El grupo, vinculado a la campaña Contagious Interview, usó falsas entrevistas laborales para robar credenciales y transfirió más de 10,7 millones de dólares en criptomonedas a Corea del Norte. (Fuente: BleepingComputer)
Un aviso conjunto de las fuerzas de seguridad advierte que el grupo de hackers norcoreano WaterPlum comprometió al menos 30.000 dispositivos en todo el mundo entre diciembre de 2025 y julio de 2026, y transfirió más de 10,7 millones de dólares en criptomonedas robadas a Corea del Norte. Las cifras surgen de un aviso conjunto de autoridades japonesas, estadounidenses, australianas y alemanas que rastrearon en conjunto la actividad del grupo.
WaterPlum está vinculado a una campaña de varios años conocida como Contagious Interview, que anteriormente había apuntado a buscadores de empleo con paquetes maliciosos de npm que infectan sus dispositivos con malware. Los atacantes se hacen pasar por empresas legítimas de IA, criptomonedas y NFT, o usan plataformas de reclutamiento y trabajo freelance para acercarse a los buscadores de empleo. Durante entrevistas falsas y pruebas de programación, se les indica a las víctimas que descarguen proyectos, resuelvan supuestos problemas de videoconferencia, o ejecuten código malicioso.
WaterPlum forma parte de un ecosistema más amplio de actores de amenaza norcoreanos que llevan a cabo ataques con motivación financiera para generar ingresos para el régimen y ayudar a financiar sus programas de armamento. Según el aviso, los actores de WaterPlum infectaron al menos 30.000 dispositivos en más de 100 países y exfiltraron fondos o credenciales de cuenta de más de 7.000 billeteras de criptomonedas, transfiriendo 1.700 millones de yenes japoneses, equivalentes a 10,71 millones de dólares, en activos de criptomonedas hacia Corea del Norte.
El aviso vincula varias familias de malware a las operaciones de WaterPlum, incluidas BeaverTail, malware en JavaScript oculto en paquetes de npm, InvisibleFerret, puerta trasera basada en Python, OtterCookie, troyano de acceso remoto y ladrón de información en JavaScript, OtterCandy, malware que combina capacidades de OtterCookie y RAT, y StoatWaffle, malware modular en Node.js distribuido a través de proyectos maliciosos de Visual Studio Code. Una vez que se compromete a un objetivo, los atacantes intentan robar credenciales de navegador, contenido del portapapeles, teclas presionadas, claves privadas y frases semilla de criptomonedas, y documentos, mientras también capturan pantallas.
Las agencias también vinculan directamente a WaterPlum con las operaciones fraudulentas de trabajadores de IT de Corea del Norte, indicando que algunos hackers de WaterPlum también trabajan como trabajadores remotos de IT haciendo desarrollo web para clientes, y que ambos grupos usaron las mismas direcciones IP. El aviso también advierte que los trabajadores de IT norcoreanos después reutilizan documentos de identidad robados en ataques de WaterPlum para hacerse pasar por las víctimas y conseguir empleos.
Los investigadores también encontraron que los actores de WaterPlum usan software de intercambio de rostros con IA durante entrevistas en línea, y después apagan sus cámaras y culpan a problemas de red. El FBI y la policía japonesa evalúan que los actores de WaterPlum y algunos trabajadores de IT norcoreanos operan bajo la Oficina General 313 del país, que forma parte del Departamento de Industria de Municiones responsable de la investigación y producción de armas de Corea del Norte.
La Agencia Nacional de Policía de Japón dice que las autoridades identificaron, investigaron y desmantelaron por primera vez en el país una granja de laptops de trabajadores de IT norcoreanos, encontrando evidencia de que se habían transferido varios cientos de millones de yenes al exterior.
Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.