WaterPlum trasforma i falsi colloqui di lavoro in una porta d’accesso al furto di criptovalute e alle intrusioni aziendali

Una campagna collegata alla Corea del Nord sfrutta procedure di selezione fraudolente per infettare i professionisti del settore tecnologico, rubare criptovalute e mantenere un accesso che potrebbe in seguito estendersi alle reti aziendali.

Nota come WaterPlum, l’operazione ha compromesso almeno 30.000 dispositivi in 100 Paesi tra dicembre 2025 e luglio 2026. Gli investigatori stimano che gli aggressori abbiano sottratto fondi o credenziali associati a circa 7.000 portafogli di criptovalute, ottenendo oltre 10,5 milioni di dollari in criptovalute e altri proventi illeciti.

Tra le vittime figurano web designer, ingegneri, sviluppatori blockchain e specialisti di criptovalute. Sono stati identificati anche professionisti IT in Giappone.

Le offerte di lavoro fraudolente distribuiscono diverse famiglie di malware

WaterPlum inizia in un contesto che i candidati considerano una normale interazione professionale. Gli operatori contattano le vittime attraverso social network, marketplace per freelance, servizi di lavoro a chiamata e altri canali di recruiting, spacciandosi per recruiter di aziende attive nei settori dell’IA o della blockchain.

Durante un colloquio o una prova tecnica, il presunto recruiter chiede al candidato di scaricare un file o installare un software. Il materiale sembra collegato al processo di selezione, ma avvia invece un’infezione sul dispositivo del candidato.

Le autorità giapponesi hanno individuato cinque famiglie di malware sui sistemi compromessi:

• BeaverTail
• InvisibleFerret
• OtterCookie
• OtterCandy
• StoatWaffle

In genere, gli operatori combinavano malware per il furto di informazioni con funzionalità di gestione remota. Questo insieme di strumenti consentiva loro di raccogliere credenziali e altri dati, compromettere i portafogli di criptovalute e conservare l’accesso ai computer infetti.

Le informazioni disponibili non identificano gli esatti formati dei file, gli URL di distribuzione, l’infrastruttura di comando e controllo o i meccanismi di persistenza utilizzati in ogni infezione. Inoltre, non forniscono hash o altri indicatori che i difensori possano utilizzare per un riscontro diretto.

Non si tratta soltanto di una tecnica per sottrarre fondi dai portafogli una tantum. L’accesso persistente offre agli aggressori ulteriori opportunità dopo la compromissione iniziale.

Un’infezione personale può trasformarsi in una violazione aziendale

Il valore strategico di WaterPlum risiede nella posizione delle sue vittime. Ingegneri e sviluppatori dispongono spesso di credenziali per repository di codice sorgente, piattaforme cloud, sistemi di criptovalute e servizi interni di collaborazione.

Un candidato potrebbe anche ottenere un nuovo lavoro dopo che il proprio computer personale è stato compromesso. Se il dispositivo resta infetto, gli aggressori potrebbero sfruttare gli account appena creati o accedere alle risorse aziendali attraverso la vittima.

Si crea così un percorso che conduce da un colloquio ingannevole all’ambiente del futuro datore di lavoro. Tra le risorse potenzialmente esposte figurano credenziali aziendali, codice proprietario, sistemi interni, siti web e infrastrutture per gli asset digitali.

Gli incident responder avevano già monitorato attività correlate che utilizzavano le stesse famiglie di malware contro sviluppatori blockchain contattati da falsi recruiter su LinkedIn. Secondo quanto riferito, gli attacchi ai dispositivi personali condotti in quell’operazione hanno prodotto un furto di criptovalute pari a 12 milioni di dollari. Almeno un’azienda blockchain ha riconosciuto che una tecnica correlata ha contribuito a una perdita ingente.

Campagne analoghe incentrate sul recruiting hanno preso di mira candidati del settore della difesa dal 2020. Nel 2022, Google ha avvertito che 250 persone di 10 organizzazioni avevano ricevuto approcci dannosi da presunti recruiter che sostenevano di rappresentare Disney, Google e Oracle. Tra le organizzazioni colpite figuravano aziende del settore dell’informazione, registrar di domini, provider di hosting e fornitori di software.

Gli investigatori collegano WaterPlum alle frodi occupazionali nordcoreane

La joint investigation into WaterPlum ha coinvolto l’FBI, il U.S. Department of Defense, la National Police Agency giapponese e le autorità di contrasto al crimine di Australia e Germania.

Gli investigatori hanno collegato la campagna al più ampio ricorso della Corea del Nord a lavoratori IT fraudolenti. In queste operazioni, gli individui rubano o acquistano identità e le usano per ottenere posizioni tecnologiche ben retribuite negli Stati Uniti o in Europa.

Il collegamento è supportato dalla sovrapposizione delle infrastrutture. È stato osservato che gli operatori di WaterPlum e i lavoratori IT nordcoreani utilizzavano gli stessi indirizzi IP per accedere a laptop farm o candidarsi a posizioni presso aziende giapponesi di criptovalute.

Le laptop farm consentono a un lavoratore remoto di sembrare connesso dal Paese in cui ha sede il datore di lavoro. Le autorità statunitensi hanno scoperto decine di queste operazioni. Anche le autorità giapponesi hanno smantellato una laptop farm presumibilmente gestita da un cittadino giapponese e hanno trovato prove del trasferimento di diverse centinaia di milioni di yen giapponesi verso indirizzi al di fuori del Giappone.

