Хакеры из КНДР WaterPlum украли $10,8 млн через фейковые вакансии для IT-специалистов
Северокорейская киберпреступность вывела методы социальной инженерии на новый технический уровень. В ходе совместной международной операции Федерального бюро расследований США (ФБР), Национального полицейского агентства Японии (NPA) и правоохранительных органов Германии была разоблачена масштабная кампания группировки WaterPlum, подконтрольной 313-му генеральному бюро Департамента военной промышленности ЦК Трудовой партии Кореи.
В период с декабря 2025 по июль 2026 года злоумышленники заразили порядка 30 000 цифровых устройств в более чем 100 странах, скомпрометировали данные 7 000 криптовалютных кошельков и совершили хищение активов на сумму $10,8 млн.
Механика атак и вредоносный арсенал
Основным вектором проникновения стали фейковые вакансии для веб-разработчиков, инженеров и блокчейн-специалистов. Под видом HR-менеджеров ИИ-стартапов и криптоплатформ хакеры привлекали кандидатов к прохождению собеседований и выполнению тестовых заданий:
ЦЕПОЧКА ЗАРАЖЕНИЯ И ШПИОНСКИЙ ИНСТРУМЕНТАРИЙ
┌──────────────────────────────────────────────────────────────┐
│Жертвы: Веб-разработчики и специалисты по Блокчейну│
│Канал атаки: Тестовые задания из публичных репозиториев│
├──────────────────────────────────────────────────────────────┤
│Вредоносный код: BeaverTail, InvisibleFerret, OtterCookie │
│Цели сбора: Сид-фразы, приватные ключи, сканы паспортов│
└──────────────────────────────────────────────────────────────┘
После загрузки софта с платформ совместной разработки на устройство жертвы внедрялись трояны BeaverTail, InvisibleFerret, OtterCookie и OtterCandy. Они перехватывали нажатия клавиш, сканировали содержимое буфера обмена, делали снимки экрана и извлекали логины, пароли и приватные ключи.
«Фермы ноутбуков» и новый троян от Lazarus
В рамках расследования полиция Японии впервые зафиксировала работу инфраструктурной «фермы ноутбуков». Местный посредник размещал у себя физическое оборудование, контроль над которым удаленно осуществляли IT-специалисты из КНДР для вывода сотен миллионов иен.
| Характеристика угрозы | Детали операции и новые модификации |
| География WaterPlum | Более 100 стран (затронуты IT-инженеры и разработчики) |
| Органы координации | 313-е бюро Департамента военной промышленности ЦК ТПК |
| Параллельная угроза | Группировка Lazarus запустила новый троян RemotePE (данные Fox-IT) |
Параллельная активность группировки Lazarus с использованием вредоносной программы RemotePE показывает, что структура кибервойск Северной Кореи планомерно переориентируется на точечные атаки против финтех-сектора и инфраструктуры децентрализованных финансов.
