Waterplum kompromittierte laut Behörden mehr als 30.000 Computer in 100 Ländern und stahl über gefälschte Jobtests digitale Krypto-Werte.
In einer gemeinsamen Sicherheitswarnung vom 18. September haben die japanische Nationalpolizeibehörde (NPA), das FBI sowie Partnerbehörden aus Australien und Deutschland eine großangelegte Cyberkampagne der nordkoreanischen Gruppe Waterplum offengelegt. Zwischen Ende 2025 und Juli 2026 kompromittierten die Angreifer nach Behördenangaben mehr als 30.000 Computer in mindestens 100 Ländern und leiteten digitale Vermögenswerte im Wert von mindestens 10,71 Millionen US-Dollar in nordkoreanisch kontrollierte Wallets um.
Gefälschte IT-Vorstellungsgespräche wurden zum Malware-Köder
Die international auch als „Contagious Interview“ bekannte Gruppe zielte laut den Ermittlern gezielt auf Softwareentwickler, Webdesigner und Kryptowährungsspezialisten, die sie über Jobplattformen und soziale Medien kontaktierte. Dabei gaben sich die Täter als Personalvermittler oder als Vertreter von Unternehmen aus den Bereichen künstliche Intelligenz, Blockchain und Technologie aus. Wie stark solche Angriffsvektoren inzwischen auch über kompromittierte Wallet-Infrastruktur laufen, zeigt ein aktueller Bericht zu Blockchains als Malware-Infrastruktur.
Schädliche Programmieraufgaben öffneten den Zugriff auf Wallet-Daten
Der eigentliche Angriff erfolgte während vorgetäuschter technischer Vorstellungsgespräche oder Programmiertests: Kandidaten wurden angewiesen, Dateien herunterzuladen, die als Coding-Aufgabe oder als Tool zur Fehlerbehebung bei Videokonferenzen getarnt waren. Nach der Ausführung installierte der Code laut den Behörden Backdoor-Trojaner und Malware zum Diebstahl von Informationen, mit der Angreifer persönliche Ausweisdokumente und private Schlüssel für Kryptowährungen abgreifen konnten.
Insgesamt wurden nach dieser Bewertung mehr als 7.000 Krypto-Wallets angegriffen, wobei digitale Vermögenswerte im Wert von mindestens 1,7 Milliarden Yen in von Nordkorea kontrollierte Adressen flossen. Die Ermittler ordnen Waterplum und verbundene nordkoreanische IT-Fachkräfte dem Büro 313 der Abteilung für Rüstungsindustrie der Arbeiterpartei Koreas zu. Wie ähnliche Kampagnen Wallet-Erweiterungen und Phishing kombinieren, beschreibt ein früherer Beitrag zu Malware in Browser-Wallets.
Laptop-Farmen erschwerten die Standortkontrolle
Ein zweiter Baustein der Kampagne waren nach Angaben der Ermittler „inländische Mittelsmänner“, die nordkoreanischen Agenten halfen, Standortüberprüfungen zu umgehen und ausgelagerte IT-Aufträge bei japanischen und US-amerikanischen Unternehmen zu erhalten. In einer für japanische Strafverfolgungsbehörden beispiellosen Aktion beschlagnahmte und zerschlug die Polizei eine lokale Laptop-Farm, über die nordkoreanische IT-Fernarbeiter unter lokalen IP-Adressen arbeiten konnten. Über diese Systeme sollen Krypto-Vermögenswerte im Wert von mehreren hundert Millionen Yen ins Ausland transferiert worden sein.
Behörden empfehlen isolierte Arbeitsumgebungen
Die genannten Opfer- und Schadenszahlen stammen aus der gemeinsamen Bewertung der beteiligten Sicherheits- und Strafverfolgungsbehörden und wurden bislang nicht unabhängig verifiziert. Unternehmen und Gig-Worker sollen bei Online-Vorstellungsgesprächen vorsichtig sein, keinen ungeprüften Code außerhalb isolierter Sandbox-Umgebungen ausführen und beim Öffnen nicht vertrauenswürdiger Code-Repositories Kontrollmechanismen zur Einschränkung des Arbeitsbereichs anwenden.
Die Kampagne zeigt die Risiken digitaler Rekrutierung
Waterplum verbindet gefälschte Rekrutierung, Remote-Arbeit und den Diebstahl von Zugangsdaten beziehungsweise privaten Schlüsseln zu einem mehrstufigen Modell. Die beteiligten Behörden fordern Unternehmen und IT-Freelancer entsprechend dazu auf, ihre Prüf- und Ausführungsprozesse für externen Code grundlegend zu überdenken.
Kryptowährungen sind entgegen verbreiteter Annahme nicht vollständig anonym, sondern lediglich pseudonym – wer in diesem Umfeld agiert oder investiert, sollte geltende KYC-Pflichten und rechtliche Vorgaben beachten. Wie Angreifer Zugangsdaten über kompromittierte Wallet-Erweiterungen erbeuten, zeigt der Beitrag zu Malware- und Phishing-Kampagnen gegen Krypto-Wallets.
Quelle: Bitcoin.com News
next