Японське Національне поліцейське агентство (NPA) разом із ФБР США та колегами з Австралії й Німеччини оприлюднили деталі масштабної кіберкампанії угруповання WaterPlum, пов'язаного з Північною Кореєю. За інформацію слідства, з грудня 2025 по липень 2026 року зловмисники заразили шкідливим кодом понад 30 000 пристроїв у понад 100 країнах світу та отримали доступ до даних більш ніж 7000 криптовалютних гаманців.

На адреси, підконтрольні WaterPlum, надійшли криптоактиви на суму щонайменше 1,7 млрд японських єн — це приблизно $10,8 млн.

Фальшиві вакансії як інструмент атаки

Головними жертвами стали розробники, інженери та інші спеціалісти, пов'язані з криптовалютами, блокчейном і Web3. Угруповання видавало себе за справжні компанії зі сфери штучного інтелекту, криптовалют чи NFT, а також за рекрутингові агентства, пропонуючи потенційним кандидатам вигідні пропозиції роботи.

На етапі співбесіди чи виконання тестового завдання претендентів переконували завантажити файли з платформ для колаборативної розробки або з репозиторіїв коду. Зокрема, зловмисники поширювали шкідливий код через NPM-пакети, вбудовуючи туди шкідливі сімейства BeaverTail, InvisibleFerret, OtterCookie, OtterCandy та StoatWaffle.

Після успішного заражений пристрою хакери встромляли бекдор, зберігали дистанційний контроль і викачували чутливі дані жертв.

У фокусі зловмисників були:

  • облікові дані з браузерів
  • натискання клавіш, вміст буфера обміну та скриншоти екрана
  • інформація криптогаманців, включно з приватними ключами та seed-фразами
  • скани документів і зображення посвідчень особи

Слідчі з NPA та ФБР припускають, що за діяльністю WaterPlum і частиною північнокорейських IT-фахівців стоїть 313-те генеральне бюро Департаменту військової промисловості Центрального комітету Трудової партії Кореї.

«Ферми ноутбуків» як прикриття для віддаленої роботи

Уперше в Японії правоохоронці виявили та знешкодили так звану ферму ноутбуків — набір комп'ютерів, розміщених у житлі місцевого посередника, якими дистанційно керували північнокорейські IT-працівники. За оцінками NPA, через подібні схеми за межі країни було виведено криптоактиви й інші кошти на суму кілька сотень мільйонів єн.

У травні 2025 року один із підозрюваних, причетних до північнокорейської IT-мережі, намагався отримати посаду інженера в японській криптобіржі bitFlyer. Він застосовував VPN, подав резюме, оформлене на чуже ім'я, і наполягав на дистанційному форматі роботи з виплатою зарплати в криптовалюті. Компанія помітила підозрілі деталі під час інтерв'ю та відмовила кандидату.

Правоохоронці підкреслюють, що метою північнокорейських IT-працівників не завжди є лише заробіток в іноземній валюті — отримуючи доступ до корпоративних систем, вони можуть викрадати конфіденційну інформацію, вихідний код та інші важливі дані.

NPA закликає бізнес обмежувати доступ підрядників до внутрішньої інфраструктури, перевіряти особу та кваліфікацію претендентів, а при роботі з незнайомим кодом використовувати пісочниці або урізані права доступу. Якщо пристрій уже заражено, відомство радить негайно відʼєднати його від мережі, а криптовалютні кошти перевести на новий гаманець, створений з іншого, чистого пристрою.

Нагадаємо, що раніше стало відомо про інші угруповання, пов'язані з КНДР, які проникли до 1640 компаній у 57 країнах, полюючи на криптографічні ключі.