Северокорейские хакеры украли $10,8 млн с криптокошельков

Северокорейские хакеры украли $10,8 млн через фейк-вакансии

Северокорейские хакеры из группировки WaterPlum (в международной классификации — кампания Contagious Interview) реализовали масштабную схему кибершпионажа. Используя поддельные собеседования и вирусы для разработчиков, злоумышленники заразили около 30 000 устройств по всему миру, похитили данные 7000 криптокошельков и вывели $10,8 млн. Об этом сообщили правоохранительные органы Германии, Национальное полицейское агентство Японии (NPA) и ФБР США.

География и цели атаки группировки WaterPlum

Атаки киберпреступников продолжались с декабря прошлого года по июль текущего года и затронули жителей более 100 стран. Северокорейские хакеры сфокусировались на высококвалифицированных специалистах с доступом к критической инфраструктуре.

В число основных целей вошли:

Веб-разработчики и инженеры программного обеспечения;
Специалисты по криптовалютам и блокчейн-архитекторы;
Инженеры смарт-контрактов и сотрудники финтех-стартапов.

Схема социальной инженерии: ИИ-дипфейки и фейковые HR

Для выхода на жертв хакеры КНДР создавали профили рекрутеров, представителей ИИ-компаний и криптовалютных сервисов. Процесс вовлечения строился на сложной социальной инженерии:

AI Face-Swapping на видеозвонках: Чтобы имитировать внешность реальных сотрудников зарубежных IT-гигантов, нападавшие применяли ИИ-софт для подмены лиц в реальном времени. Через 2–3 минуты после начала видеовстречи хакеры отключали камеру под предлогом плохого интернет-соединения и продолжали общение голосом.
Перевод в платформы совместной разработки: Под видом выполнения тестовых заданий кандидатам предлагали скачать файлы из открытых репозиториев кода и сервисов совместной работы.

Заражение через npm-пакеты и трояны группы BeaverTail

Основным вектором внедрения вредоносного кода стали репозитории экосистемы Node.js. В частности, злоумышленники распространяли вредоносный пакет node-nvm-ssh, маскирующийся под стандартную системную утилиту.

Запуск тестового проекта на локальном компьютере разработчика приводил к скрытой установке целого комплекса вредоносных программ:

BeaverTail — первичный загрузчик и стилер;
InvisibleFerret — троян удалённого доступа (RAT);
OtterCookie и OtterCandy — модули закрепления в системе;
StoatWaffle — утилита для очистки реестра и заметания следов.

После активации файлов северокорейские хакеры получали полные права на удалённое управление компьютером.

Какую информацию крали злоумышленники

Вредоносный софт считывал сохранённые логины и пароли из браузеров, фиксировал нажатия клавиш (кейлоггинг), перехватывал содержимое буфера обмена и делал снимки экрана.

Особый приоритет для хакеров имели:

Приватные ключи и кража сид-фразы: Вредоносы нацеливались на браузерные расширения MetaMask, Suiet, Trust Wallet и Rabby Wallet, извлекая ключи непосредственно из оперативной памяти.
Документы и снимки удостоверений личности: Сканы паспортов и водительских прав.

Вторичная кража личности (Identity Theft)

Представители ФБР подчеркивают, что украденные персональные данные и резюме разработчиков используеются северокорейскими IT-специалистами для повторного подлога. С помощью чужих документов подставные фрилансеры из КНДР устраиваются на работу в компании США и Европы, переводя зарплату на подконтрольные счета и создавая новые точки входа для атак.

Связь с правительством КНДР и «фермы ноутбуков»

Правоохранительные органы связывают деятельность WaterPlum с 313-м генеральным бюро Департамента военной промышленности ЦК Трудовой партии Кореи.

В рамках этого расследования в Японии впервые была ликвидирована так называемая «ферма ноутбуков». Физически компьютеры находились у местного посредника в Японии, но дистанционный контроль над ними осуществляли граждане КНДР. Через эту схему в Северную Корею выводились сотни миллионов иен.

Другие угрозы: троян RemotePE от группировки Lazarus

Параллельно с операцией WaterPlum активизировалась другая известная северокорейская группировка — Lazarus. По данным экспертов нидерландской компании Fox-IT, Lazarus хакеры начали использовать новый троян RemotePE для атак на криптовалютные биржи и финтех-проекты, что указывает на масштабную кампанию КНДР по добыче валюты под санкциями.

Как разработчикам защититься от атак Contagious Interview

Чтобы не стать жертвой подобных схем, специалистам рекомендуется соблюдать базовые правила безопасности:

Запускайте код в «песочницах»: Не запускайте тестовые задания на основном ПК. Используйте изолированные виртуальные машины (Docker, VirtualBox) без доступа к личным кошелькам.
Контролируйте безопасность npm пакетов: Проверяйте список зависимостей в package.json, дату создания пакетов и авторов репозитория.
Храните ключи на аппаратных устройствах: Приватные ключи криптовалют должны находиться на физических кошельках (Ledger, Trezor), недоступных для браузерных стилеров.
Проверяйте работодателя: Верифицируйте рекрутеров через официальные доменные почты и корпоративные каналы связи.

Часто задаваемые вопросы (FAQ)

Сколько денег украли северокорейские хакеры в кампании WaterPlum?

Суммарный подтверждённый ущерб составил $10,8 млн, а количество пострадавших криптокошельков превысило 7000.

Что такое кампания Contagious Interview?

Это международное название хакерской операции, в рамках которой IT-специалистов заманивают на фейковые собеседования и заставляют запускать вредоносный код.