Хакеризована група WaterPlum, пов'язана з Північною Кореєю, скомпрометувала понад 30 000 пристроїв у більш ніж 100 країнах і регіонах, викравши інформацію з понад 7 000 криптовалютних гаманців, атакуючи розробників за допомогою фейкових кампаній з найму.
Національне поліцейське агентство Японії заявило 18 вересня, що його розслідування, проведене спільно з Національним офісом кібербезпеки, ФБР, Центром кіберзлочинності Міністерства оборони США та агентствами Австралії та Німеччини, розкрило методи атак групи та її зв'язки з північнокорейськими ІТ-працівниками.
Японська та американська влада дійшли висновку, що WaterPlum, яка пов'язана з шкідливою діяльністю, широко відомою як Contagious Interview, та деякі північнокорейські ІТ-працівники діють під керівництвом Бюро 313 Департаменту військової промисловості Трудової партії Кореї.
Слідчі виявили, що понад 30 000 комп'ютерів, ймовірно, були інфіковані в період приблизно з грудня 2025 року по липень 2026 року. Жертви були розповсюджені у більш ніж 100 країнах та регіонах, включаючи Японію, причому веб-дизайнери, інженери та люди, що працюють у сферах крипто, блокчейну та Web3, були основними цілями.
Під час інфікування було викрадено понад 7 000 записів криптовалютних гаманців, тоді як гаманці, контрольовані WaterPlum, отримали щонайменше 1,7 мільярда єн, що еквівалентно приблизно 10,7 мільйона доларів США за обмінним курсом, використаним японською владою.
Міністерство закордонних справ Японії окремо підтвердило, що влада Японії, Сполучених Штатів, Австралії та Німеччини спільно розкрила тактику WaterPlum та діяльність північнокорейських ІТ-працівників, залучених до схем генерування іноземної валюти та рекрутингу.
WaterPlum зверталася до розробників програмного забезпечення та інших ІТ-працівників через соціальні мережі, онлайн-платформи для пошуку роботи, гіг-платформи та фріланс-маркетплейси, згідно з японським поліцейським звітом. Зловмисники видавали себе за легітимні компанії штучного інтелекту, криптовалютні та NFT-компанії або рекрутингові служби, перш ніж пропонувати кандидатам, на перший погляд, привабливі можливості працевлаштування.
Під час технічних співбесід або кодувальних тестів кандидатам наказували завантажувати шкідливі програми, розміщені на спільних платформах розробки та репозиторіях коду. Деяким жертвам повідомляли, що ці файли потрібні для діагностики проблем з програмним забезпеченням для відеоконференцій або для виконання кодувального завдання.
Група розміщувала шкідливе програмне забезпечення, включаючи BeaverTail, InvisibleFerret, OtterCookie, OtterCandy та StoatWaffle, всередині шкідливих NPM-пакетів. Після того, як пристрій було скомпрометовано, зловмисники могли встановлювати бекдори та використовувати інструменти віддаленого доступу для збереження доступу та переміщення по скомпрометованих системах. Потім для вилучення конфіденційних даних та криптовалюти використовувалося шкідливе програмне забезпечення для викрадення інформації.
Викрадена інформація включала облікові дані браузерів, натискання клавіш, знімки екрана та дані буфера обміну. Приватні ключі та початкові фрази (seed-фрази) для криптовалютних гаманців були серед цільових записів, поряд з документами, що посвідчують особу, такими як паспорти та водійські посвідчення, що зберігалися на скомпрометованих комп'ютерах або спільних папках.
Дослідники безпеки задокументували подібні методи найму в криптоіндустрії. Як раніше повідомляло crypto.news, розробники, пов'язані з Північною Кореєю, працювали в більш ніж 40 DeFi-проєктах протягом семи років, за словами розробника MetaMask і дослідника безпеки Тейлора Монехана. Слідчі описали оголошення про вакансії, електронні листи, повідомлення в LinkedIn, дзвінки в Zoom та процеси співбесід як повторювані маршрути, що використовувалися для звернення до цілей.
Японські слідчі заявили, що вони ліквідували першу відому внутрішню "ферму ноутбуків", пов'язану з північнокорейськими ІТ-працівниками в країні. Згідно з цією схемою, місцевий посередник зберігав комп'ютери у своєму помешканні, тоді як працівники віддалено контролювали машини з інших місць.
Працівники використовували документи, що посвідчують особу, надані людьми, що проживають в Японії, щоб видавати себе за них при пошуку контрактів. У деяких випадках платежі направлялися на банківські рахунки, контрольовані посередниками, які потім переводили гроші далі. Північнокорейські працівники, пов'язані з розслідуваннями, відправили криптовалюту та інші активи на сотні мільйонів єн за кордон, за даними агентства.
