Хакерская группировка WaterPlum из КНДР похитила не менее 10,7 миллиона долларов, выдавая себя за рекрутеров легитимных крипто- и ИИ-компаний и атакуя соискателей вредоносным ПО.
Эта группировка, также известная как Contagious Interview, ведет охоту на разработчиков ПО и IT-специалистов по всему миру, говорится в совместном предупреждении властей Японии, Германии, Австралии и США. По данным ведомств, злоумышленники притворялись представителями реальных фирм из сферы искусственного интеллекта, криптовалют и NFT, а также пользовались услугами платформ по найму.
Главными целями стали независимые веб-дизайнеры, инженеры, а также эксперты в области криптовалют, блокчейна и Web3-технологий, уточняется в документе.
В отчете WaterPlum также связывают с более масштабной кампанией Пхеньяна по внедрению IT-специалистов в зарубежные компании: ведомства США и Японии полагают, что участники группировки и некоторые северокорейские айтишники подчиняются Отделу промышленности вооружений КНДР.
Согласно рекомендациям ведомств, хакеры заманивали кандидатов через соцсети, сайты по поиску работы, биржи фриланса и платформы для выполнения разовых задач. В ходе собеседований жертвам под видом тестовых заданий или исправлений неполадок со связью предлагали скачать и запустить опасные файлы.
Получив скрытый доступ к компьютерам жертв, злоумышленники применяли трояны для удаленного управления и программы-стилеры, чтобы выкачивать конфиденциальные данные и криптоактивы.
Успешное заражение также открывает для WaterPlum возможности по проникновению в структуры, где трудятся ничего не подозревающие разработчики.
В период с декабря 2025 года по июль 2026 года хакеры из WaterPlum заразили как минимум 30 000 устройств в более чем 100 странах и вывели средства или учетные данные из свыше 7 000 криптокошельков.
Впрочем, ущерб не ограничивается кражей монет. Похищенные документы позволяют гражданам КНДР выдавать себя за реальных людей и получать зарплату, а секретную информацию злоумышленники могут использовать для шантажа.
Авторы доклада привели случай, когда предполагаемый работник из КНДР попытался устроиться инженером в японский криптообменник по поддельному резюме. Биржа отклонила кандидатуру после того, как в ходе интервью выявила несоответствия, в частности неспособность соискателя подробно рассказать о заявленных навыках.
Более свежий инцидент произошел в июле, когда издание сообщалосьо, что компания Consensys по незнанию наняла разработчика, связанного с КНДР, в качестве консультанта. Представители фирмы заявили редакции, что закрыли ему доступ сразу после обнаружения угрозы, а внутренняя проверка не выявила кражи активов или данных, внедрения вредоносного кода или угрозы безопасности пользователей.
Эта масштабная кампания служит очередным подтверждением того, что Северная Корея продолжает систематически похищать криптовалюту для пополнения бюджета, несмотря на многолетние предупреждения и санкции. ФБР возложило на КНДР ответственность за кражу 1,5 миллиарда долларов у биржи Bybit в феврале 2025 года, в то время как власти США предупреждают об агентах под прикрытием в IT-сфере как минимум с 2018 года.
