O grupo de hackers WaterPlum, ligado à Coreia do Norte, comprometeu mais de 30.000 dispositivos em mais de 100 países e regiões, roubando informações de mais de 7.000 carteiras de criptomoedas enquanto visava desenvolvedores por meio de campanhas de recrutamento falsas.
Resumo
- O WaterPlum infectou mais de 30.000 dispositivos em mais de 100 países e regiões e roubou informações de mais de 7.000 carteiras de criptomoedas.
- Autoridades japonesas e norte-americanas ligaram o WaterPlum e alguns trabalhadores de TI norte-coreanos ao Bureau 313 do Partido dos Trabalhadores da Coreia.
- Os atacantes se passaram por empresas de criptomoedas, IA e NFT para visar desenvolvedores com arquivos maliciosos disfarçados de tarefas de entrevista e testes de programação.
- Investigadores japoneses desmantelaram uma fazenda doméstica de laptops usada por trabalhadores de TI norte-coreanos para assumir empregos remotamente enquanto ocultavam suas localizações.
- Um suspeito de ser trabalhador de TI norte-coreano se candidatou separadamente a uma vaga de engenharia na bitFlyer em 2025, mas foi identificado antes de ser contratado.
A Agência Nacional de Polícia do Japão afirmou em 18 de setembro que sua investigação, conduzida com o Escritório Nacional de Cibersegurança, o FBI, o Centro de Crimes Cibernéticos do Departamento de Defesa dos EUA e agências da Austrália e da Alemanha, revelou os métodos de ataque do grupo e suas ligações com trabalhadores de TI norte-coreanos.
Autoridades japonesas e norte-americanas avaliaram que o WaterPlum, associado à atividade de ameaça comumente conhecida como Contagious Interview, e alguns trabalhadores de TI norte-coreanos operam sob o Bureau 313 do Departamento da Indústria de Munições do Partido dos Trabalhadores da Coreia.
Os investigadores descobriram que mais de 30.000 computadores provavelmente foram infectados entre cerca de dezembro de 2025 e julho de 2026. As vítimas estavam espalhadas por mais de 100 países e regiões, incluindo o Japão, com designers web, engenheiros e pessoas que trabalham com criptomoedas, blockchain e Web3 entre os principais alvos.
Mais de 7.000 registros de carteiras de criptomoedas foram roubados durante as infecções, enquanto carteiras controladas pelo WaterPlum receberam pelo menos 1,7 bilhão de ienes, equivalente a aproximadamente US$ 10,7 milhões com base na taxa de câmbio usada pelas autoridades japonesas.
O Ministério das Relações Exteriores do Japão confirmou separadamente que autoridades do Japão, dos Estados Unidos, da Austrália e da Alemanha divulgaram conjuntamente as táticas do WaterPlum e as atividades de trabalhadores de TI norte-coreanos envolvidos em esquemas de geração de moeda estrangeira e recrutamento.
WaterPlum usou empregos falsos em criptomoedas para espalhar malware
O WaterPlum abordou desenvolvedores de software e outros trabalhadores de TI por meio de redes sociais, sites de empregos online, plataformas de trabalhos temporários e mercados de freelancers, de acordo com o relatório da polícia japonesa. Os atacantes se passaram por empresas legítimas de inteligência artificial, criptomoedas e NFT ou serviços de recrutamento antes de apresentar aos candidatos oportunidades de emprego aparentemente atraentes.
Durante entrevistas técnicas ou testes de programação, os candidatos foram instruídos a baixar programas maliciosos hospedados em plataformas de desenvolvimento colaborativo e repositórios de código. Algumas vítimas foram informadas de que os arquivos eram necessários para diagnosticar problemas com software de videoconferência ou concluir uma tarefa de programação.
O grupo colocou malware, incluindo BeaverTail, InvisibleFerret, OtterCookie, OtterCandy e StoatWaffle, dentro de pacotes NPM maliciosos. Uma vez que um dispositivo fosse comprometido, os atacantes podiam estabelecer backdoors e usar ferramentas de acesso remoto para manter o acesso e se mover pelos sistemas afetados. Malware de roubo de informações era então usado para extrair dados confidenciais e criptomoedas.
As informações roubadas incluíam credenciais de navegador, teclas digitadas, capturas de tela e dados da área de transferência. Chaves privadas e frases-semente de carteiras de criptomoedas estavam entre os registros visados, juntamente com documentos de identidade, como passaportes e carteiras de motorista, armazenados em computadores afetados ou pastas compartilhadas.
Pesquisadores de segurança documentaram métodos de recrutamento semelhantes na indústria de criptomoedas. Como o crypto.news relatou anteriormente,desenvolvedores ligados à Coreia do Norte trabalharam dentro de mais de 40 projetos DeFi ao longo de sete anos, de acordo com o desenvolvedor da MetaMask e pesquisador de segurança Taylor Monahan. Investigadores descreveram anúncios de emprego, e-mails, mensagens no LinkedIn, chamadas no Zoom e processos de entrevista como rotas recorrentes usadas para abordar alvos.
Trabalhadores de TI norte-coreanos usaram fazendas de laptops no Japão
Investigadores japoneses disseram ter desmantelado a primeira "fazenda de laptops" doméstica conhecida ligada a trabalhadores de TI norte-coreanos no país. Sob o esquema, um facilitador local mantinha computadores em sua residência enquanto os trabalhadores controlavam remotamente as máquinas de outro lugar.
