impormasyon ay ginamit pagkatapos upang kumuha ng kumpidensyal na data at cryptocurrency.
Ang ninakaw na impormasyon ay kinabibilangan ng mga kredensyal ng browser, keystroke, screenshot, at data ng clipboard. Ang mga pribadong key at seed phrase para sa cryptocurrency wallet ay kabilang sa mga target na talaan, kasama ang mga dokumento ng pagkakakilanlan tulad ng pasaporte at lisensya sa pagmamaneho na nakaimbak sa mga apektadong computer o shared folder.
Naidokumento ng mga security researcher ang mga katulad na pamamaraan ng pagre-recruit sa industriya ng crypto. Gaya ng dating iniulat ng crypto.news, ang mga developer na konektado sa North Korea ay nagtrabaho sa mahigit 40 proyekto ng DeFi sa loob ng pitong taon, ayon kay Taylor Monahan, developer ng MetaMask at security researcher. Inilarawan ng mga imbestigador ang mga anunsyo ng trabaho, email, mensahe sa LinkedIn, Zoom call, at proseso ng panayam bilang paulit-ulit na ruta na ginagamit upang lapitan ang mga target.
Sinabi ng mga imbestigador ng Hapon na binuwag nila ang unang kilalang domestic “laptop farm” na konektado sa mga manggagawa sa IT ng North Korea sa bansa. Sa ilalim ng kaayusan, isang lokal na facilitator ang nagpanatili ng mga computer sa kanilang tirahan habang ang mga manggagawa ay malayuang kinontrol ang mga makina mula sa ibang lugar.
Ginamit ng mga manggagawa ang mga dokumento ng pagkakakilanlan na ibinigay ng mga taong naninirahan sa Japan upang magpanggap bilang sila habang kumukuha ng mga kontrata. Sa ilang kaso, ang mga bayad ay idinirekta sa mga bank account na kinokontrol ng mga facilitator, na pagkatapos ay inilipat ang pera pasulong. Ang mga manggagawa sa North Korea na konektado sa mga imbestigasyon ay nagpadala ng cryptocurrency at iba pang asset na nagkakahalaga ng daan-daang milyong yen sa ibang bansa, ayon sa ahensya.
Ang ilang manggagawa ay nagpapatakbo mula sa North Korea, habang ang iba ay nakabase sa China o Russia, na may mas kaunting bilang na matatagpuan sa Africa at Southeast Asia. Pinayagan sila ng mga laptop farm at virtual private server na itago kung saan talaga ginagawa ang trabaho habang tumatanggap ng mga trabaho sa pamamagitan ng domestic at overseas crowdsourcing service.
Ang mga maihahambing na operasyon ay inusig sa United States. Dalawang lalaking U.S. ang nakatanggap ng 18 buwang sentensya sa bilangguan noong 2026 dahil sa pagtulong sa mga manggagawa ng North Korea na malayuang i-access ang mga laptop ng kumpanya, habang sinabi ng Kagawaran ng Hustisya na ang mga pamamaraan ay kinasangkutan ng halos 70 kumpanya at nakabuo ng mahigit $1.2 milyon. Ang mga sentensya ay nagdala sa bilang ng mga facilitator ng laptop farm na nahatulan sa United States sa loob ng limang buwan sa walo.
Hinabol din ng mga awtoridad ng U.S. ang mga kita ng mga pamamaraan ng trabaho sa pamamagitan ng mga kaso ng pagkuha ng cryptocurrency. Isang pederal na hukom noong Setyembre ang nag-utos ng pagkuha ng humigit-kumulang $212,700 sa USDC at USDT na sinundan sa mga address ng pagbabayad na ginamit ng mga manggagawa sa IT ng North Korea, bahagi ng pagsisikap ng Kagawaran ng Hustisya na kinasangkutan ng mahigit $7.74 milyon sa digital asset.
Sinabi ng mga tagausig na ang wallet na kinumpiska ay nakatanggap ng humigit-kumulang 158,123 USDC mula sa hindi bababa sa 10 address na ginamit upang bayaran ang mga manggagawa at 54,574 USDT mula sa hindi bababa sa apat pang address ng pagbabayad. Ipinagpalagay ng mga awtoridad na itinago ng mga manggagawa ang kanilang pagkakakilanlan at lokasyon habang kumukuha ng mga trabaho sa teknolohiya sa ibang bansa bago iruta ang kanilang kita sa pamamagitan ng cryptocurrency.
