Eine nordkoreanische Hackergruppe hat offenbar mehr als 30.000 Geräte in über 100 Ländern infiziert und Daten aus mehr als 7.000 Krypto-Wallets abgegriffen. Die Gruppe WaterPlum, auch als “Contagious Interview” bekannt, soll auf diesem Weg Kryptowährungen im Wert von mindestens 10,71 Millionen US-Dollar nach Nordkorea transferiert haben.
Besonders perfide ist die Methode: Die Angreifer geben sich als Recruiter oder Arbeitgeber aus und locken Entwickler mit angeblichen Jobs bei Krypto-, KI- oder NFT-Unternehmen. Im Bewerbungsprozess sollen die Opfer Dateien herunterladen oder Programmieraufgaben ausführen, dort versteckt sich dann die Schadsoftware.
Krypto-Wallets geraten über falsche Jobangebote ins Visier
Nach Angaben der Behörden durchsucht die Malware infizierte Rechner unter anderem nach Wallet-Zugangsdaten und persönlichen Informationen. Die Angreifer können damit im schlimmsten Fall direkt auf die Kryptowährungen ihrer Opfer zugreifen. Betroffen sind vor allem Entwickler und IT-Fachkräfte, die über soziale Netzwerke oder Plattformen für Freiberufler angesprochen werden.
Die Dimension der Kampagne ist deutlich größer als bislang bekannt: Noch im August hatte ein Sicherheitsforscher von 1.640 identifizierten Opfern in 57 Ländern berichtet. Die nun veröffentlichten Behördenzahlen liegen weit darüber und zeigen, wie breit WaterPlum seine Angriffe offenbar gestreut hat.
Auch Laptop-Farmen spielen eine Rolle. Dabei stehen Rechner tatsächlich in dem Land, aus dem sich die vermeintlichen Mitarbeiter ausgeben, werden aber von nordkoreanischen IT-Arbeitern aus der Ferne gesteuert. So kann es für Unternehmen so aussehen, als würde ein Bewerber oder Mitarbeiter tatsächlich vor Ort arbeiten, obwohl die Person selbst ganz woanders sitzt.
In Japan wurde nach Angaben der Ermittler erstmals eine solche Struktur geschlossen. Die Behörden ordnen WaterPlum und Teile der nordkoreanischen IT-Arbeiter dem Generalbüro 313 des nordkoreanischen Ministeriums für Munitionsindustrie zu. Hinter den Angriffen steht demnach keine gewöhnliche Cybercrime-Gruppe, sondern eine Struktur, die nach Einschätzung der Ermittler direkt mit dem nordkoreanischen Staatsapparat verbunden ist.