Деякі працівники працювали з Північної Кореї, тоді як інші базувалися в Китаї чи Росії, з меншою кількістю в Африці та Південно-Східній Азії. "Ферми ноутбуків" та віртуальні приватні сервери дозволяли їм маскувати місце, де фактично виконувалася робота, приймаючи замовлення через внутрішні та закордонні краудсорсингові сервіси.
Порівнянні операції були переслідувані в Сполучених Штатах. Двоє американців отримали 18-місячні тюремні терміни у 2026 році за допомогу північнокорейським працівникам у віддаленому доступі до корпоративних ноутбуків, причому Міністерство юстиції заявило, що схеми залучали майже 70 компаній і принесли понад 1,2 мільйона доларів. Ці вироки збільшили кількість посередників "ферм ноутбуків", засуджених у Сполучених Штатах за п'ять місяців, до восьми.
Влада США також переслідувала доходи від схем працевлаштування через справи про конфіскацію криптовалюти. Федеральний суддя у вересні постановив конфіскувати приблизно 212 700 доларів у USDC та USDT, прослідкованих до платіжних адрес, які використовувалися північнокорейськими ІТ-працівниками, що є частиною зусиль Міністерства юстиції, що включають понад 7,74 мільйона доларів у цифрових активах.
Прокурори заявили, що конфіскований гаманець отримав близько 158 123 USDC щонайменше з 10 адрес, які використовувалися для оплати праці працівників, та 54 574 USDT щонайменше з чотирьох інших платіжних адрес. Влада стверджувала, що працівники приховували свою особу та місцезнаходження, приймаючи закордонні технологічні роботи, перш ніж направляти свої доходи через криптовалюту.
Японське розслідування виявило окрему спробу підозрюваного північнокорейського ІТ-працівника отримати інженерну посаду на криптовалютній біржі bitFlyer у травні 2025 року.
Заявник подав резюме під чужим ім'ям безпосередньо через форму рекрутингу біржі та використовував Gmail як контактну адресу. Слідчі заявили, що особа отримала доступ до системи подання заявок через VPN та проксі-сервіси, включаючи NETNUT Proxy, Astrill VPN та High Speed Rabbit Proxy.
Під час онлайн-співбесіди заявник стверджував, що є малайзійцем і проживає у Фінляндії. У резюме було зазначено значний досвід у програмуванні, блокчейні, криптовалютах та хмарних сервісах, а також освіта в європейському університеті та працевлаштування в кількох європейських та азіатських містах.
Заявник міг відповідати на прості запитання щодо зазначених навичок, але давав абстрактні відповіді або уникав більш детальних запитань, за даними агентства. Слідчі відзначили багаторазові перевірки іншого монітора під час співбесіди, випадкові голоси на задньому плані та перебої у відеопотоці. Особа чинила опір переїзду до Японії та наполягала на отриманні зарплати в криптовалюті. bitFlyer виявив підозрілу поведінку і не прийняв заявника на роботу, про шкоду не повідомлялося.
Подібна спроба вербування була раніше виявлена на Kraken, де заявник, підозрюваний у зв'язках з Північною Кореєю, приєднався до співбесіди, використовуючи ім'я, відмінне від того, що було в резюме, і, здавалося, отримував допомогу в реальному часі під час розмови. Біржа пізніше зв'язала електронну адресу заявника з інформацією, яку раніше відмітили галузеві партнери.
Японська влада виявила технічний зв'язок між атаками WaterPlum, операціями іноземних працівників та спробою вербування на bitFlyer.
IP-адреси, які використовували зловмисники WaterPlum, збігалися з адресами, які використовували північнокорейські ІТ-працівники для підключення до "ферм ноутбуків" та краудсорсингових сервісів, за даними Національного поліцейського агентства. Слідчі виявили, що підозрюваний північнокорейський працівник, який подавав заявку на інженерну посаду в bitFlyer, використовував відповідну інфраструктуру.
Національне поліцейське агентство та ФБР оцінили, що Бюро 313 відіграло центральну роль як у кібератаках WaterPlum, так і в деяких операціях з отримання іноземної валюти, які проводили північнокорейські ІТ-працівники.
Японська влада порадила компаніям перевіряти заявлені місця розташування, кваліфікацію та контактну інформацію заявників, особливо якщо кандидати наполягають на віддаленій роботі або оплаті криптовалютою. Роботодавцям було рекомендовано перевіряти технічні навички під час співбесід та уважно розглядати випадки, коли заявлене місце проживання кандидата не відповідає місцезнаходженню IP-адреси, використаної для подання заявки.
USDT
USDC
