WaterPlum: Fake-Bewerbungen stehlen Krypto & Firmendaten

Eine mit Nordkorea verbundene Kampagne nutzt betrügerische Bewerbungsverfahren, um Fachkräfte aus der Technologiebranche zu infizieren, Kryptowährungen zu stehlen und sich Zugriff zu verschaffen, der später auf Unternehmensnetzwerke ausgeweitet werden könnte.

Die unter dem Namen WaterPlum bekannte Operation kompromittierte zwischen Dezember 2025 und Juli 2026 mindestens 30.000 Geräte in 100 Ländern. Ermittler schätzen, dass die Angreifer Gelder oder Zugangsdaten zu rund 7.000 Kryptowährungs-Wallets erbeuteten und damit Kryptowährungen sowie andere illegale Einnahmen im Wert von mehr als 10,5 Millionen US-Dollar erzielten.

Zu den Opfern zählen Webdesigner, Ingenieure, Blockchain-Entwickler und Kryptowährungsspezialisten. Auch IT-Fachkräfte in Japan waren nachweislich betroffen.

Bewerbungsangebote verbreiten mehrere Malware-Familien

WaterPlum setzt dort an, wo Bewerber mit einem routinemäßigen beruflichen Kontakt rechnen. Die Betreiber sprechen ihre Ziele über soziale Netzwerke, Freelancer-Plattformen, Gig-Work-Dienste und andere Recruiting-Kanäle an und geben sich dabei als Recruiter von Unternehmen aus den Bereichen AI oder Blockchain aus.

Während eines Bewerbungsgesprächs oder einer technischen Prüfung fordert der vermeintliche Recruiter den Bewerber auf, eine Datei herunterzuladen oder Software zu installieren. Das Material scheint mit dem Bewerbungsverfahren zusammenzuhängen, löst stattdessen jedoch eine Infektion des Geräts des Bewerbers aus.

Japanische Behörden fanden auf kompromittierten Systemen fünf Malware-Familien:

BeaverTail
InvisibleFerret
OtterCookie
OtterCandy
StoatWaffle

Die Betreiber kombinierten in der Regel informationsstehlende Malware mit Funktionen zur Fernverwaltung. Damit konnten sie Zugangsdaten und andere Daten abgreifen, Kryptowährungs-Wallets kompromittieren und den Zugriff auf infizierte Computer aufrechterhalten.

Die verfügbaren Informationen nennen nicht die genauen Dateiformate, Zustellungs-URLs, Command-and-Control-Infrastruktur oder Persistenzmechanismen, die bei jeder Infektion zum Einsatz kamen. Auch Hashes oder andere Indikatoren, anhand derer Verteidiger direkt abgleichen könnten, liegen nicht vor.

Es handelt sich also nicht nur um eine Methode für den einmaligen Diebstahl aus Wallets. Ein dauerhafter Zugriff eröffnet den Angreifern nach der Erstkompromittierung weitere Möglichkeiten.

Aus einer persönlichen Infektion kann ein Unternehmensangriff werden

Der strategische Wert von WaterPlum liegt in der Position seiner Ziele. Ingenieure und Entwickler verfügen häufig über Zugangsdaten für Quellcode-Repositories, Cloud-Plattformen, Kryptowährungssysteme und interne Kollaborationsdienste.

Ein Bewerber kann zudem eine neue Stelle antreten, nachdem sein persönlicher Computer kompromittiert wurde. Bleibt das Gerät infiziert, könnten die Angreifer neu eingerichtete Konten ausnutzen oder über das Opfer auf Unternehmensressourcen zugreifen.

So entsteht ein Weg von einem täuschenden Bewerbungsgespräch in die Umgebung des künftigen Arbeitgebers. Potenziell gefährdet sind Unternehmenszugangsdaten, proprietärer Code, interne Systeme, Websites und Infrastrukturen für digitale Vermögenswerte.

Incident-Response-Teams hatten zuvor bereits verwandte Aktivitäten verfolgt, bei denen dieselben Malware-Familien gegen Blockchain-Entwickler eingesetzt wurden, die von gefälschten Recruitern auf LinkedIn kontaktiert worden waren. Die Angriffe auf persönliche Geräte führten Berichten zufolge zu einem Kryptowährungsdiebstahl von bis zu 12 Millionen US-Dollar. Mindestens ein Blockchain-Unternehmen bestätigte, dass eine verwandte Methode zu einem erheblichen Verlust beigetragen hatte.