Os trabalhadores usavam documentos de identidade fornecidos por pessoas que vivem no Japão para se passarem por elas enquanto buscavam contratos. Em alguns casos, os pagamentos eram direcionados para contas bancárias controladas por facilitadores, que então transferiam o dinheiro adiante. Trabalhadores norte-coreanos ligados às investigações enviaram criptomoedas e outros ativos no valor de centenas de milhões de ienes para o exterior, segundo a agência.
Alguns trabalhadores operavam da Coreia do Norte, enquanto outros estavam baseados na China ou na Rússia, com números menores localizados na África e no Sudeste Asiático. Fazendas de laptops e servidores privados virtuais permitiam que eles disfarçassem onde o trabalho estava realmente sendo realizado enquanto aceitavam empregos por meio de serviços de crowdsourcing domésticos e internacionais.
Operações comparáveis foram processadas nos Estados Unidos. Dois homens norte-americanos receberam penas de 18 meses de prisão em 2026 por ajudar trabalhadores norte-coreanos a acessar remotamente laptops de empresas, enquanto o Departamento de Justiça disse que os esquemas envolviam quase 70 empresas e geraram mais de US$ 1,2 milhão. As sentenças elevaram para oito o número de facilitadores de fazendas de laptops condenados nos Estados Unidos em um período de cinco meses.
As autoridades dos EUA também perseguiram os lucros dos esquemas de emprego por meio de casos de confisco de criptomoedas. Um juiz federal ordenou em setembro o confisco de aproximadamente US$ 212.700 em USDC e USDT rastreados até endereços de pagamento usados por trabalhadores de TI norte-coreanos, parte de um esforço do Departamento de Justiça envolvendo mais de US$ 7,74 milhões em ativos digitais.
Promotores disseram que a carteira confiscada havia recebido cerca de 158.123 USDC de pelo menos 10 endereços usados para pagar trabalhadores e 54.574 USDT de pelo menos quatro outros endereços de pagamento. As autoridades alegaram que os trabalhadores ocultaram suas identidades e localizações enquanto aceitavam empregos de tecnologia no exterior antes de encaminhar seus ganhos por meio de criptomoedas.
bitFlyer detectou suspeito de candidato norte-coreano
A investigação do Japão identificou uma tentativa separada de um suspeito de trabalhador de TI norte-coreano de garantir uma posição de engenharia na exchange de criptomoedas bitFlyer em maio de 2025.
O candidato enviou um currículo sob a identidade de outra pessoa diretamente pelo formulário de recrutamento da exchange e usou o Gmail como endereço de contato. Investigadores disseram que a pessoa acessou o sistema de candidatura por meio de VPN e serviços de proxy, incluindo NETNUT Proxy, Astrill VPN e High Speed Rabbit Proxy.
Durante uma entrevista online, o candidato alegou ser malaio e morar na Finlândia. O currículo listava ampla experiência em linguagens de programação, blockchain, criptomoedas e serviços em nuvem, além de educação em uma universidade europeia e emprego em várias cidades europeias e asiáticas.
O candidato conseguia responder a perguntas simples sobre as habilidades listadas, mas dava respostas abstratas ou evitava perguntas mais detalhadas, segundo a agência. Investigadores notaram verificações repetidas de outro monitor durante a entrevista, vozes ocasionais ao fundo e interrupções no feed de vídeo. A pessoa resistiu a se mudar para o Japão e insistiu em receber salário em criptomoeda. A bitFlyer identificou o comportamento suspeito e não contratou o candidato, e nenhum dano foi relatado.
Uma tentativa de recrutamento semelhante já havia sido detectada na Kraken, onde um candidato suspeito de ligações com a Coreia do Norte entrou em uma entrevista usando um nome diferente do que estava no currículo e parecia receber assistência em tempo real durante a chamada. A exchange posteriormente conectou o e-mail do candidato a informações previamente sinalizadas por parceiros do setor.
Investigadores ligaram a atividade do WaterPlum à mesma infraestrutura
As autoridades japonesas encontraram uma conexão técnica entre os ataques do WaterPlum, as operações de trabalhadores no exterior e a tentativa de recrutamento na bitFlyer.
Endereços IP usados por atacantes do WaterPlum correspondiam a endereços usados por trabalhadores de TI norte-coreanos para se conectar a fazendas de laptops e serviços de crowdsourcing, segundo a Agência Nacional de Polícia. Investigadores descobriram que o suspeito de trabalhador norte-coreano que se candidatou à posição de engenharia na bitFlyer havia usado infraestrutura correspondente.
A Agência Nacional de Polícia e o FBI avaliaram que o Bureau 313 desempenhou um papel central tanto nos ciberataques do WaterPlum quanto em algumas das operações de obtenção de moeda estrangeira realizadas por trabalhadores de TI norte-coreanos.
As autoridades japonesas aconselharam as empresas a verificar os locais, as qualificações e as informações de contato declarados pelos candidatos, especialmente quando os candidatos insistem em trabalho remoto ou pagamentos em criptomoedas. Os empregadores foram instados a verificar as habilidades técnicas durante as entrevistas e a examinar minuciosamente os casos em que a residência declarada de um candidato não corresponde ao local do endereço IP usado para enviar uma candidatura.
