WaterPlum zainfekował 30 tys. urządzeń, ukradł 10,7 mln USD

Japońska Krajowa Agencja Policji (NPA) i FBI poinformowały, że grupa znana jako WaterPlum, także jako Contagious Interview, od grudnia 2025 do lipca 2026 zainfekowała ponad 30 000 urządzeń w więcej niż 100 krajach. Z przejętych maszyn wykradziono dane z ponad 7 000 portfeli kryptowalutowych; na portfele kontrolowane przez sprawców wpłynęło co najmniej 10,71 mln USD.

Sprawcy podszywali się pod rekruterów firm z branż sztucznej inteligencji, kryptowalut i NFT. Kontaktowali się z kandydatami przez media społecznościowe, serwisy z ofertami pracy i platformy dla freelancerów. Kandydaci mieli przechodzić rozmowy techniczne lub wykonywać testy programistyczne, po czym proszono ich o pobranie plików z serwisów do udostępniania kodu. Pliki zawierały złośliwe oprogramowanie, które wyszukiwało zapisane hasła, robiło zrzuty ekranu, rejestrowało naciśnięcia klawiszy i wykradało prywatne klucze portfeli kryptowalutowych.

W komunikacie śledczych pojawił się opis takiego działania: „Aktorzy WaterPlum udają potencjalnych pracodawców, by celować w deweloperów oprogramowania i specjalistów IT na całym świecie, wykorzystując pretekst atrakcyjnych ofert pracy.” Analiza adresów internetowych i infrastruktury sieciowej powiązała część operacji z farmami laptopów zlokalizowanymi w Japonii.

Japońska policja zidentyfikowała i rozbiła w kraju pierwszą ujawnioną farmę laptopów. Lokalni pomocnicy przechowywali komputery w mieszkaniach, a pracownicy z Korei Północnej zdalnie nimi sterowali, podszywając się pod mieszkańców Japonii, żeby zdobywać zlecenia dla freelancerów. Z operacji tych wysyłano kryptowaluty o wartości kilkuset milionów jenów za granicę.

Śledczy wskazują na powiązania między infrastrukturą cyfrową, adresami wykorzystywanymi do transferu środków oraz schematami rekrutacyjnymi a Biurem Generalnym 313 Departamentu Przemysłu Zbrojeniowego, podporządkowanego Komitetowi Centralnemu Partii Pracy Korei.

W jednym opisywanym przypadku w maju 2025 roku podejrzany z Korei Północnej aplikował do japońskiej giełdy bitFlyer, używając skradzionego CV. Rekruterzy zwrócili uwagę na żądanie wypłaty w kryptowalutach, odmowę przeprowadzki i zachowanie sugerujące korzystanie z drugiego ekranu, w związku z czym aplikacja nie została uwzględniona. W starszych kampaniach grupa wykorzystywała techniki deepfake podczas rozmów, by dotrzeć do kierownictwa firm.

Śledztwo trwa; agencje kontynuują analizę powiązań i przepływów kryptowalut. Śledczy zalecają programistom i specjalistom IT uruchamianie otrzymanego od nieznanych rekruterów kodu w odizolowanym środowisku testowym (sandbox), które nie ma dostępu do prawdziwych plików ani danych uwierzytelniających.