Der Angriffsweg beginnt regelmäßig mit einer vorgetäuschten Karrierechance: Die Akteure geben sich als Unternehmen aus den Bereichen künstliche Intelligenz, Kryptowährungen oder NFT aus oder sprechen Jobsuchende über Recruiting- und Freelancer-Plattformen an. In gefälschten Bewerbungsgesprächen und Programmieraufgaben werden die Opfer aufgefordert, Projekte herunterzuladen, angebliche Probleme mit der Videokonferenz zu beheben oder Schadcode auszuführen.
Ist ein Rechner kompromittiert, greifen die Angreifer laut Warnmeldung Browser-Zugangsdaten, Zwischenablage-Inhalte, Tastatureingaben, private Schlüssel und Seed-Phrasen von Kryptowährungen sowie Dokumente ab und fertigen Bildschirmaufnahmen an. Der Zugang zu infizierten Rechnern dient teils als Sprungbrett in die Netzwerke der Arbeitgeber oder Kunden der Betroffenen — die Angriffe weiten sich dann auf den Diebstahl geistigen Eigentums und auf Spionage aus.
Die Behörden stellen eine direkte Verbindung zwischen WaterPlum und den betrügerischen IT-Arbeiter-Operationen Nordkoreas her. Einige WaterPlum-Akteure arbeiteten selbst als externe IT-Kräfte und erledigten Webentwicklung für Kunden; beide Gruppen hätten dieselben IP-Adressen genutzt. Hinzu kommt ein Kreislauf aus gestohlenen Daten: Bei WaterPlum-Angriffen erbeutete Ausweisdokumente werden den Ermittlern zufolge von nordkoreanischen IT-Arbeitern wiederverwendet, um sich als die Opfer auszugeben und Anstellungen zu erhalten.
Auffällig ist der Einsatz von KI: Die Ermittler stellten fest, dass die Akteure während Online-Vorstellungsgesprächen Software zum Austausch von Gesichtern verwenden und anschließend ihre Kamera abschalten, wobei sie Netzwerkprobleme vorschieben.
Die japanische National Police Agency berichtet von der erstmaligen Zerschlagung einer “Laptop-Farm” nordkoreanischer IT-Arbeiter in Japan. Dabei fanden die Ermittler Hinweise darauf, dass mehrere hundert Millionen Yen ins Ausland transferiert worden waren.
Zur Zurechnung heißt es in der Warnmeldung, FBI und japanische Polizei gingen davon aus, dass WaterPlum-Akteure und ein Teil der nordkoreanischen IT-Arbeiter unter dem 313. Generalbüro operieren, das der Munitionsindustrie-Abteilung und damit der Waffenforschung und -produktion des Landes zugeordnet ist. Der Warnmeldung zufolge lassen sich mehrere Schadsoftware-Familien den WaterPlum-Operationen zuordnen.
Den Unternehmen empfehlen die Behörden, Identität, Aufenthaltsort und Qualifikationen von Bewerbern sorgfältig zu prüfen und deren Zugriff strikt auf jene Systeme und Daten zu beschränken, die für die jeweilige Tätigkeit nötig sind. Entwicklern raten sie, unbekannten Code nicht außerhalb einer Sandbox auszuführen und übermittelte Dateien und Quelltexte auf Befehle zu untersuchen, die weitere Schadkomponenten nachladen.