Северокорейская группа WaterPlum заразила 30 000 устройств по всему миру

Спецслужбы Японии, США, Австралии и Германии выпустили совместное предупреждение о деятельности северокорейской хакерской группировки WaterPlum. По их данным, с декабря 2025 по июль 2026 года злоумышленники скомпрометировали не менее 30 000 устройств более чем в 100 странах и вывели в КНДР криптоактивы на сумму 1,7 млрд иен — около 10,71 млн долларов. Похищены средства или учётные данные из более чем 7 000 криптокошельков.

Собеседование как приманка

WaterPlum связывают с многолетней кампанией «Contagious Interview», нацеленной на соискателей работы. Атакующие выдают себя за легитимные компании из сфер ИИ, криптовалют и NFT либо действуют через рекрутинговые и фриланс-платформы. В ходе поддельных интервью и тестовых заданий жертву просят скачать проект, «устранить неполадки» с видеосвязью или запустить вредоносный код.

Отдельная деталь выдаёт изобретательность мошенников: во время онлайн-собеседований они применяют программы для подмены лиц, а затем выключают камеру, ссылаясь на проблемы с сетью.

Арсенал вредоносов

В предупреждении перечислено несколько семейств вредоносного ПО: BeaverTail (JavaScript-зловред в npm-пакетах), Python-бэкдор InvisibleFerret, троян удалённого доступа OtterCookie и связанный с ним OtterCandy, а также модульный StoatWaffle на Node.js, который доставляется через вредоносные проекты Visual Studio Code и исполняет код после открытия и «доверия» папке.

Попав в систему, атакующие крадут учётные данные из браузеров, содержимое буфера обмена, нажатия клавиш, приватные ключи и seed-фразы криптокошельков, документы и делают скриншоты. Доступ к заражённым машинам может использоваться для проникновения в сети работодателей и клиентов — вплоть до кражи интеллектуальной собственности и шпионажа.

Связь с «удалёнными айтишниками»

Ведомства напрямую связывают WaterPlum с известной схемой фиктивных ИТ-специалистов из КНДР: часть хакеров сама подрабатывает удалёнными веб-разработчиками, а обе группы использовали одни и те же IP-адреса. Украденные в ходе атак документы затем переиспользуются для устройства на работу под чужим именем.

По оценке ФБР и японской полиции, участники действуют в рамках 313-го главного управления, входящего в структуру, отвечающую за оборонные разработки страны. В Японии впервые выявили и ликвидировали «ноутбучную ферму» северокорейских ИТ-работников, обнаружив следы перевода за рубеж нескольких сотен миллионов иен.

Компаниям рекомендуют тщательно проверять личность, местоположение и квалификацию соискателей и ограничивать их доступ, а разработчикам — не запускать незнакомый код вне песочницы и проверять присланные файлы на команды загрузки дополнительных модулей.

Источник: Bleeping Computer