Die japanische Polizei fand auf Geräten von Betroffenen Varianten der Schadsoftware-Familien BeaverTail, InvisibleFerret, OtterCookie, OtterCandy und StoatWaffle. Typischerweise installierten die WaterPlum-Akteure Infostealer und Fernwartungswerkzeuge, um den Zugriff auf die kompromittierten Systeme dauerhaft zu behalten. Neben Wallet-Zugangsdaten wurden weitere Informationen abgegriffen; andere nordkoreanische Akteure nutzten gestohlene Ausweisdokumente von Opfern, um sich damit anderswo anstellen zu lassen.
Der dauerhafte Zugriff hat ein zweites Ziel: Werden die Betroffenen später bei anderen Technologieunternehmen eingestellt, können die Angreifer auf diesem Weg in Firmensysteme gelangen. Mindestens ein Blockchain-Unternehmen hatte zuvor bestätigt, dass eine Variante dieser Vorgehensweise für einen folgenschweren Kryptowährungsdiebstahl verantwortlich war.
Im April hatten Incident Responder eine ähnliche Kampagne mit denselben Schadsoftware-Familien aufgedeckt, bei der über Angriffe auf private Geräte bis zu zwölf Millionen US-Dollar in Kryptowährungen erbeutet wurden. Auch dort waren Blockchain-Entwickler das Ziel, angesprochen von falschen Recruitern über LinkedIn.
Die Behörden ordnen WaterPlum in eine längere Reihe nordkoreanischer Operationen gegen Jobsuchende ein. Bereits seit 2020 haben Sicherheitsfirmen vergleichbare Kampagnen gegen Bewerber in der Rüstungsindustrie identifiziert. Google warnte 2022, dass 250 Beschäftigte von zehn Nachrichtenmedien, Domain-Registraren, Webhostern und Softwareanbietern mit schädlichen E-Mails angeschrieben wurden, deren Absender sich als Recruiter von Disney, Google und Oracle ausgaben.
Japanische Beamte meldeten, sie hätten erstmals eine sogenannte Laptop-Farm ausgehoben, die von einem japanischen Staatsangehörigen betrieben wurde. Dabei fanden sich Hinweise darauf, dass mehrere Hundert Millionen Yen an Adressen außerhalb Japans überwiesen wurden. Das FBI hat in den USA bereits Dutzende solcher Farmen aufgedeckt, mit denen nordkoreanische IT-Kräfte den Anschein lokaler Arbeit erwecken.
Dem Bericht zufolge nutzten WaterPlum-Akteure und nordkoreanische IT-Arbeiter dieselben IP-Adressen, wenn sie auf Laptop-Farmen zugriffen oder sich bei japanischen Kryptounternehmen bewarben. Der Zugriff auf die Farm erlaubte den japanischen Ermittlern einen Einblick in weitere Vorgehensweisen: In Bewerbungsgesprächen kamen KI-gestützte Gesichtstauschsoftware, Text-zu-Sprache-Programme mit japanischer Aussprache sowie KI-Übersetzungswerkzeuge zum Einsatz.
Die WaterPlum-Kampagne und mehrere IT-Worker-Schemata werden laut Bericht über das General Bureau of the Munitions Industry Department gesteuert, das dem Zentralkomitee der Arbeiterpartei Koreas zugeordnet ist. Fachleute hatten gegenüber Recorded Future News zuvor erklärt, dass mehrere Regierungsstellen in Nordkorea eigene Einheiten von Cyber-Arbeitern unterhalten, die legitime IT-Arbeit, Kryptodiebstähle und Datenerpressung betreiben.
„Während nordkoreanische IT-Arbeiter sich primär auf Einnahmen konzentrieren, gab es Fälle zusätzlicher schädlicher Cyberaktivität. In einem Fall erpresste ein nordkoreanischer IT-Arbeiter ein Unternehmen wegen einer Zahlung und veröffentlichte dessen geschützten Quellcode online", heißt es in der Warnmeldung. In einem anderen Fall habe ein für die Website-Pflege eingestellter IT-Arbeiter die Website des Auftraggebers verunstaltet und unerreichbar gemacht.