I candidati utilizzavano strumenti basati sull’IA per rafforzare le loro false identità. Gli investigatori hanno osservato software per lo scambio dei volti, sistemi text-to-speech in grado di produrre pronunce giapponesi e altre tecnologie di traduzione basate sull’IA.

Queste funzionalità possono aiutare un candidato a nascondere il proprio aspetto, superare le barriere linguistiche e mantenere un’identità fittizia durante i colloqui da remoto. Non eliminano le incongruenze, ma rendono meno affidabile la verifica dell’identità basata esclusivamente sulle videochiamate o sulla padronanza della conversazione.

Le operazioni finanziarie possono degenerare in sabotaggio ed estorsione

Il furto di criptovalute e la generazione di reddito attraverso gli stipendi restano obiettivi centrali, ma le attività documentate vanno oltre la semplice raccolta di profitti.

In un caso, un lavoratore avrebbe tentato di estorcere il datore di lavoro durante una controversia sui pagamenti, per poi pubblicarne il codice sorgente proprietario. In un altro, una persona assunta per gestire un sito web lo ha manomesso, rendendolo indisponibile.

Incidenti di questo tipo rendono più difficile distinguere tra un aggressore esterno e un insider malevolo. Un datore di lavoro può credere di aver assunto un dipendente remoto legittimo, mentre in realtà sta concedendo a un avversario l’accesso a repository, sistemi di produzione e informazioni aziendali riservate.

La campagna e diverse operazioni correlate condotte da lavoratori IT sono state attribuite al General Bureau of the Munitions Industry Department della Corea del Nord, parte del Central Committee of the Workers’ Party of Korea.

In precedenza, diversi dipartimenti del governo nordcoreano erano stati valutati come responsabili della gestione di team informatici incaricati di generare entrate attraverso impieghi IT legittimi, furti di criptovalute ed estorsioni di dati. WaterPlum sembra collegare diversi di questi metodi: la frode nel recruiting fornisce le vittime, il malware produce credenziali e accesso ai portafogli, mentre la compromissione persistente crea opportunità per intrusioni successive.

Chi cerca lavoro deve tenere separato il recruiting dagli asset di valore

Non è stata resa pubblica alcuna procedura di remediation specifica per la campagna. In particolare, non esiste un metodo universale di rimozione pubblicato che copra tutte e cinque le famiglie di malware citate.

Chi cerca lavoro può comunque ridurre l’esposizione considerando non affidabili i file inattesi ricevuti per i colloqui, le prove di programmazione e le richieste di installare software. I recruiter e i datori di lavoro dovrebbero essere verificati attraverso recapiti ottenuti indipendentemente, non tramite le informazioni fornite nel messaggio iniziale.

Un dispositivo utilizzato per candidarsi non dovrebbe contenere anche portafogli di criptovalute, frasi di recupero dei portafogli o accessi privilegiati a un datore di lavoro. Quando possibile, i candidati possono svolgere colloqui e prove in un ambiente isolato, privo di accesso a segreti personali o account aziendali.

Qualsiasi sistema che abbia eseguito un file sospetto ricevuto durante un processo di selezione dovrebbe essere rimosso dalle reti sensibili e sottoposto a un’indagine. I difensori dovrebbero cercare:

• BeaverTail, InvisibleFerret, OtterCookie, OtterCandy e StoatWaffle;
• utility di gestione remota non autorizzate;
• transazioni inattese dai portafogli o modifiche alle credenziali;
• connessioni di rete in uscita impreviste;
• nuovi meccanismi di persistenza o account utente sconosciuti;
• accessi a repository di codice e servizi cloud da località insolite.

Poiché non sono stati divulgati indirizzi IP dannosi specifici, le organizzazioni non possono fare affidamento su un elenco completo di blocco dell’infrastruttura. Ove legalmente possibile, i team di sicurezza dovrebbero esaminare le connessioni associate a infrastrutture di laptop farm note e indagare sulle sovrapposizioni inspiegabili tra candidati, lavoratori remoti e sistemi incentrati sulle criptovalute.

Le aziende devono rafforzare i controlli prima di concedere l’accesso

Le aziende devono affrontare due rischi correlati: quello di un candidato reale il cui computer è stato infettato da WaterPlum e quello di un candidato fraudolento che cerca lavoro per conto di un’operazione nordcoreana.

I controlli sull’identità e sulla storia lavorativa dovrebbero quindi utilizzare canali indipendenti. Un video-colloquio andato a buon fine non è sufficiente, soprattutto quando lo scambio dei volti, la sintesi vocale e la traduzione automatica possono sostenere un’identità falsa.

I nuovi dipendenti dovrebbero ricevere inizialmente solo gli accessi necessari per il loro ruolo. Le autorizzazioni ai repository, i privilegi cloud, le credenziali per i sistemi di produzione e i controlli sulle criptovalute dovrebbero essere aggiunti gradualmente e monitorati per individuare utilizzi anomali.

I team di recruiting hanno inoltre bisogno di una procedura controllata per distribuire le prove. Le organizzazioni dovrebbero evitare di chiedere ai candidati di eseguire pacchetti opachi o software non ufficiali e, quando gli strumenti sono realmente necessari, dovrebbero fornire posizioni di download verificabili.

WaterPlum sfrutta la fiducia prima che si instauri un rapporto di lavoro formale. Gli operatori utilizzano l’accesso iniziale per sottrarre immediatamente informazioni e fondi, ma l’obiettivo a lungo termine potrebbe essere ancora più dannoso: trasferire un punto d’appoggio non rilevato dal dispositivo personale di un candidato alla prossima azienda che lo assumerà.