Cyberangriffe durch die Hackergruppe WaterPlum
Die mit Nordkorea verbundene Hackergruppe WaterPlum hat mehr als 30.000 Geräte in über 100 Ländern und Regionen kompromittiert und Informationen von über 7.000 Kryptowährungs-Wallets gestohlen. Dies geschah, während die Gruppe Entwickler durch gefälschte Rekrutierungskampagnen ins Visier nahm. Die japanische Nationalpolizei gab am 18. September bekannt, dass ihre Untersuchung, die in Zusammenarbeit mit dem Nationalen Cyber-Sicherheitsbüro, dem FBI, dem Cyber Crime Center des US-Verteidigungsministeriums sowie Behörden in Australien und Deutschland durchgeführt wurde, die Angriffsmethoden der Gruppe und deren Verbindungen zu nordkoreanischen IT-Arbeitern aufdeckte.
Angriffsmethoden und Zielgruppen
Japanische und US-Behörden schätzten, dass WaterPlum, die mit der Bedrohungsaktivität bekannt als „Contagious Interview“ in Verbindung steht, und einige nordkoreanische IT-Arbeiter unter Büro 313 des Munitionsindustrie-Departments der Arbeiterpartei Koreas operieren. Ermittler fanden heraus, dass zwischen etwa Dezember 2025 und Juli 2026 wahrscheinlich mehr als 30.000 Computer infiziert wurden. Die Opfer verteilten sich auf mehr als 100 Länder und Regionen, einschließlich Japan, wobei Webdesigner, Ingenieure und Personen, die im Bereich Krypto, Blockchain und Web3 tätig sind, zu den Hauptzielen gehörten.
Während der Infektionen wurden über 7.000 Krypto-Wallet-Daten gestohlen, und Wallets, die von WaterPlum kontrolliert wurden, erhielten mindestens 1,7 Milliarden Yen, was ungefähr 10,7 Millionen Dollar entspricht, basierend auf dem von den japanischen Behörden verwendeten Wechselkurs.
Rekrutierungsmethoden der Angreifer
WaterPlum wandte sich an Softwareentwickler und andere IT-Arbeiter über soziale Medien, Online-Jobseiten, Gig-Plattformen und Freelance-Marktplätze. Die Angreifer gaben sich als legitime Unternehmen für künstliche Intelligenz, Kryptowährung und NFTs oder als Rekrutierungsdienste aus, bevor sie den Kandidaten anscheinend attraktive Jobangebote unterbreiteten. Während technischer Interviews oder Programmierprüfungen wurden die Kandidaten angewiesen, bösartige Programme herunterzuladen, die auf kollaborativen Entwicklungsplattformen und Code-Repositories gehostet wurden.
Die Gruppe platzierte Malware, darunter BeaverTail, InvisibleFerret, OtterCookie, OtterCandy und StoatWaffle, in bösartigen NPM-Paketen. Sobald ein Gerät kompromittiert war, konnten die Angreifer Hintertüren einrichten und Remote-Access-Tools verwenden, um den Zugriff zu behalten und sich durch die betroffenen Systeme zu bewegen. Informationsdiebstahl-Malware wurde dann verwendet, um vertrauliche Daten und Kryptowährung zu extrahieren.
Gestohlene Daten und Identitätsdiebstahl
Gestohlene Informationen umfassten Browser-Anmeldeinformationen, Tastatureingaben, Screenshots und Zwischenablagedaten. Private Schlüssel und Seed-Phrasen für Krypto-Wallets gehörten zu den angezielten Datensätzen, ebenso wie Identitätsdokumente wie Pässe und Führerscheine, die auf betroffenen Computern oder in gemeinsamen Ordnern gespeichert waren.
Sicherheitsforscher haben ähnliche Rekrutierungsmethoden in der Krypto-Industrie dokumentiert. Wie bereits zuvor von crypto.news berichtet, hatten nordkoreanisch verbundene Entwickler in mehr als 40 DeFi-Projekten über sieben Jahre hinweg gearbeitet, so die MetaMask-Entwicklerin und Sicherheitsforscherin Taylor Monahan.
Internationale Ermittlungen und rechtliche Konsequenzen
Japanische Ermittler gaben an, die erste bekannte inländische „Laptop-Farm“ im Zusammenhang mit nordkoreanischen IT-Arbeitern im Land zerschlagen zu haben. Im Rahmen des Arrangements hielt ein lokaler Vermittler Computer in seiner Wohnung, während die Arbeiter die Maschinen von anderswo aus fernsteuerten. Die Arbeiter verwendeten Identitätsdokumente, die von Personen, die in Japan leben, bereitgestellt wurden, um sich als diese auszugeben, während sie Verträge suchten.
Nordkoreanische Arbeiter, die mit den Ermittlungen in Verbindung standen, schickten Kryptowährung und andere Vermögenswerte im Wert von Hunderten Millionen Yen ins Ausland. Einige Arbeiter operierten aus Nordkorea, während andere in China oder Russland ansässig waren, mit kleineren Gruppen in Afrika und Südostasien. Laptop-Farmen und virtuelle private Server ermöglichten es ihnen, zu verschleiern, wo die Arbeit tatsächlich durchgeführt wurde, während sie Aufträge über inländische und ausländische Crowdsourcing-Dienste annahmen.
Die Urteile erhöhten die Zahl der in den Vereinigten Staaten verurteilten Laptop-Farm-Vermittler innerhalb eines Zeitraums von fünf Monaten auf acht. US-Behörden haben auch die Erlöse aus den Beschäftigungsplänen durch Kryptowährungsbeschlagnahmungen verfolgt.
Schlussfolgerung und Empfehlungen
Die Behörden behaupteten, dass die Arbeiter ihre Identität und ihren Standort verschleierten, während sie ausländische Technologiejobs annahmen. Japanische Behörden fanden eine technische Verbindung zwischen den WaterPlum-Angriffen, den Operationen ausländischer Arbeiter und dem versuchten Rekrutierungsversuch bei bitFlyer. Ermittler fanden heraus, dass der verdächtige nordkoreanische Arbeiter, der sich für die Ingenieursposition bei bitFlyer beworben hatte, dieselbe Infrastruktur verwendet hatte.
Die Nationalpolizei und das FBI schätzten, dass Büro 313 eine zentrale Rolle sowohl bei den Cyberangriffen von WaterPlum als auch bei einigen der von nordkoreanischen IT-Arbeitern durchgeführten Fremdwährungsverdienoperationen spielte. Japanische Behörden rieten Unternehmen, die angegebenen Standorte, Qualifikationen und Kontaktdaten der Bewerber zu überprüfen, insbesondere wenn Kandidaten auf Fernarbeit oder Kryptowährungszahlungen bestehen.
