Хакеры заразили 30 000 устройств и вывели 11 млн долларов из криптокошельков
Поддерживаемая Северной Кореей хакерская группа заразила более 30 000 компьютеров в более чем 100 странах. Кроме того, она похитила данные более чем 7000 криптокошельков, сообщили в пятницу Национальное полицейское агентство Японии и ФБР.
Кошельки под контролем группы получили не менее 10,71 млн долларов в цифровых активах с декабря 2025 года по июль 2026-го. Ведомства называют группу WaterPlum; её также отслеживают под именем Contagious Interview.
Как фальшивые рекрутеры добрались до 7000 криптокошельков
WaterPlum выдаёт себя за хедхантеров компаний в сфере искусственного интеллекта, криптовалют и NFT. Группа выходит на разработчиков в соцсетях, на сайтах вакансий и фриланс-площадках.
«Участники WaterPlum выдают себя за потенциальных работодателей, чтобы под предлогом привлекательных вакансий атаковать разработчиков ПО и ИТ-специалистов по всему миру», — говорится в совместном предупреждении Национального полицейского агентства Японии и ФБР.
Затем кандидатов просят пройти техническое собеседование или выполнить тестовое задание по программированию. Группа велит им скачать файлы с сайтов обмена кодом. Предлогом служит сломавшийся видеозвонок или само задание.
В этих файлах — вредоносное ПО. Программы охотятся за паролями в браузере, снимками экрана и нажатиями клавиш. Они также забирают секретные ключи, управляющие криптокошельком — программой, в которой люди хранят цифровые деньги.
BeInCrypto в августе писал об исследователе, который 22 месяца провёл внутри серверов группы. Он составил карту 1640 жертв в 57 странах. Официальный пятничный подсчёт примерно в 18 раз больше.
Япония ликвидировала свою первую «ферму ноутбуков»
Полиция также закрыла первую известную в стране «ферму ноутбуков». Местные помощники держали компьютеры у себя дома. Северокорейские работники за рубежом управляли ими удалённо и выдавали себя за жителей Японии, чтобы получать фриланс-контракты.
Эти работники переправили за границу криптовалюту на несколько сотен миллионов иен, сообщили следователи. Одни и те же интернет-адреса связали ферму с хакерами.
«НПА и ФБР полагают, что и кибергруппа WaterPlum, и часть северокорейских ИТ-работников действуют в подчинении 313-го Главного управления Департамента военной промышленности при Центральном комитете Трудовой партии Кореи».
Один предполагаемый северокореец в мае 2025 года подал заявку на инженерную должность в японской бирже bitFlyer, используя украденное резюме. Интервьюеры заметили, что он отказывался от переезда и требовал оплату в криптовалюте. Похоже, он читал ответы со второго экрана, и его не взяли.
Прежние кампании опирались на видеозвонки с дипфейковыми рекрутерами, чтобы выходить на старших сотрудников. Теперь следователи советуют инженерам запускать код от рекрутеров в песочнице — изолированной тестовой зоне, отделённой от настоящих файлов.
Source: BeInCrypto