Ähnliche Kampagnen mit Bezug zu Bewerbungsverfahren richteten sich seit 2020 gegen Bewerber aus dem Verteidigungssektor. Im Jahr 2022 warnte Google, dass 250 Personen bei 10 Organisationen schädliche Kontaktaufnahmen von vermeintlichen Recruitern erhalten hatten, die vorgaben, Disney, Google und Oracle zu vertreten. Zu den betroffenen Organisationen gehörten Nachrichtenunternehmen, Domain-Registrare, Hosting-Anbieter und Softwarehersteller.

Ermittler bringen WaterPlum mit Betrug bei nordkoreanischen Arbeitsverhältnissen in Verbindung

An der gemeinsamen Untersuchung zu WaterPlum waren das FBI, das U.S. Department of Defense, die japanische National Police Agency sowie Strafverfolgungsbehörden in Australien und Deutschland beteiligt.

Die Ermittler stellten einen Zusammenhang zwischen der Kampagne und dem umfassenderen Einsatz gefälschter IT-Arbeitskräfte durch Nordkorea her. Bei diesen Operationen stehlen oder kaufen Personen Identitäten und nutzen sie, um gut bezahlte Technologiepositionen in den USA oder Europa zu erhalten.

Für den Zusammenhang sprechen Überschneidungen bei der Infrastruktur. WaterPlum-Betreiber und nordkoreanische IT-Arbeitskräfte nutzten nachweislich dieselben IP-Adressen, während sie auf Laptop-Farmen zugriffen oder sich bei japanischen Kryptowährungsunternehmen um Stellen bewarben.

Laptop-Farmen ermöglichen es Remote-Arbeitskräften, den Eindruck zu erwecken, sie würden sich aus dem Land des Arbeitgebers verbinden. US-Behörden haben Dutzende solcher Operationen aufgedeckt. Auch japanische Behörden legten eine mutmaßlich von einem japanischen Staatsangehörigen betriebene Laptop-Farm still und fanden Hinweise darauf, dass mehrere hundert Millionen japanische Yen an Adressen außerhalb Japans überwiesen worden waren.

Die Bewerber nutzten AI-gestützte Tools, um ihre falschen Identitäten zu untermauern. Ermittler beobachteten Software zum Austauschen von Gesichtern, Text-to-Speech-Systeme, die japanische Aussprachen erzeugen konnten, sowie weitere AI-Übersetzungstechnologien.

Diese Funktionen können einem Bewerber helfen, sein Aussehen zu verbergen, Sprachbarrieren zu überwinden und bei Remote-Bewerbungsgesprächen eine erfundene Identität aufrechtzuerhalten. Sie beseitigen zwar keine Widersprüche, machen eine Identitätsprüfung, die sich allein auf Videoanrufe oder sprachliche Gewandtheit stützt, jedoch weniger zuverlässig.

Finanzielle Operationen können in Sabotage und Erpressung münden

Kryptowährungsdiebstahl und das Erwirtschaften von Gehältern bleiben zentrale Ziele, doch die dokumentierten Aktivitäten gehen über die reine Einnahmengenerierung hinaus.

In einem Fall soll ein Beschäftigter versucht haben, einen Arbeitgeber während eines Zahlungsstreits zu erpressen, und anschließend proprietären Quellcode veröffentlicht haben. In einem anderen Fall verunstaltete eine zur Pflege einer Website eingestellte Person die Website und sorgte dafür, dass sie nicht mehr erreichbar war.

Solche Vorfälle erschweren die Abgrenzung zwischen einem externen Angreifer und einem böswilligen Insider. Ein Arbeitgeber kann glauben, einen legitimen Remote-Mitarbeiter eingestellt zu haben, während er tatsächlich einem Angreifer Zugriff auf Repositories, Produktionssysteme und vertrauliche Geschäftsinformationen gewährt.

Die Kampagne und mehrere damit verbundene Operationen gegen IT-Arbeitskräfte wurden dem General Bureau of the Munitions Industry Department Nordkoreas zugerechnet, das Teil des Central Committee of the Workers’ Party of Korea ist.

Mehrere nordkoreanische Regierungsabteilungen wurden bereits dahingehend bewertet, Cyberteams zu betreiben, die durch reguläre IT-Beschäftigung, Kryptowährungsdiebstahl und Daten- oder Erpressungsangriffe Einnahmen erzielen. WaterPlum scheint mehrere dieser Methoden zu verbinden: Bewerbungsbetrug liefert die Opfer, Malware beschafft Zugangsdaten und Wallet-Zugriffe, und die dauerhafte Kompromittierung eröffnet Möglichkeiten für spätere Angriffe.

