In questo articolo Indice dei contenuti 3 sezioni
Una campagna di spionaggio e furto digitale gestita da hacker nordcoreani ha fruttato al regime di Pyongyang circa 9,1 milioni di euro, colpendo oltre 30mila dispositivi tra Giappone, Stati Uniti, Australia e Germania e violando settemila portafogli di criptovalute. Il meccanismo è tanto semplice quanto efficace, perché sfrutta qualcosa che quasi tutti, prima o poi, cercano online: un posto di lavoro.
Il collettivo responsabile si chiama WaterPlum, noto anche con il nome Contagious Interview, e opera almeno dal 2022. Il nome, tradotto, dice già tutto: il colloquio contagioso. È infatti durante un finto colloquio di lavoro che scatta la trappola, con vittime scelte tra chi cerca un impiego e, in alcuni casi, tra le aziende che stanno cercando personale. I Paesi toccati dalla campagna sono più di cento.
Il finto recruiter, il test di coding e il malware
Il copione si ripete con poche variazioni. Gli hacker nordcoreani si presentano sui social network come recruiter di aziende tecnologiche credibili e puntano su sviluppatori software, professionisti IT e tecnici attivi nei settori dell’intelligenza artificiale, delle criptovalute e degli Nft. L’offerta è sempre interessante, il tono professionale, la conversazione fluida. Dopo i primi contatti arriva il colloquio tecnico oppure un esercizio di programmazione, e con quello la richiesta di scaricare un file: serve a completare il test, oppure a risolvere un presunto problema con la videoconferenza.
Quel file contiene malware. Una volta eseguito, apre le porte del dispositivo agli attaccanti, che da lì raccolgono password, screenshot, documenti e dati dei wallet crypto. In diversi casi il danno va oltre la singola vittima, perché dal computer del candidato si arriva alle reti aziendali, con furti di proprietà intellettuale e vere e proprie operazioni di spionaggio. In altre occasioni lo schema si ribalta e sono gli stessi operativi nordcoreani a candidarsi come lavoratori, usando documenti e identità rubate per farsi assumere in compagnie occidentali, europee comprese.
Le laptop farm e i complici locali
A rendere possibile tutto questo c’è una rete di supporto fatta di cittadini dei Paesi colpiti. In Giappone è stato individuato almeno un caso di un facilitatore che gestiva una laptop farm, cioè una serie di computer portatili recapitati al complice e usati dagli operativi per collegarsi da remoto alle infrastrutture prese di mira. Lo stesso schema era già emerso lo scorso anno negli Stati Uniti, dove continuano le identificazioni di chi mantiene queste strutture e fa arrivare denaro in Corea del Nord.
I complici si occupano anche di amministrare server privati virtuali per conto degli operativi di WaterPlum, così da mascherare il luogo fisico dal quale lavorano mentre svolgono incarichi IT regolarmente retribuiti. Il denaro, comunque, non è l’unico obiettivo. Dalle intrusioni arrivano dati preziosi, documenti d’identità inclusi, utili proprio per costruire quelle false identità occidentali con cui candidarsi altrove.
I segnali che tradiscono i falsi candidati
Alcuni dettagli hanno permesso di riconoscere il metodo del gruppo. I curriculum inviati ai datori di lavoro contengono spesso competenze che non corrispondono al vero, elenchi troppo ampi per essere credibili e che al colloquio non trovano riscontro. Un altro campanello d’allarme sono gli strani problemi di connessione durante i meeting online: i finti candidati usano componenti di intelligenza artificiale per alterare il proprio volto e in certi momenti l’immagine può cedere, motivo per cui tendono a chiedere all’interlocutore di spegnere la webcam per poter spegnere anche la propria. Resta memorabile il caso in cui, per smascherare un sospetto affiliato al regime, a un candidato è stato chiesto di insultare Kim Jong Un, con relativa fuga immediata.
Secondo la polizia giapponese e l’Fbi, sia gli operativi di WaterPlum sia alcuni lavoratori IT nordcoreani rispondono al 313° Ufficio generale del Dipartimento dell’industria delle munizioni, struttura subordinata al Comitato centrale del Partito del Lavoro di Corea. La laptop farm giapponese è stata smantellata, ma il gruppo, come altri collegati a Pyongyang, risulta ancora operativo.
Fonte: TecnoAndroid
