Attività del Gruppo di Hacking WaterPlum
Il gruppo di hacking legato alla Corea del Nord, noto come WaterPlum, ha compromesso oltre 30.000 dispositivi in più di 100 paesi e regioni, rubando informazioni da oltre 7.000 portafogli di criptovalute mentre prendeva di mira sviluppatori attraverso campagne di reclutamento false.
Indagini e Collaborazioni Internazionali
L’Agenzia Nazionale di Polizia del Giappone ha dichiarato il 18 settembre che la sua indagine, condotta in collaborazione con l’Ufficio Nazionale per la Cybersecurity, l’FBI, il Centro per i Crimini Informatici del Dipartimento della Difesa degli Stati Uniti e agenzie in Australia e Germania, ha rivelato i metodi di attacco del gruppo e i legami con i lavoratori IT nordcoreani.
Le autorità giapponesi e statunitensi hanno valutato che WaterPlum, associato all’attività di minaccia comunemente nota come “Contagious Interview“, e alcuni lavoratori IT nordcoreani operano sotto il Bureau 313 del Dipartimento dell’Industria degli Armamenti del Partito dei Lavoratori della Corea.
Metodi di Attacco e Obiettivi
Gli investigatori hanno scoperto che più di 30.000 computer erano probabilmente infettati tra dicembre 2025 e luglio 2026. Le vittime erano diffuse in oltre 100 paesi e regioni, compreso il Giappone, con web designer, ingegneri e professionisti del settore crypto, blockchain e Web3 tra i principali obiettivi.
Durante le infezioni, sono stati rubati oltre 7.000 registri di portafogli di criptovalute, mentre i portafogli controllati da WaterPlum hanno ricevuto almeno 1,7 miliardi di yen, equivalenti a circa 10,7 milioni di dollari secondo il tasso di cambio utilizzato dalle autorità giapponesi.
Tattiche di Reclutamento
WaterPlum ha contattato sviluppatori software e altri lavoratori IT attraverso social media, siti di lavoro online, piattaforme di lavoro a chiamata e mercati freelance. Gli attaccanti si sono spacciati per legittime aziende di intelligenza artificiale, criptovalute e NFT o servizi di reclutamento, presentando ai candidati opportunità di lavoro apparentemente attraenti.
Durante interviste tecniche o test di codifica, ai candidati è stato chiesto di scaricare programmi dannosi ospitati su piattaforme di sviluppo collaborativo e repository di codice. Alcune vittime sono state informate che i file erano necessari per diagnosticare problemi con il software di videoconferenza o completare un compito di codifica.
Malware e Dati Rubati
Il gruppo ha inserito malware, tra cui BeaverTail, InvisibleFerret, OtterCookie, OtterCandy e StoatWaffle, all’interno di pacchetti NPM dannosi. Una volta che un dispositivo era compromesso, gli attaccanti potevano stabilire backdoor e utilizzare strumenti di accesso remoto per mantenere l’accesso e muoversi attraverso i sistemi colpiti.
Le informazioni rubate includevano credenziali del browser, sequenze di tasti, screenshot e dati degli appunti. Le chiavi private e le frasi seed per i portafogli di criptovalute erano tra i registri mirati, insieme a documenti d’identità come passaporti e patenti di guida memorizzati su computer o cartelle condivise colpite.
Operazioni di Laptop Farm
Gli investigatori giapponesi hanno dichiarato di aver smantellato la prima “laptop farm” domestica conosciuta collegata a lavoratori IT nordcoreani nel paese. Sotto l’accordo, un facilitatore locale teneva computer presso la propria residenza mentre i lavoratori controllavano a distanza le macchine da altrove.
I lavoratori utilizzavano documenti d’identità forniti da persone che vivevano in Giappone per impersonarli mentre cercavano contratti. In alcuni casi, i pagamenti venivano diretti su conti bancari controllati dai facilitatori, che poi trasferivano il denaro.
Conclusioni e Raccomandazioni
Le autorità giapponesi hanno consigliato alle aziende di verificare le posizioni, le qualifiche e le informazioni di contatto dichiarate dai candidati, in particolare quando i candidati insistono per lavorare da remoto o ricevere pagamenti in criptovalute. Gli datori di lavoro sono stati esortati a controllare le competenze tecniche durante i colloqui e a scrutinare i casi in cui la residenza dichiarata di un candidato non corrisponde alla posizione dell’indirizzo IP utilizzato per presentare una domanda.
