Підтримувана Північною Кореєю хакерська група заразила понад 30 000 комп’ютерів у понад 100 країнах. Крім того, вона викрала дані понад 7000 криптогаманців, повідомили в п’ятницю Національне поліцейське агентство Японії та ФБР.
Гаманці під контролем групи отримали щонайменше 10,71 млн доларів у цифрових активах із грудня 2025 року по липень 2026-го. Відомства називають групу WaterPlum; її також відстежують під назвою Contagious Interview.
Як фальшиві рекрутери дісталися до 7000 криптогаманців
WaterPlum видає себе за хедхантерів компаній у сфері штучного інтелекту, криптовалют і NFT. Група виходить на розробників у соцмережах, на сайтах вакансій і фриланс-майданчиках.
«Учасники WaterPlum видають себе за потенційних роботодавців, щоб під приводом привабливих вакансій атакувати розробників ПЗ та ІТ-фахівців у всьому світі», — ідеться в спільному попередженні Національного поліцейського агентства Японії та ФБР.
Потім кандидатів просять пройти технічну співбесіду або виконати тестове завдання з програмування. Група каже їм завантажити файли із сайтів обміну кодом. Приводом слугує зламаний відеодзвінок або саме завдання.
У цих файлах — шкідливе ПЗ. Програми полюють на паролі в браузері, знімки екрана й натискання клавіш. Вони також забирають секретні ключі, що керують криптогаманцем — програмою, у якій люди зберігають цифрові гроші.
BeInCrypto в серпні писав про дослідника, який 22 місяці провів усередині серверів групи. Він склав мапу 1640 жертв у 57 країнах. Офіційний п’ятничний підрахунок приблизно у 18 разів більший.
Японія ліквідувала свою першу «ферму ноутбуків»
Поліція також закрила першу відому в країні «ферму ноутбуків». Місцеві помічники тримали комп’ютери в себе вдома. Північнокорейські працівники за кордоном керували ними віддалено й видавали себе за мешканців Японії, щоб отримувати фриланс-контракти.
Ці працівники переправили за кордон криптовалюту на кілька сотень мільйонів єн, повідомили слідчі. Одні й ті самі інтернет-адреси пов’язали ферму з хакерами.
«НПА і ФБР вважають, що і кібергрупа WaterPlum, і частина північнокорейських ІТ-працівників діють у підпорядкуванні 313-го Головного управління Департаменту військової промисловості при Центральному комітеті Трудової партії Кореї».
Один імовірний північнокореєць у травні 2025 року подав заявку на інженерну посаду в японській біржі bitFlyer, використавши вкрадене резюме. Інтерв’юери помітили, що він відмовлявся від переїзду і вимагав оплату в криптовалюті. Схоже, він читав відповіді з другого екрана, і його не взяли.
Попередні кампанії спиралися на відеодзвінки з діпфейковими рекрутерами, щоб виходити на старших співробітників. Тепер слідчі радять інженерам запускати код від рекрутерів у пісочниці — ізольованій тестовій зоні, відокремленій від справжніх файлів.
Source: BeInCrypto
