In questo articolo Indice dei contenuti 2 sezioni
Un gruppo di hacker nordcoreani noto come WaterPlum ha infettato almeno 30.000 dispositivi in oltre 100 Paesi tra dicembre 2025 e luglio 2026, portando poi in Corea del Nord criptovalute per un valore di circa 10 milioni di euro. Il dato arriva da un avviso congiunto firmato dalle autorità giapponesi, statunitensi, australiane e tedesche, che hanno messo insieme i pezzi di un’attività durata mesi e distribuita su scala globale. Numeri che, per quanto già consistenti, riguardano soltanto la parte tracciabile dell’operazione.
La cifra precisa indicata nel documento parla di 1,7 miliardi di yen giapponesi trasferiti verso Pyongyang, mentre i portafogli di criptovalute svuotati o compromessi sarebbero oltre 7.000. Il meccanismo non è nuovo, ma continua a funzionare piuttosto bene: WaterPlum è collegato alla campagna pluriennale battezzata Contagious Interview, che da tempo prende di mira chi cerca lavoro nel settore tecnologico.
Colloqui finti, malware veri
Lo schema è quasi teatrale. Gli attaccanti si fingono aziende legittime che operano nell’intelligenza artificiale, nelle criptovalute o negli NFT, oppure contattano le vittime attraverso piattaforme di recruiting e di lavoro freelance. Da lì parte il finto colloquio, con tanto di test di programmazione. Al candidato viene chiesto di scaricare un progetto, di risolvere presunti problemi con la videoconferenza o semplicemente di eseguire del codice. Codice che, ovviamente, contiene il regalo avvelenato.
C’è anche un dettaglio che racconta parecchio del livello di preparazione: gli investigatori hanno scoperto che gli operatori di WaterPlum usano software di face swapping basati sull’intelligenza artificiale durante le videochiamate, per poi spegnere la telecamera dando la colpa alla connessione instabile.
L’arsenale tecnico è ampio. Tra le famiglie di malware attribuite al gruppo compaiono BeaverTail, codice JavaScript nascosto dentro pacchetti npm, InvisibleFerret, una backdoor scritta in Python, OtterCookie, trojan ad accesso remoto e ladro di informazioni, e OtterCandy, che unisce le capacità dei due precedenti. Poi c’è StoatWaffle, malware modulare in Node.js distribuito tramite progetti Visual Studio Code manipolati, che sfrutta file di configurazione capaci di eseguire codice appena la cartella viene aperta e considerata attendibile dall’utente.
Una volta dentro la macchina, gli attaccanti puntano a credenziali salvate nel browser, contenuti degli appunti, tasti digitati, chiavi private e seed phrase dei wallet, documenti. E catturano screenshot. In molti casi il computer infetto diventa un ponte verso la rete del datore di lavoro o dei clienti della vittima, allargando l’attacco al furto di proprietà intellettuale e allo spionaggio industriale.
Il legame con i falsi lavoratori IT nordcoreani
L’avviso collega in modo diretto WaterPlum alle operazioni dei cosiddetti lavoratori IT nordcoreani, quelli che si fanno assumere da remoto fingendosi sviluppatori di altri Paesi. Alcuni membri del gruppo, si legge, svolgono davvero lavori di sviluppo web per clienti ignari, e le due strutture hanno condiviso gli stessi indirizzi IP. Non solo: i documenti di identità rubati durante gli attacchi vengono poi riutilizzati per impersonare le vittime e ottenere contratti di lavoro.
FBI e polizia giapponese ritengono che sia gli operatori di WaterPlum sia parte di questi finti dipendenti facciano capo al 313 General Bureau, struttura inserita nel Munitions Industry Department, l’apparato che in Corea del Nord si occupa di ricerca e produzione di armamenti. L’obiettivo finale, quindi, è finanziare i programmi militari del regime.
La National Police Agency giapponese ha annunciato di aver individuato, indagato e smantellato per la prima volta nel Paese una laptop farm nordcoreana, cioè una di quelle strutture dove vengono tenuti accesi i computer aziendali spediti ai finti dipendenti. All’interno sono emerse prove di trasferimenti all’estero per diverse centinaia di milioni di yen.
Le raccomandazioni finali dell’avviso vanno in due direzioni. Alle aziende si chiede di verificare con attenzione identità, posizione geografica e qualifiche di chi si candida, limitando gli accessi ai soli sistemi e dati necessari al ruolo. Agli sviluppatori si consiglia di non eseguire mai codice sconosciuto fuori da un ambiente isolato e di controllare file e script alla ricerca di comandi che scarichino ulteriori componenti dalla rete.
Fonte: TecnoAndroid
