Autoriteiten: Noord-Koreaanse hackers besmetten minstens 30.000 pc's
Autoriteiten: sollicitatietruc bracht minstens $10,7 miljoen naar Noord-Korea
Volgens autoriteiten besmette de aan Noord-Korea toegeschreven cyberactorgroep WaterPlum minstens 30.000 pc's en bracht zij minstens $10,7 miljoen aan crypto-activa naar het land. De campagne liep van omstreeks december 2025 tot en met juli 2026 en trof meer dan honderd landen.
Japanse, Amerikaanse, Australische en Duitse autoriteiten beschreven de operatie in een gezamenlijke waarschuwing van 18 september. WaterPlum staat in de beveiligingssector doorgaans bekend als Contagious Interview. De Japanse politie en de Amerikaanse opsporingsdienst FBI beoordelen dat de groep onder het Noord-Koreaanse overheidsorgaan 313 General Bureau van het Munitions Industry Department opereert. Dat is een beoordeling van de diensten.
De aanvallers benaderden softwareontwikkelaars en andere IT-professionals via sociale media, vacaturesites en platforms voor freelancers. Ze deden zich voor als bedrijven in kunstmatige intelligentie, crypto of NFT's, of gebruikten wervingsdiensten. Vooral webdesigners, technici en specialisten in crypto, blockchain en Web3 waren doelwit.
Sollicitatie installeert de malware
Tijdens virtuele sollicitatiegesprekken en programmeeropdrachten moesten kandidaten bestanden downloaden en uitvoeren. Soms gebeurde dat onder het voorwendsel dat zo een probleem met videobellen kon worden opgelost. De bestanden kwamen van platforms voor samenwerking en programmeercode.
De waarschuwing noemt kwaadaardige NPM-pakketten, softwareonderdelen die programmeurs in projecten kunnen gebruiken. Daarin zaten malwarevarianten met namen als BeaverTail, InvisibleFerret, OtterCookie, OtterCandy en StoatWaffle. Die laatste werd ook via misleidende projecten voor programmeerprogramma Visual Studio Code verspreid.
Na de eerste toegang installeerden de aanvallers programma's voor bediening op afstand en het stelen van informatie. Daarmee verzamelden zij onder meer browserinloggegevens, klembordinhoud, toetsaanslagen, schermafbeeldingen, identiteitsdocumenten en de geheime sleutels en herstelzinnen van wallets.
Uit ruim 7.000 cryptowallets werden volgens de autoriteiten fondsen óf accountgegevens ontvreemd. Daaronder vallen zowel gestolen fondsen als buitgemaakte accountgegevens; het aantal wallets met geldverlies en unieke slachtoffers blijft open.
Crypto gaat naar Noord-Korea
De autoriteiten stellen dat minstens ¥1,7 miljard aan crypto-activa naar Noord-Korea is overgebracht, door hen gelijkgesteld aan $10,7 miljoen. Welke cryptomunten, wisselkoers en koersdatum aan die dollarwaarde ten grondslag liggen, blijft open. Ook de huidige staat van het geld blijft open.
Japanse autoriteiten ontmantelden daarnaast voor het eerst in het land een zogenoemde laptopfarm van een lokale facilitator. Bewijs uit die operatie wees volgens de waarschuwing op de overdracht van enkele honderden miljoenen yen, waaronder crypto-activa, naar bestemmingen buiten Japan.
De technieken werden ontdekt door een cyberafdeling van de Japanse regionale politie, betrokken prefecturale politiekorpsen en de FBI. Vakmedia BleepingComputer en CyberScoop bevestigden alleen dat de waarschuwing en haar kerncijfers openbaar zijn; hun cijfers komen uit diezelfde waarschuwing.