Uluslararası güvenlik ajanslarının ortak uyarısına göre, teknoloji işe alımcıları gibi davranan Kuzey Kore’nin bir hack operasyonu, 100’den fazla ülkede en az 30.000 cihazı enfekte etti. WaterPlum olarak takip edilen ve yaygın olarak Conquestious Interview olarak bilinen kampanya, sahte istihdam fırsatları olan yazılım geliştiricileri ve diğer BT profesyonellerini hedef alıyor.
Authorities say saldırılar Aralık 2025 ile Temmuz 2026 arasında büyük çapta gerçekleşti. Mağdurlar Amerika Birleşik Devletleri, Japonya, Avrupa ve diğer bölgelerde tespit edildi; ana hedefler arasında kripto para, blokzincir ve Web3 teknolojileri ile çalışan web geliştiricileri, mühendisler ve uzmanlar yer alıyor.
WaterPlum, saldırılarına potansiyel kurbanlara sosyal medya, işe alım siteleri, serbest çalışma pazarları ve diğer çevrimiçi platformlar aracılığıyla yaklaşarak başlar. Hackerlar, işe alım uzmanları veya meşru şirketlerin temsilcileri gibi davranarak, yapay zeka, kripto para ve NFT işletmelerindeki sözde iş ilanlarını sık sık kullanarak iş arayan geliştiricileri çekiyor.
İletişim kurulduktan sonra, mağdurlar teknik mülakatlara davet edilir veya kodlama ödevlerini tamamlamaları istenir. Saldırganlar daha sonra onları geliştirici platformlarından ve kod depolarından projeleri indirmeye ikna eder veya video röportajında sorunları çözmek için yazılımın kurulması gerektiğini iddia eder.
İndirilen dosyalar, WaterPlum’a mağdurun bilgisayarına erişim sağlayan zararlı yazılım içeriyor. Yetkililer, BeaverTail, InvisibleFerret, OtterCookie, OtterCandy ve StoatWaffle gibi çeşitli kötü amaçlı yazılım ailelerini kampanyaya bağladı; bilgi çalmak ve uzaktan erişimi sürdürmek için farklı araçlar kullanıldı.
Bir cihazı ele geçirdikten sonra, saldırganlar orada depolanan değerli bilgileri arar. Bu, tarayıcı şifreleri, pano içerikleri, tuş basmaları, ekran görüntüleri, dosyalar ve özel anahtarlar ile kurtarma tohum ifadeleri gibi kripto para cüzdanı bilgilerini içerebilir.
Kripto para hırsızlığının ölçeği oldukça büyüktür. Araştırmacılar, WaterPlum’un 7.000’den fazla kripto para cüzdanından fon veya hesap kimlik bilgileri elde ettiğini ve yaklaşık 1,7 milyar Japon yeni, yani yaklaşık 10,71 milyon dolar değerinde kripto para varlıkları Kuzey Kore’ye aktardığını söylüyor.
Bulaşmalar, hedef alınan geliştiricileri istihdam eden şirketler için de risk yaratabilir. Bir geliştiricinin bilgisayarı ele geçirildikten sonra, saldırganlar bağlantılı kurumsal ortamlara geçmeye çalışabilir ve fikri mülkiyet, iç sistemler ve diğer hassas iş bilgilerine erişim sağlayabilir.
Yetkililer ayrıca WaterPlum ile Kuzey Kore’nin sahte uzaktan BT çalışanları arasındaki bağlantıları da ortaya çıkardı. WaterPlum faaliyetlerine dahil olan bazı kişilerin, gerçek kimliklerini ve konumlarını gizlerken yabancı müşteriler için meşru görünümlü web geliştirme çalışmaları yaptıklarına inanılıyor.
Hackleme kampanyası sırasında çalınan bilgiler bu operasyonları destekleyebilir. Araştırmacılar, enfekte bilgisayarlardan alınan kimlik belgelerinin, pasaport ve ehliyet görüntüleri de dahil olmak üzere, Kuzey Koreli BT çalışanları tarafından uzaktan iş başvurularında başka kişileri taklit etmek için yeniden kullanılabileceği konusunda uyarıyor.
Hackerlar, sahte başvuru sahiplerini daha ikna edici göstermek için ek teknikler benimsedi. Soruşturmacılar, WaterPlum operatörlerinin çevrimiçi mülakatlarda yapay zeka yüz değiştirme yazılımı kullandığını gözlemledi, ardından kameralarını kapattı ve video olmadan devam etmelerini ağ sorunlarına bağladı.
Ortak soruşturma ayrıca, Kuzey Koreli işçilerin aslında nerede bulunduğunu gizlemek için kullanılan altyapıyı da ortaya çıkardı. Yetkililer, birkaç ülkedeki aracıların başka bir ülkede bulunan bilgisayarların Kuzey Koreli işçiler tarafından uzaktan kontrol edildiği “dizüstü bilgisayar çiftlikleri” işlettiğini ve faaliyetlerinin yerel görünmesini sağladığını söylüyor.
Japon yetkililer, ülkenin ilk tespit edilen Kuzey Kore BT çalışanı dizüstü bilgisayar çiftliğini yakın zamanda dağıttı. Soruşturmacılar, operasyonla bağlantılı faaliyetler sayesinde birkaç yüz milyon yenin yurtdışına transfer edildiğine dair kanıtlar buldu.
FBI ve Japonya Ulusal Polis Ajansı, WaterPlum operatörleri ve bazı Kuzey Koreli BT çalışanlarının Kuzey Kore Mühimmat Sanayi Departmanı’nın bir parçası olan 313 Genel Bürosu altında faaliyet gösterdiğini değerlendiriyor. En son danışmanlık, sahte işe alım saldırıları, kripto para hırsızlığı ve sahte uzaktan istihdam operasyonlarını, yabancı hedeflerden para ve hassas bilgi elde etme çabasının üst üste bürünen parçaları olarak bağlıyor.