Een Noord-Koreaanse hackoperatie die zich voordoet als technologie-recruiters heeft volgens een gezamenlijke waarschuwing van internationale veiligheidsdiensten minstens 30.000 apparaten in meer dan 100 landen geïnfecteerd. De campagne, gevolgd als WaterPlum en algemeen bekend als Contagious Interview, richt zich op softwareontwikkelaars en andere IT-professionals met nep-werkgelegenheidskansen.
Authorities say de aanvallen vonden op grote schaal plaats tussen december 2025 en juli 2026. Slachtoffers zijn geïdentificeerd in de Verenigde Staten, Japan, Europa en andere regio’s, waarbij webontwikkelaars, ingenieurs en specialisten die werken met cryptocurrency, blockchain en Web3-technologieën tot de belangrijkste doelwitten behoren.
WaterPlum begint zijn aanvallen door potentiële slachtoffers te benaderen via sociale media, wervingswebsites, freelance marktplaatsen en andere online platforms. De hackers doen zich voor als recruiters of vertegenwoordigers van legitieme bedrijven en gebruiken vaak vermeende vacatures bij AI-, cryptocurrency- en NFT-bedrijven om ontwikkelaars aan te trekken die op zoek zijn naar werk.
Zodra contact is gelegd, worden slachtoffers uitgenodigd voor technische interviews of gevraagd om codeeropdrachten te voltooien. De aanvallers overtuigen hen vervolgens om projecten te downloaden van ontwikkelaarsplatforms en coderepositories, of beweren dat software geïnstalleerd moet worden om problemen met een video-interview op te lossen.
De gedownloade bestanden bevatten malware die WaterPlum toegang geeft tot de computer van het slachtoffer. Autoriteiten hebben verschillende malwarefamilies aan de campagne gekoppeld, waaronder BeaverTail, InvisibleFerret, OtterCookie, OtterCandy en StoatWaffle, met verschillende tools die worden gebruikt om informatie te stelen en toegang op afstand te behouden.
Na het compromitteren van een apparaat zoeken de aanvallers naar waardevolle informatie die erop is opgeslagen. Dit kan browserwachtwoorden, klembordinhoud, toetsaanslagen, screenshots, bestanden en informatie over cryptocurrency wallets zoals privésleutels en recovery seed phrases omvatten.
De omvang van de cryptodiefstal is aanzienlijk. Onderzoekers zeggen dat WaterPlum fondsen of accountgegevens heeft verkregen van meer dan 7.000 cryptowallets en ongeveer 1,7 miljard Japanse yen, gelijk aan ongeveer $10,71 miljoen, aan cryptoactiva naar Noord-Korea heeft overgemaakt.
De infecties kunnen ook risico’s opleveren voor bedrijven die de doelgerichte ontwikkelaars in dienst hebben. Zodra de computer van een ontwikkelaar is gecompromitteerd, kunnen de aanvallers proberen zich te begeven in verbonden bedrijfsomgevingen, waarmee ze mogelijk toegang krijgen tot intellectueel eigendom, interne systemen en andere gevoelige bedrijfsinformatie.
Autoriteiten hebben ook banden ontdekt tussen WaterPlum en de frauduleuze IT-operaties van Noord-Korea op afstand. Sommige mensen die betrokken zijn bij WaterPlum-activiteiten zouden ook legitiem ogende webontwikkelingswerk uitvoeren voor buitenlandse klanten, terwijl ze hun echte identiteit en locatie verbergen.
Informatie die tijdens de hackcampagne wordt gestolen, kan deze operaties ondersteunen. Onderzoekers waarschuwen dat identiteitsdocumenten die van geïnfecteerde computers zijn meegenomen, waaronder foto’s van paspoorten en rijbewijs, later door Noord-Koreaanse IT-medewerkers kunnen worden hergebruikt om zich voor te doen als anderen bij het solliciteren naar remote banen.
De hackers hebben extra technieken toegepast om nep-sollicitanten overtuigender te laten lijken. Onderzoekers zagen WaterPlum-operators AI-gezichtswisselsoftware gebruiken tijdens online interviews, waarna ze hun camera’s uitzetten en netwerkproblemen de schuld gaven van het doorgaan zonder video.
Het gezamenlijke onderzoek bracht ook infrastructuur aan het licht die werd gebruikt om te verbergen waar Noord-Koreaanse arbeiders zich daadwerkelijk bevonden. De autoriteiten zeggen dat tussenpersonen in verschillende landen “laptopfarms” hebben beheerd, waarbij computers die fysiek in een ander land zijn geplaatst, op afstand worden bestuurd door Noord-Koreaanse arbeiders om hun activiteiten lokaal te laten lijken.
De Japanse autoriteiten hebben onlangs wat zij beschreven als de eerste geïdentificeerde Noord-Koreaanse IT-werker-laptopfarm van het land ontmanteld. Onderzoekers vonden bewijs dat er enkele honderden miljoenen yen naar het buitenland waren overgemaakt via activiteiten die verband hielden met de operatie.
De FBI en de Japanse Nationale Politie beoordelen dat WaterPlum-operators en sommige Noord-Koreaanse IT-medewerkers onder het 313 General Bureau vallen, onderdeel van het Noord-Koreaanse afdeling Munitie-industrie. Het laatste advies verbindt de nep-rekruteringsaanvallen, cryptodiefstal en frauduleuze remote employment als overlappende onderdelen van een bredere poging om geld en gevoelige informatie van buitenlandse doelen te verkrijgen.