Noord-Koreaanse hackers besmetten 30.000 computers

De aan Noord-Korea toegeschreven cyberactor WaterPlum infecteerde van december 2025 tot juli 2026 minstens 30.000 computers en maakte minstens $10,7 miljoen aan crypto buit.

Een gezamenlijk overheidsadvies van 18 september koppelt de campagne aan het Noord-Koreaanse 313 General Bureau. Dat onderdeel valt onder de Munitions Industry Department van de Koreaanse Arbeiderspartij. De Japanse politie en de FBI schrijven zowel WaterPlum als sommige Noord-Koreaanse IT-werkers aan die structuur toe. De Duitse buitenlandse inlichtingendienst BND noemt de actor vrijwel zeker door de staat gesteund en financieel gemotiveerd.

WaterPlum, ook bekend als Contagious Interview, trof minstens 30.000 computers in meer dan honderd landen. De voornaamste doelwitten waren individuele webdesigners, softwareontwikkelaars en specialisten in crypto, blockchain en Web3. Uit meer dan 7.000 wallets werden geld of accountgegevens gehaald. Minstens 1,7 miljard yen aan cryptoactiva, door de overheidsbron omgerekend naar $10,7 miljoen, werd namens Noord-Korea buitgemaakt en naar het land overgebracht.

Sollicitatie opent de computer

De aanvallers benaderen werkzoekenden via sociale media, vacaturesites en freelanceplatforms. Ze doen zich onder meer voor als recruiter of als legitiem AI-, crypto- of NFT-bedrijf. Tijdens een technisch interview of een programmeeropdracht moet het doelwit bestanden uit een samenwerkingsplatform of coderepository downloaden en uitvoeren.

De campagne gebruikt onder meer de malware BeaverTail, InvisibleFerret, OtterCookie, OtterCandy en StoatWaffle. Die laatste kan code starten zodra een slachtoffer een kwaadaardig project in programmeerprogramma VS Code opent en vertrouwt. Daarna kunnen de aanvallers toegang houden en gegevens naar hun eigen infrastructuur sturen.

De malware richt zich op browserwachtwoorden, klembordinhoud, toetsaanslagen, screenshots en bestanden met foto's van rijbewijzen en paspoorten. Ook geheime toegangssleutels en herstelwoorden van wallets zijn doelwit. Een besmette computer kan bovendien toegang geven tot de organisatie waarvoor een softwareontwikkelaar werkt.

In mei 2025 solliciteerde iemand met een vervalst cv via een VPN naar een technische functie bij een Japanse cryptobeurs. De beurs wees de kandidaat af en leed geen schade. Dezelfde IP-adressen werden volgens het advies gebruikt voor sollicitaties, laptopfarms en diensten voor tijdelijk werk.

Laptopfarm verbergt werkplek

Japanse autoriteiten hebben daarnaast voor het eerst in het land een laptopfarm geïdentificeerd, onderzocht en ontmanteld. Zo'n farm staat vaak bij een lokale helper thuis. Noord-Koreaanse IT-werkers bedienen de werkcomputers op afstand, meestal vanuit Noord-Korea, China of Rusland.

Helpers leveren identiteitsafbeeldingen waarmee werkers zich als iemand anders voordoen. Ook stellen ze bankrekeningen beschikbaar om salarissen te ontvangen en door te sturen. Soms beheren ze virtuele servers waarmee de echte werklocatie wordt verhuld. Bij de Japanse operatie vonden de autoriteiten bewijs voor buitenlandse overboekingen van enkele honderden miljoenen yen, waaronder cryptoactiva.

De fysieke omvang van de farm en de strafrechtelijke status van de lokale helper blijven buiten het advies. Het waarschuwt wel dat betaling voor dit werk of voor de hulp daarbij Japanse wetgeving en sancties tegen Noord-Korea kan schenden.

Het advies kwam van zeven diensten uit Japan, de Verenigde Staten, Australië en Duitsland. De technische bevindingen zijn opgesteld met betrokken politiediensten, de FBI en private partners. Beveiligingsbedrijf NTT Security en cryptobeurs bitFlyer worden bedankt voor hun medewerking.