WaterPlum-hakkeriryhmän hyökkäykset
Pohjoiskorealaisiin liitetty hakkeriryhmä WaterPlum on vaarantanut yli 30 000 laitetta yli 100 maassa ja alueella, varastaen tietoja yli 7 000 kryptovaluuttalompakosta. Ryhmä on kohdistanut hyökkäyksensä kehittäjiin vale rekrytointikampanjoiden kautta.
Yhteistyö ja tutkimus
Japanin kansallinen poliisi ilmoitti 18. syyskuuta, että sen tutkimus, jota on tehty yhteistyössä kansallisen kyberturvallisuusviraston, FBI:n, Yhdysvaltojen puolustusministeriön kyberrikollisuuskeskuksen sekä Australian ja Saksan viranomaisten kanssa, paljasti ryhmän hyökkäysmenetelmät ja yhteydet pohjoiskorealaisiin IT-työntekijöihin.
”Japanilaiset ja Yhdysvaltojen viranomaiset arvioivat, että WaterPlum, joka liittyy uhkatoimintaan, jota yleisesti tunnetaan nimellä Contagious Interview, ja jotkut pohjoiskorealaiset IT-työntekijät toimivat Korean työväenpuolueen ase-teollisuusosaston Bureau 313:n alaisuudessa.”
Hyökkäysten kohteet ja menetelmät
Tutkijat havaitsivat, että yli 30 000 tietokonetta oli todennäköisesti saanut tartunnan joulukuusta 2025 heinäkuuhun 2026. Uhrit olivat levinneet yli 100 maahan ja alueelle, mukaan lukien Japani, ja verkkosuunnittelijat, insinöörit sekä kryptovaluutta-, blockchain- ja Web3-alalla työskentelevät henkilöt olivat pääkohteita.
Tartuntojen aikana varastettiin yli 7 000 kryptovaluuttalompakon tietoja, ja WaterPlum:n hallinnoimat lompakot saivat vähintään 1,7 miljardia jeniä, mikä vastaa noin 10,7 miljoonaa dollaria Japanin viranomaisten käyttämän valuuttakurssin mukaan.
Rekrytointimenetelmät
WaterPlum lähestyi ohjelmistokehittäjiä ja muita IT-työntekijöitä sosiaalisen median, verkkotyöpaikkasivustojen, keikkapalveluiden ja freelance-markkinoiden kautta. Hyökkääjät esiintyivät laillisina tekoäly-, kryptovaluutta- ja NFT-yrityksinä tai rekrytointipalveluina ennen kuin esittivät ehdokkaille ilmeisesti houkuttelevia työmahdollisuuksia.
Teknisten haastattelujen tai koodauskokeiden aikana ehdokkaita ohjeistettiin lataamaan haittaohjelmia, jotka oli isännöity yhteistyökehitysalustoilla ja koodivarastoissa. Joillekin uhreille kerrottiin, että tiedostoja tarvittiin videoneuvotteluohjelmiston ongelmien diagnosoimiseksi tai koodaustehtävän suorittamiseksi.
Haittaohjelmat ja tietojen varastaminen
Ryhmän käyttämät haittaohjelmat, kuten BeaverTail, InvisibleFerret, OtterCookie, OtterCandy ja StoatWaffle, sijoitettiin haitallisiin NPM-paketteihin. Kun laite oli vaarantunut, hyökkääjät pystyivät luomaan takaovia ja käyttämään etäyhteystyökaluja säilyttääkseen pääsyn ja liikkuakseen vaikuttavissa järjestelmissä.
Tietojen varastamiseen käytettiin haittaohjelmia, joilla kerättiin luottamuksellisia tietoja ja kryptovaluuttaa. Varastetut tiedot sisälsivät selainkirjautumistietoja, näppäinpainalluksia, kuvakaappauksia ja leikepöydän tietoja.
Yhteydet Yhdysvaltoihin ja muihin maihin
Pohjoiskorealaiset työntekijät, jotka liittyivät tutkimuksiin, lähettivät kryptovaluuttaa ja muita varoja, joiden arvo oli satoja miljoonia jeniä ulkomaille. Jotkut työntekijät toimivat Pohjois-Koreasta, kun taas toiset olivat sijoittuneet Kiinaan tai Venäjälle, ja pienempiä määriä oli Afrikassa ja Kaakkois-Aasiassa.
Japanin tutkimus tunnisti erillisen yrityksen, jossa epäilty pohjoiskorealainen IT-työntekijä yritti saada insinöörin paikkaa kryptovaluuttapörssi bitFlyerissa toukokuussa 2025.
Viranomaisten toimet
Japanin viranomaiset neuvoivat yrityksiä tarkistamaan hakijoiden ilmoittamat sijainnit, pätevyydet ja yhteystiedot, erityisesti kun ehdokkaat vaativat etätyötä tai kryptovaluuttamaksuja. Työnantajia kehotettiin tarkistamaan tekniset taidot haastatteluissa ja tarkastelemaan tapauksia, joissa ehdokkaan ilmoitettu asuinpaikka ei vastaa hakemuksen jättämiseen käytetyn IP-osoitteen sijaintia.
