Die mit Nordkorea verbundene Hackergruppe WaterPlum hat mehr als 30.000 Geräte in über 100 Ländern und Regionen kompromittiert und Informationen aus mehr als 7.000 Kryptowährungs-Wallets gestohlen, während sie Entwickler durch gefälschte Rekrutierungskampagnen ins Visier nahm.
Zusammenfassung
- WaterPlum infizierte mehr als 30.000 Geräte in über 100 Ländern und Regionen und stahl Informationen aus mehr als 7.000 Krypto-Wallets.
- Japanische und US-Behörden brachten WaterPlum und einige nordkoreanische IT-Arbeiter mit Büro 313 der Partei der Arbeit Koreas in Verbindung.
- Angreifer gaben sich als Krypto-, KI- und NFT-Unternehmen aus, um Entwickler mit bösartigen Dateien ins Visier zu nehmen, die als Interviewaufgaben und Programmiertests getarnt waren.
- Japanische Ermittler zerschlugen eine inländische Laptop-Farm, die von nordkoreanischen IT-Arbeitern genutzt wurde, um remote Jobs anzunehmen und dabei ihre Standorte zu verbergen.
- Ein mutmaßlicher nordkoreanischer IT-Arbeiter bewarb sich 2025 separat auf eine Ingenieursstelle bei bitFlyer, wurde jedoch vor der Einstellung identifiziert.
Japans Nationale Polizeibehörde erklärte am 18. September, dass ihre Untersuchung, die zusammen mit dem Nationalen Cybersicherheitsbüro, dem FBI, dem Cyber Crime Center des US-Verteidigungsministeriums und Behörden in Australien und Deutschland durchgeführt wurde, die Angriffsmethoden der Gruppe und ihre Verbindungen zu nordkoreanischen IT-Arbeitern aufdeckte.
Japanische und US-Behörden stellten fest, dass WaterPlum, das mit der allgemein als Contagious Interview bekannten Bedrohungsaktivität in Verbindung gebracht wird, und einige nordkoreanische IT-Arbeiter unter Büro 313 der Munitionsindustrie-Abteilung der Partei der Arbeit Koreas operieren.
Die Ermittler fanden heraus, dass zwischen etwa Dezember 2025 und Juli 2026 wahrscheinlich mehr als 30.000 Computer infiziert wurden. Die Opfer verteilten sich auf mehr als 100 Länder und Regionen, darunter Japan, wobei Webdesigner, Ingenieure und in den Bereichen Krypto, Blockchain und Web3 tätige Personen zu den Hauptzielen gehörten.
Während der Infektionen wurden mehr als 7.000 Kryptowährungs-Wallet-Datensätze gestohlen, während von WaterPlum kontrollierte Wallets mindestens 1,7 Milliarden Yen erhielten, was basierend auf dem von den japanischen Behörden verwendeten Wechselkurs etwa 10,7 Millionen US-Dollar entspricht.
Das japanische Außenministerium bestätigte separat, dass Behörden aus Japan, den Vereinigten Staaten, Australien und Deutschland gemeinsam die Taktiken von WaterPlum und die Aktivitäten nordkoreanischer IT-Arbeiter offengelegt hatten, die an Devisenbeschaffungs- und Rekrutierungsprogrammen beteiligt waren.
WaterPlum nutzte gefälschte Krypto-Jobs zur Verbreitung von Malware
Laut dem japanischen Polizeibericht sprach WaterPlum Softwareentwickler und andere IT-Arbeiter über soziale Medien, Online-Jobportale, Gig-Plattformen und Freelance-Marktplätze an. Die Angreifer gaben sich als legitime Unternehmen für künstliche Intelligenz, Kryptowährungen und NFTs oder als Rekrutierungsdienste aus, bevor sie den Kandidaten scheinbar attraktive Jobangebote präsentierten.
Während technischer Interviews oder Programmiertests wurden die Kandidaten angewiesen, bösartige Programme herunterzuladen, die auf kollaborativen Entwicklungsplattformen und Code-Repositories gehostet wurden. Einigen Opfern wurde gesagt, dass die Dateien benötigt würden, um Probleme mit Videokonferenzsoftware zu diagnostizieren oder eine Programmieraufgabe abzuschließen.
