Newsletter Subscribe
Enter your email address below and subscribe to our newsletter
[forminator_form id="25163"]
All voices matter
Seitsemän maata yhdistää pohjoiskorealaiset hakkerit valetyöntekijöiden verkostoon
- WaterPlum-ryhmä saastutti vähintään 30 000 laitetta yli 100 maassa ja varasti noin 10,7 miljoonaa dollaria kryptovaluuttaa esiintymällä rekrytoijina, kertoo Yhdysvaltojen, Japanin, Australian ja Saksan viranomaisten yhteinen raportti.
qz+1 - Uuden-Seelannin NCSC paljasti erikseen, että pohjoiskorealainen toimija palkattiin paikalliseen yritykseen IT-urakoitsijaksi valheellisella henkilöllisyydellä, ja hän yritti kiristystä jäätyään kiinni.
1news - Viranomaisten mukaan WaterPlum ja Pohjois-Korean IT-työntekijöiden petosverkosto jakavat saman infrastruktuurin 313. pääosaston alaisuudessa, ja toimintojen katsotaan olevan lähes varmasti kytköksissä toisiinsa.
bnd.bund+1
Seitsemän maan viranomaiset ovat virallisesti yhdistäneet pohjoiskorealaisen hakkeriryhmän samaan hallinnon osastoon, joka valvoo Pjongjangin laajaa valetyöntekijöiden verkostoa. Paljastus tuli julki samalla, kun Uusi-Seelanti raportoi pohjoiskorealaisen toimijan soluttautuneen paikalliseen yritykseen IT-urakoitsijana.
Seitsemän viraston varoitus
Saksan tiedustelupalvelu BND:n 18. syyskuuta julkaisema raportti nimeää WaterPlum-hakkeriryhmän, joka tunnetaan kyberturvallisuusalalla myös nimellä Contagious Interview, toimivan Pohjois-Korean 313. pääosaston alaisuudessa. Tämä yksikkö on osa Korean työväenpuolueen aseteollisuusosastoa. Raportin ovat allekirjoittaneet FBI, Yhdysvaltain puolustusministeriön kyberrikoskeskus, Japanin poliisivirasto, Australian kyberturvallisuuskeskus sekä Saksan BND ja BfV.ic3+2
Joulukuun 2025 ja heinäkuun 2026 välisenä aikana WaterPlum saastutti vähintään 30 000 laitetta yli 100 maassa ja varasti varoja tai tunnuksia noin 7 000 kryptolompakosta, kertoo The Record. Quartz-lehden mukaan saalis oli noin 1,7 miljardia jeniä eli noin 10,7 miljoonaa dollaria, jotka ohjattiin takaisin Pjongjangiin.qz+1
WaterPlum-toimijat esiintyivät rekrytoijina työnhakusivustoilla ja freelancer-alustoilla tavoitellen ohjelmistokehittäjiä ja lohkoketjuasiantuntijoita. Uhreja pyydettiin tekemään koodaustestejä tai korjaamaan virheitä videoneuvotteluohjelmistoissa, joiden mukana tuli haittaohjelmia, kuten BeaverTail, InvisibleFerret ja OtterCookie. Asennuksen jälkeen ohjelmisto varasti selaimen salasanoja, näppäinpainalluksia, lompakoiden siemenlauseita ja skannattuja henkilöllisyystodistuksia. Tutkijat havaitsivat ryhmän käyttäneen myös tekoälypohjaisia kasvojen vaihtotyökaluja videopuheluissa.therecord+3
Viranomaiset vetivät suoran yhteyden WaterPlumin ja Pohjois-Korean laajemman IT-työntekijöiden petosjärjestelmän välille, viitaten päällekkäisiin IP-osoitteisiin. Jotkut WaterPlum-toimijat tekivät samanaikaisesti laillista freelance-työtä ja pyörittivät haittaohjelmakampanjoita.qz
Uuden-Seelannin tapaus
Uuden-Seelannin kyberturvallisuuskeskus NCSC paljasti vuosittaisessa raportissaan, että suuri paikallinen yritys palkkasi tietämättään pohjoiskorealaisen toimijan etä-IT-urakoitsijaksi. Työntekijä käytti väärennettyä henkilöllisyyttä ja palkkasi uusiseelantilaisen vastaanottamaan ja käyttämään yrityksen kannettavaa tietokonetta, mikä on tyypillistä niin sanotuille kannettavien tietokoneiden maatiloille.1news
Kun yritys alkoi epäillä toimintaa ja irtisoi sopimuksen, toimija uhkasi julkaista kaupallisesti arkaluonteisia tietoja, ellei hänelle maksettaisi. NCSC:n apulaispääjohtaja Catriona Robinson varoitti, että tällainen toiminta rikkoo YK:n pakotteita, ja kehotti työnantajia haastattelemaan henkilöstöä kasvotusten ja vaatimaan IT-laitteiden noutamista henkilökohtaisesti.1news
Kasvava ja verkottunut uhka
BND:n raportissa todetaan, että WaterPlum ja Pohjois-Korean IT-työntekijöiden operaatiot ovat lähes varmasti kytköksissä toisiinsa ja jakavat todennäköisesti saman organisaation johdon aseteollisuusosaston alaisuudessa. Yhdysvaltain viranomaiset arvioivat, että laajempi IT-työntekijöiden järjestelmä tuotti pelkästään vuonna 2024 noin 800 miljoonaa dollaria. Japanin poliisivirasto kertoi tutkijoiden ensimmäistä kertaa löytäneen ja sulkeneen pohjoiskorealaisen kannettavien tietokoneiden maatilan Japanin maaperältä, ja kirjanpito osoitti satojen miljoonien jenien siirtyneen maasta.bnd.bund+2
Lähteet (17)
- 1 North Korean WaterPlum hackers infected 30,000 devices ... - Quartz qz.com
- 2 North Korean hackers infect thousands of devices across 100 ... therecord.media
- 3 North Korean operative posing as IT contractor hired by NZ business www.1news.co.nz
- 4 Joint Cybersecurity Advisory | BND - Bundesnachrichtendienst www.bnd.bund.de
- 5 [PDF] North Korean "WaterPlum," commonly referred to as “Contagious - IC3 www.ic3.gov
- 6 North Korean Hacking Crew Tied to Same Bureau Behind Fake Remote IT Workers northeasttimes.com
- 7 Contagious Interview Campaign Compromises ... - The Hacker News thehackernews.com
- 8 North Korea infects thousands of devices worldwide through fake job offers www.the-independent.com
- 9 Contagious Interview: 30,000 devices infected by a fake job interview securityaffairs.com
- 10 Alert to Countries, Companies, and Other Entities Regarding North ... www.state.gov
- 11 [PDF] Guidance on the Democratic People's Republic of Korea Information ... ofac.treasury.gov
- 12 North Korean Malware Is Targeting Your IT Staff Through Job Offers blog.secureaz.com
- 13 Contagious Interview - MITRE ATT&CK® attack.mitre.org
- 14 FBI investigating North Korean remote IT staffer working for US agency federalnewsnetwork.com
- 15 Contagious Interview (Threat Actor) - Malpedia malpedia.caad.fkie.fraunhofer.de
- 16 A joint law enforcement advisory says the North Korean hacking ... www.threads.com
- 17 North Korea uses remote IT worker to clandestinely earn NZ currency www.rnz.co.nz