Natukoy ng imbestigasyon ng Japan ang isang hiwalay na pagtatangka ng isang pinaghihinalaang manggagawa sa IT ng North Korea upang makakuha ng posisyong inhinyero sa cryptocurrency exchange na bitFlyer noong Mayo 2025.
Ang aplikante ay nagsumite ng resume sa ilalim ng pagkakakilanlan ng ibang tao nang direkta sa pamamagitan ng recruitment form ng exchange at ginamit ang Gmail bilang contact address. Sinabi ng mga imbestigador na na-access ng tao ang sistema ng aplikasyon sa pamamagitan ng VPN at proxy service kabilang ang NETNUT Proxy, Astrill VPN, at High Speed Rabbit Proxy.
Sa panahon ng isang online na panayam, sinabi ng aplikante na siya ay Malaysian at nakatira sa Finland. Nakalista sa resume ang malawak na karanasan sa mga programming language, blockchain, cryptocurrency, at cloud service, kasama ang edukasyon sa isang European university at trabaho sa ilang European at Asian city.
Ang aplikante ay nakasagot ng mga simpleng tanong tungkol sa mga nakalistang kasanayan ngunit nagbigay ng mga abstract na sagot o iniiwasan ang mas detalyadong tanong, ayon sa ahensya. Napansin ng mga imbestigador ang paulit-ulit na pagsusuri ng isa pang monitor sa panahon ng panayam, paminsan-minsang boses sa background, at mga pagkaantala sa video feed. Tumanggi ang tao na lumipat sa Japan at iginiit na tumanggap ng suweldo sa cryptocurrency. Natukoy ng bitFlyer ang kahina-hinalang pag-uugali at hindi hinire ang aplikante, at walang pinsalang naiulat.
Isang katulad na pagtatangka sa pagre-recruit ang dating natukoy sa Kraken, kung saan ang isang aplikante na pinaghihinalaang may kaugnayan sa North Korea ay sumama sa isang panayam gamit ang pangalan na iba sa nasa resume at tila nakatanggap ng real-time na tulong sa panahon ng tawag. Kinonekta ng exchange pagkatapos ang email address ng aplikante sa impormasyong dating na-flag ng mga kasosyo sa industriya.
Natuklasan ng mga awtoridad ng Hapon ang isang teknikal na koneksyon sa pagitan ng mga pag-atake ng WaterPlum, ang mga operasyon ng manggagawa sa ibang bansa, at ang pagtatangka sa pagre-recruit ng bitFlyer.
Ang mga IP address na ginamit ng mga attacker ng WaterPlum ay tumugma sa mga address na ginamit ng mga manggagawa sa IT ng North Korea upang kumonekta sa mga laptop farm at crowdsourcing service, ayon sa Pambansang Ahensya ng Pulisya. Natuklasan ng mga imbestigador na ang pinaghihinalaang manggagawa ng North Korea na nag-apply para sa posisyong inhinyero ng bitFlyer ay gumamit ng magkatugmang imprastraktura.
Tinasa ng Pambansang Ahensya ng Pulisya at FBI na gumanap ng sentral na papel ang Bureau 313 sa parehong cyberattack ng WaterPlum at ilan sa mga operasyon sa pagkuha ng foreign currency na isinagawa ng mga manggagawa sa IT ng North Korea.
Pinayuhan ng mga awtoridad ng Hapon ang mga kumpanya na beripikahin ang sinasabing lokasyon, kwalipikasyon, at impormasyon sa pagkontak ng mga aplikante, lalo na kapag iginiit ng mga kandidato ang remote work o pagbabayad sa cryptocurrency. Hinimok ang mga employer na suriin ang mga teknikal na kasanayan sa panahon ng panayam at suriin nang detalyado ang mga kaso kung saan ang nakasaad na tirahan ng isang kandidato ay hindi tumutugma sa lokasyon ng IP address na ginamit upang magsumite ng aplikasyon.
USDT
USDC