Falsi reclutatori nordcoreani infettano 30.000 dispositivi e rubano 10,7 milioni di dollari in criptovalute

Il gruppo di hacker nordcoreani WaterPlum ha rubato almeno 10,7 milioni di dollari fingendosi reclutatori di legittime aziende di criptovalute e IA e attaccando con malware persone in cerca di lavoro ignare. 

Il gruppo, noto anche come Contagious Interview, prende di mira sviluppatori software e professionisti IT in tutto il mondo, secondo un avviso congiunto di Giappone, Germania, Australia e Stati Uniti. Le autorità hanno dichiarato che i falsi reclutatori si sono anche spacciati per aziende di token non fungibili (NFT) e hanno utilizzato servizi di recruiting.

«Gli obiettivi principali erano singoli web designer, ingegneri e specialisti in criptovalute, blockchain e tecnologie Web3», hanno aggiunto. 

L’avviso collega inoltre WaterPlum alla più ampia campagna della Corea del Nord volta a collocare lavoratori IT all’interno di aziende straniere; le autorità giapponesi e statunitensi ritengono che gli operatori di WaterPlum e alcuni lavoratori IT nordcoreani operino sotto il Dipartimento dell’Industria degli Armamenti della Corea del Nord. 

Secondo l’avviso, WaterPlum attirava le persone in cerca di lavoro attraverso piattaforme di social media, piattaforme online per offerte di lavoro, piattaforme per lavori a incarico o marketplace freelance. Durante il processo di selezione, alle vittime veniva chiesto di scaricare ed eseguire file dannosi camuffati da compiti di programmazione o correzioni per errori di videoconferenza.

Correlato: La Corea del Nord usa talenti stranieri per aiutare a infiltrarsi nelle aziende statunitensi: report

Una volta ottenuto l’accesso backdoor al computer della vittima, gli attori informatici utilizzavano trojan ad accesso remoto e malware per il furto di informazioni, esfiltrando dati sensibili e criptovalute. 

Le infezioni riuscite creano inoltre opportunità per gli operatori di WaterPlum di infiltrarsi nelle organizzazioni che impiegano gli sviluppatori ignari. 

WaterPlum ha infettato almeno 30.000 dispositivi in oltre 100 Paesi, estraendo fondi o credenziali di account da oltre 7.000 portafogli di criptovalute tra dicembre 2025 e luglio 2026.

Tuttavia, i danni possono estendersi oltre le criptovalute rubate. I documenti d’identità sottratti consentono ai lavoratori IT nordcoreani di impersonare le vittime e guadagnare reddito, mentre le informazioni sensibili potrebbero essere utilizzate per estorsioni, si legge nell’avviso.

L’avviso descrive un caso in cui un presunto lavoratore IT nordcoreano si è candidato a un ruolo di ingegnere presso un exchange di criptovalute giapponese usando un curriculum falsificato. L’exchange ha respinto il candidato dopo aver rilevato discrepanze durante il colloquio, tra cui l’incapacità di spiegare in dettaglio le competenze elencate nel suo curriculum.

Un caso più recente si è verificato a luglio, quando Cointelegraph ha riferito che Consensys aveva inconsapevolmente ingaggiato come consulente uno sviluppatore collegato alla Corea del Nord. L’azienda ha dichiarato a Cointelegraph di aver revocato il suo accesso dopo aver scoperto la minaccia, e un’indagine non ha rilevato furto di asset o dati, distribuzione di codice dannoso o impatti sulla sicurezza degli utenti.

La campagna segnalata è l’ultimo esempio dell’uso persistente da parte della Corea del Nord del furto di criptovalute per raccogliere fondi, nonostante anni di avvertimenti e misure di contrasto. L’ FBI ha attribuito alla Corea del Nord il furto di 1,5 miliardi di dollari da Bybit nel febbraio 2025, mentre le autorità statunitensi hanno messo in guardia sui suoi lavoratori IT infiltrati almeno dal 2018. 

Rivista: La Corea del Nord alimenta l’aumento dei malware on-chain, CoinEx chiude: Asia Express