Die Gruppe platzierte Malware wie BeaverTail, InvisibleFerret, OtterCookie, OtterCandy und StoatWaffle in bösartigen NPM-Paketen. Sobald ein Gerät kompromittiert war, konnten Angreifer Backdoors einrichten und Remote-Zugriffstools verwenden, um den Zugang aufrechtzuerhalten und sich durch betroffene Systeme zu bewegen. Anschließend wurde informationsstehlende Malware eingesetzt, um vertrauliche Daten und Kryptowährungen zu extrahieren.
Zu den gestohlenen Informationen gehörten Browser-Anmeldedaten, Tastenanschläge, Screenshots und Zwischenablagedaten. Private Schlüssel und Seed-Phrasen für Kryptowährungs-Wallets gehörten zu den Zielobjekten, ebenso wie auf betroffenen Computern oder freigegebenen Ordnern gespeicherte Ausweisdokumente wie Pässe und Führerscheine.
Sicherheitsforscher haben ähnliche Rekrutierungsmethoden in der Krypto-Branche dokumentiert. Wie crypto.news zuvor berichtete,hatten mit Nordkorea verbundene Entwickler laut dem MetaMask-Entwickler und Sicherheitsforscher Taylor Monahan über sieben Jahre hinweg in mehr als 40 DeFi-Projekten gearbeitet. Ermittler beschrieben Stellenanzeigen, E-Mails, LinkedIn-Nachrichten, Zoom-Anrufe und Interviewprozesse als wiederkehrende Wege, um Ziele anzusprechen.
Nordkoreanische IT-Arbeiter nutzten Laptop-Farmen in Japan
Japanische Ermittler gaben an, die erste bekannte inländische „Laptop-Farm“ im Land zerschlagen zu haben, die mit nordkoreanischen IT-Arbeitern in Verbindung steht. Im Rahmen dieser Vereinbarung hielt ein lokaler Vermittler Computer in seiner Wohnung, während die Arbeiter die Maschinen von anderswo aus ferngesteuert bedienten.
Die Arbeiter verwendeten von in Japan lebenden Personen bereitgestellte Identitätsdokumente, um sich bei der Auftragssuche als diese auszugeben. In einigen Fällen wurden Zahlungen auf Bankkonten geleitet, die von Vermittlern kontrolliert wurden, die das Geld dann weiterleiteten. Laut der Behörde überwiesen mit den Ermittlungen in Verbindung stehende nordkoreanische Arbeiter Kryptowährungen und andere Vermögenswerte im Wert von Hunderten Millionen Yen ins Ausland.
Einige Arbeiter waren von Nordkorea aus tätig, während andere in China oder Russland ansässig waren, wobei eine kleinere Anzahl sich in Afrika und Südostasien befand. Laptop-Farmen und virtuelle private Server ermöglichten es ihnen, den tatsächlichen Ort der Arbeitsausführung zu verschleiern, während sie Aufträge über inländische und ausländische Crowdsourcing-Dienste annahmen.
Vergleichbare Operationen wurden in den Vereinigten Staaten strafrechtlich verfolgt. Zwei US-Männer erhielten 2026 Haftstrafen von 18 Monaten, weil sie nordkoreanischen Arbeitern geholfen hatten, remote auf Firmenlaptops zuzugreifen, während das Justizministerium erklärte, die Machenschaften hätten fast 70 Unternehmen betroffen und mehr als 1,2 Millionen Dollar eingebracht. Die Urteile brachten die Zahl der in den Vereinigten Staaten innerhalb eines Fünfmonatszeitraums verurteilten Laptop-Farm-Vermittler auf acht.
Die US-Behörden verfolgten die Erlöse aus den Beschäftigungssystemen auch durch Kryptowährungs-Einziehungsfälle. Ein Bundesrichter ordnete im September die Einziehung von etwa 212.700 US-Dollar in USDC und USDT an, die auf Zahlungsadressen nordkoreanischer IT-Arbeiter zurückgeführt wurden, als Teil einer Bemühung des Justizministeriums, die digitale Vermögenswerte im Wert von mehr als 7,74 Millionen US-Dollar umfasst.