Arbeitssuchende sollten Bewerbungsverfahren von wertvollen Assets trennen

Für die Kampagne wurde kein spezifisches Verfahren zur Bereinigung betroffener Systeme veröffentlicht. Insbesondere gibt es keine universelle Entfernungsmethode für alle fünf genannten Malware-Familien.

Arbeitssuchende können ihr Risiko dennoch verringern, indem sie unerwartete Dateien aus Bewerbungsgesprächen, Programmieraufgaben und Aufforderungen zur Softwareinstallation als nicht vertrauenswürdig behandeln. Recruiter und Arbeitgeber sollten über unabhängig ermittelte Kontaktdaten überprüft werden, nicht anhand der Informationen aus der ersten Nachricht.

Ein für Bewerbungen genutztes Gerät sollte nicht zugleich Kryptowährungs-Wallets, Wiederherstellungsphrasen für Wallets oder privilegierten Zugriff auf einen Arbeitgeber beherbergen. Wenn möglich, können Bewerber Gespräche und Prüfungen in einer isolierten Umgebung ohne Zugriff auf persönliche Geheimnisse oder Unternehmenskonten durchführen.

Jedes System, auf dem eine verdächtige Datei aus einem Bewerbungsverfahren ausgeführt wurde, sollte aus sensiblen Netzwerken entfernt und untersucht werden. Verteidiger sollten nach Folgendem suchen:

BeaverTail, InvisibleFerret, OtterCookie, OtterCandy und StoatWaffle;
nicht autorisierte Fernverwaltungsprogramme;
unbekannte Wallet-Transaktionen oder Änderungen an Zugangsdaten;
unerwartete ausgehende Netzwerkverbindungen;
neue Persistenzmechanismen oder unbekannte Benutzerkonten;
Zugriffe auf Code-Repositories und Cloud-Dienste von ungewöhnlichen Standorten.

Da keine konkreten schädlichen IP-Adressen veröffentlicht wurden, können sich Unternehmen nicht auf eine vollständige Sperrliste der Infrastruktur verlassen. Soweit dies rechtlich zulässig ist, sollten Sicherheitsteams Verbindungen zu bekannter Laptop-Farm-Infrastruktur prüfen und ungeklärte Überschneidungen zwischen Bewerbern, Remote-Arbeitskräften und auf Kryptowährungen ausgerichteten Systemen untersuchen.

Arbeitgeber brauchen strengere Prüfungen vor der Zugriffsfreigabe

Unternehmen sind zwei miteinander verbundenen Risiken ausgesetzt: einem echten Bewerber, dessen Computer durch WaterPlum infiziert wurde, und einem betrügerischen Bewerber, der im Auftrag einer nordkoreanischen Operation eine Anstellung sucht.

Identitäts- und Beschäftigungshistorien sollten deshalb über unabhängige Kanäle überprüft werden. Ein erfolgreiches Videointerview allein reicht nicht aus, insbesondere weil Gesichtstausch, synthetische Sprache und automatisierte Übersetzung eine falsche Identität unterstützen können.

Neue Mitarbeiter sollten zunächst nur die für ihre Rolle erforderlichen Zugriffsrechte erhalten. Berechtigungen für Repositories, Cloud-Privilegien, Produktionszugangsdaten und Kryptowährungsfunktionen sollten schrittweise vergeben und auf ungewöhnliche Nutzung überwacht werden.

Recruiting-Teams benötigen außerdem ein kontrolliertes Verfahren für die Verteilung von Prüfungsaufgaben. Unternehmen sollten Bewerber nicht auffordern, undurchsichtige Pakete oder inoffizielle Software auszuführen, und bei tatsächlich erforderlichen Tools überprüfbare Download-Quellen bereitstellen.

WaterPlum nutzt Vertrauen aus, noch bevor ein formales Arbeitsverhältnis besteht. Die Betreiber verwenden den anfänglichen Zugriff für unmittelbaren Diebstahl, doch das langfristige Ziel könnte größeren Schaden anrichten: einen unentdeckten Zugang vom persönlichen Gerät eines Bewerbers in das nächste Unternehmen zu übertragen, das ihn einstellt.