Назад к новостям

Хакеры из КНДР похитили $10,8 млн через фейковые вакансии: группировка WaterPlum взломала 7000 криптокошельков

Вербовка с сюрпризом: как северокорейская группировка WaterPlum обчистила криптоотрасль на $10,8 млн

Международный альянс силовиков, объединивший ФБР, криминальную полицию ФРГ и правоохранителей Японии (NPA), разоблачил масштабную киберкампанию северокорейской структуры WaterPlum. Используя изощренную социальную инженерию и фальшивые вакансии, злоумышленники заразили свыше 30 000 ПК в сотне стран, выкрав конфиденциальные данные 7000 криптокошельков и присвоив около $10,8 млн.
Активность киберпреступников фиксировалась в период с декабря прошлого по июль текущего года. В зону риска попали блокчейн-инженеры, веб-разработчики и специалисты по цифровым активам.

Механика обмана: от оффера на собеседование до полной компрометации

Атака строилась на имитации поиска персонала. Хакеры выдавали себя за HR-менеджеров рекрутинговых агентств, ИИ-платформ или финтех-стартапов.

Как развивался сценарий взлома:

  1. Первичный контакт: Потенциальной жертве предлагали пройти интервью или выполнить тестовое задание.
  2. Загрузка софта: Соискателю отправляли ссылки на репозитории кода или площадки совместной разработки с вредоносным содержимым.
  3. Заражение системы: Вместо учебных материалов на ПК проникал вредоносный софт — семейства троянов BeaverTail, InvisibleFerret, OtterCookie и OtterCandy.
После запуска файлов хакеры получали несанкционированный доступ к устройству. Программы шпионили за действиями пользователя: перехватывали вводимые символы (кейлоггинг), копировали данные из буфера обмена, делали снимки экрана и вытягивали пароли из браузеров. Главной мишенью являлись сид-фразы и приватные ключи от криптокошельков, а также сканы удостоверений личности.
                   [ СХЕМА КИБЕРАТАКИ ГРУППИРОВКИ WATERPLUM ]
                                       │
         ┌─────────────────────────────┴─────────────────────────────┐
         ▼                                                           ▼
┌────────────────────────────────┐                          ┌────────────────────────────────┐
│   СОЦИАЛЬНАЯ ИНЖЕНЕРИЯ         │                          │     ВРЕДОНОСНОЕ ПО             │
├────────────────────────────────┤                          ├────────────────────────────────┤
│ • Легенда: HR / Оффер на работу│                          │ • BeaverTail / InvisibleFerret │
│ • Цель: Web3-разработчики      │ ───────────────────────► │ • OtterCookie / OtterCandy     │
│ • Канал: Тестовые задания      │                          │ • Перехват сид-фраз и паролей  │
└────────────────────────────────┘                          └────────────────────────────────┘
                                                                            │
                                                                            ▼
                                                            ┌────────────────────────────────┐
                                                            │     ИТОГ АТАКИ                 │
                                                            ├────────────────────────────────┤
                                                            │ • Заражено: 30 000 ПК          │
                                                            │ • Взломано: 7000 кошельков     │
                                                            │ • Ущерб: $10,8 млн             │
                                                            └────────────────────────────────┘

«Фермы ноутбуков» и след Пхеньяна

Западные спецслужбы напрямую связывают WaterPlum и фиктивных IT-специалистов из КНДР с 313-м генеральным бюро Департамента военной промышленности ЦК Трудовой партии Кореи.
В ходе расследования полиция Японии впервые ликвидировала так называемую «ферму ноутбуков». Местный дроп удерживал у себя физические компьютеры, через которые граждане Северной Кореи удаленно выполняли работу и проводили серые транзакции. Через аналогичные схемы за рубеж выводились сотни миллионов иен.
Параллельно эксперты компании Fox-IT зафиксировали активность другой известной северокорейской группировки — Lazarus. Преступники начали внедрять новый троян RemotePEдля атак на финтех-структуры и криптобиржи.

Ключевые показатели киберкампании WaterPlum

Параметр / Метрика Значение Контекст события
Общий финансовый ущерб $10,8 млн Прямые хищения с цифровых кошельков
Масштаб компрометации 30 000 устройств / 7000 кошельков География атак охватила >100 стран
Вредоносный инструментарий BeaverTail, InvisibleFerret, Otter-серия Шпионское ПО для сбора ключей и снимков экрана
Связанная структура КНДР 313-е бюро Департамента военной пром-ти Курирование хакеров и IT-дропов за рубежом
Сопутствующие угрозы Троян RemotePE (Lazarus) Новое ПО для атак на криптобиржи от Fox-IT