Un’operazione di hacking nordcoreana che si spaccia per recruiter tecnologici ha infettato almeno 30.000 dispositivi in più di 100 paesi, secondo un avvertimento congiunto delle agenzie internazionali di sicurezza. La campagna, tracciata come WaterPlum e comunemente nota come Contagious Interview, prende di mira sviluppatori di software e altri professionisti IT con opportunità di lavoro false.
Authorities say gli attacchi sono avvenuti su larga scala tra dicembre 2025 e luglio 2026. Le vittime sono state identificate negli Stati Uniti, in Giappone, in Europa e in altre regioni, con sviluppatori web, ingegneri e specialisti che lavorano con criptovalute, blockchain e tecnologie Web3 tra i principali bersagli.
WaterPlum inizia i suoi attacchi avvicinandosi alle potenziali vittime tramite social media, siti di reclutamento, marketplace freelance e altre piattaforme online. Gli hacker si spacciano per reclutatori o rappresentanti di aziende legittime, spesso utilizzando presunte offerte di lavoro in aziende di intelligenza artificiale, criptovalute e NFT per attrarre sviluppatori in cerca di lavoro.
Una volta stabilito il contatto, le vittime vengono invitate a colloqui tecnici o invitate a completare compiti di programmazione. Gli aggressori poi li convincono a scaricare progetti da piattaforme per sviluppatori e depositi di codice, oppure a sostenere che il software deve essere installato per risolvere i problemi con un’intervista video.
I file scaricati contengono malware che dà a WaterPlum accesso al computer della vittima. Le autorità hanno collegato diverse famiglie di malware alla campagna, tra cui BeaverTail, InvisibleFerret, OtterCookie, OtterCandy e StoatWaffle, con diversi strumenti utilizzati per rubare informazioni e mantenere l’accesso remoto.
Dopo aver compromesso un dispositivo, gli attaccanti cercano informazioni preziose memorizzate su di esso. Queste possono includere password del browser, contenuti della cartellina, tasti premute, screenshot, file e informazioni sui wallet di criptovalute come chiavi private e frasi seed di recupero.
La portata del furto di criptovalute è stata notevole. Gli investigatori affermano che WaterPlum ha ottenuto fondi o credenziali di conto da oltre 7.000 portafogli di criptovalute e ha trasferito circa 1,7 miliardi di yen giapponesi, equivalenti a circa 10,71 milioni di dollari, in asset di criptovalute in Corea del Nord.
Le infezioni possono anche creare rischi per le aziende che impiegano gli sviluppatori bersaglio. Una volta compromesso il computer di uno sviluppatore, gli aggressori potrebbero tentare di muoversi in ambienti aziendali connessi, potenzialmente accedendo a proprietà intellettuale, sistemi interni e altre informazioni aziendali sensibili.
Le autorità hanno anche scoperto collegamenti tra WaterPlum e le operazioni fraudolente di lavoratori IT remoti della Corea del Nord. Si ritiene che alcune persone coinvolte nell’attività di WaterPlum svolgano anche lavori di sviluppo web dall’aspetto legittimo per clienti stranieri, nascondendo le loro vere identità e posizione.
Le informazioni rubate durante la campagna di hacking possono supportare tali operazioni. Gli investigatori avvertono che i documenti d’identità prelevati da computer infetti, inclusi passaporti e immagini della patente di guida, potrebbero essere successivamente riutilizzati dagli operatori IT nordcoreani per impersonare altre persone quando si candidano per lavori da remoto.
Gli hacker hanno adottato tecniche aggiuntive per far apparire i candidati finti più convincenti. Gli investigatori hanno osservato operatori di WaterPlum utilizzare software di scambio di volti con IA durante i colloqui online prima di spegnere le telecamere e incolpare i problemi di rete per la continuazione senza video.
L’indagine congiunta ha anche scoperto infrastrutture utilizzate per mascherare dove si trovavano effettivamente i lavoratori nordcoreani. Le autorità affermano che intermediari in diversi paesi hanno gestito “fattorie di laptop”, dove computer fisicamente situati in un altro paese sono controllati a distanza dai lavoratori nordcoreani per far apparire la loro attività locale.
Le autorità giapponesi hanno recentemente smantellato quella che hanno descritto come la prima fattoria di laptop per lavoratori IT nordcoreani identificata nel paese. Gli investigatori hanno trovato prove che diverse centinaia di milioni di yen erano stati trasferiti all’estero attraverso attività associate all’operazione.
L’FBI e l’Agenzia Nazionale di Polizia del Giappone valutano che gli operatori di WaterPlum e alcuni operatori IT nordcoreani operano sotto il 313 General Bureau, parte del Dipartimento dell’Industria delle Munizioni della Corea del Nord. L’ultimo avviso collega gli attacchi di reclutamento falsi, il furto di criptovalute e le operazioni fraudolente di impiego remoto come parti sovrapposte di uno sforzo più ampio per ottenere denaro e informazioni sensibili da obiettivi stranieri.