Die Staatsanwaltschaft erklärte, die eingezogene Wallet habe etwa 158.123 USDC von mindestens 10 Adressen erhalten, die zur Bezahlung von Arbeitern verwendet wurden, sowie 54.574 USDT von mindestens vier weiteren Zahlungsadressen. Die Behörden behaupteten, die Arbeiter hätten ihre Identitäten und Standorte verschleiert, während sie Auslandstechnologiejobs annahmen, bevor sie ihre Einnahmen über Kryptowährungen leiteten.
bitFlyer erwischte mutmaßlichen nordkoreanischen Bewerber
Japans Untersuchung identifizierte einen separaten Versuch eines mutmaßlichen nordkoreanischen IT-Arbeiters, im Mai 2025 eine Ingenieursstelle bei der Kryptowährungsbörse bitFlyer zu erhalten.
Der Bewerber reichte einen Lebenslauf unter der Identität einer anderen Person direkt über das Rekrutierungsformular der Börse ein und verwendete Gmail als Kontaktadresse. Ermittler gaben an, die Person habe über VPN- und Proxy-Dienste wie NETNUT Proxy, Astrill VPN und High Speed Rabbit Proxy auf das Bewerbungssystem zugegriffen.
Während eines Online-Interviews gab der Bewerber an, Malaysier zu sein und in Finnland zu leben. Der Lebenslauf listete umfangreiche Erfahrung in Programmiersprachen, Blockchain, Kryptowährungen und Cloud-Diensten auf, zusammen mit einer Ausbildung an einer europäischen Universität und Beschäftigung in mehreren europäischen und asiatischen Städten.
Der Bewerber konnte einfache Fragen zu den aufgeführten Fähigkeiten beantworten, gab jedoch laut der Behörde abstrakte Antworten oder vermied detailliertere Fragen. Ermittler bemerkten wiederholte Blicke auf einen anderen Monitor während des Interviews, gelegentliche Stimmen im Hintergrund und Unterbrechungen des Videostreams. Die Person sträubte sich gegen einen Umzug nach Japan und bestand darauf, das Gehalt in Kryptowährung zu erhalten. bitFlyer erkannte das verdächtige Verhalten und stellte den Bewerber nicht ein, und es wurde kein Schaden gemeldet.
Ein ähnlicher Rekrutierungsversuch war zuvor bei Kraken entdeckt worden, wo ein Bewerber, der verdächtigt wurde, Verbindungen zu Nordkorea zu haben, unter einem anderen Namen als dem im Lebenslauf an einem Interview teilnahm und während des Anrufs Echtzeitunterstützung zu erhalten schien. Die Börse verknüpfte später die E-Mail-Adresse des Bewerbers mit Informationen, die zuvor von Branchenpartnern gemeldet worden waren.
Ermittler brachten WaterPlum-Aktivitäten mit derselben Infrastruktur in Verbindung
Die japanischen Behörden fanden eine technische Verbindung zwischen den WaterPlum-Angriffen, den Auslandsarbeiteroperationen und dem versuchten bitFlyer-Rekrutierungsversuch.
Laut der Nationalen Polizeibehörde stimmten IP-Adressen, die von WaterPlum-Angreifern verwendet wurden, mit Adressen überein, die nordkoreanische IT-Arbeiter nutzten, um sich mit Laptop-Farmen und Crowdsourcing-Diensten zu verbinden. Ermittler fanden heraus, dass der mutmaßliche nordkoreanische Arbeiter, der sich für die bitFlyer-Ingenieurstelle beworben hatte, übereinstimmende Infrastruktur verwendet hatte.
Die Nationale Polizeibehörde und das FBI kamen zu dem Schluss, dass Büro 313 eine zentrale Rolle sowohl bei den Cyberangriffen von WaterPlum als auch bei einigen der Devisenbeschaffungsoperationen spielte, die von nordkoreanischen IT-Arbeitern durchgeführt wurden.
Die japanischen Behörden rieten Unternehmen, die von Bewerbern angegebenen Standorte, Qualifikationen und Kontaktinformationen zu überprüfen, insbesondere wenn Kandidaten auf Fernarbeit oder Kryptowährungszahlungen bestehen. Arbeitgeber wurden aufgefordert, die technischen Fähigkeiten während der Vorstellungsgespräche zu prüfen und Fälle genau zu untersuchen, in denen der angegebene Wohnsitz eines Kandidaten nicht mit dem Standort der IP-Adresse übereinstimmt, die für die Einreichung einer Bewerbung verwendet wurde.
