Хакерската група WaterPlum, свързана с Северна Корея, е използвала фалшиви обяви за работа и подправени профили на рекрутери, за да зарази над 30 000 компютъра и да открадне данни от над 7000 крипто портфейла. Това става ясно от съвместно съобщение на ФБР и японската Национална полицейска агенция, публикувано на 18 септември 2026 г.
Как протича атаката
Кампанията, известна още като Contagious Interview, е действала от декември 2025 г. до юли 2026 г. в над 100 държави. Портфейлите, контролирани от групата, са получили поне 1,7 млрд. японски йени, около 10,71 млн. долара по курса към момента на съобщението, според съвместното съобщение на двете агенции.
Според съобщението WaterPlum представя своите действия така: „WaterPlum действа като потенциален работодател, за да атакува софтуерни разработчици и ИТ специалисти по целия свят под предлог за атрактивни работни възможности“ .
Схемата тръгва от социални мрежи, платформи за обяви и сайтове за свободна практика. Там групата създава подправени профили на рекрутери от компании в сферата на изкуствения интелект, криптовалутите и NFT. Жертвата получава покана за интервю за работа или за техническа задача с код. Самото интервю или задачата са носител на зловреден софтуер.
Съобщава се, че малуерът краде запазени пароли в браузъра, прави скрийншоти и записва натиснатите клавиши. Според съвместното съобщение той взима и тайните ключове, които управляват крипто портфейл. Инструментите на групата включват версии с имена BeaverTail, InvisibleFerret, OtterCookie, OtterCandy и StoatWaffle.
За потребителя, който пази криптовалута в собствения си портфейл, изводът е директен: тайният ключ на портфейла е точно това, което софтуерът търси, и веднъж откраднат, дава пълен контрол над средствата.
По-ранните кампании на същата група са стигали и до по-висши служители чрез видеоразговори с deepfake рекрутери, съобщават следователите.
