Eine von Nordkorea unterstützte Hackergruppe infizierte zwischen Ende 2025 und Juli 2026 über 30.000 Computer in 100 Ländern mit Malware, mit der Kryptowährungen im Wert von mehreren Millionen Dollar gestohlen wurden.
Gefälschte IT-Vorstellungsgespräche helfen Nordkorea dabei, Kryptowährungen im Wert von Millionen zu stehlen
GESCHRIEBEN VON
TEILEN
Das Wichtigste im Überblick
- Die nordkoreanische Gruppe „WaterPpum“ hat zwischen Dezember 2025 und Juli 2026 über gefälschte Vorstellungsgespräche im IT-Bereich 30.000 Geräte kompromittiert.
- Über 7.000 Krypto-Wallets wurden gehackt, wodurch 10,71 Mio. US-Dollar entwendet wurden und die Rekrutierungssysteme für freiberufliche IT-Fachkräfte destabilisiert wurden.
- Die NPA, das FBI und globale Partner fordern Unternehmen dringend auf, Sandbox-Umgebungen einzuführen, um künftige Software-Exploits zu verhindern.
Gefälschte Vorstellungsgespräche als Köder
Eine nordkoreanische Cyberangriffskampagne, die als legitime Personalrekrutierung im Tech-Bereich getarnt war, hat mehr als 30.000 Computer in mindestens 100 Ländern infiziert und dabei Tausende von Kryptowährungs-Wallets sowie Millionen von Dollar gestohlen, um Pjöngjangs Waffenprogramme zu finanzieren, warnten Strafverfolgungsbehörden aus sechs Ländern.
In einer gemeinsamen Sicherheitswarnung vom 18. September haben die japanische Nationalpolizeibehörde (NPA) und das US-amerikanische Federal Bureau of Investigation (FBI) sowie Cyber- und Nachrichtendienste aus Australien und Deutschland die weltweiten Aktivitäten eines als „Waterplum“ bekannten Angreifers detailliert beschrieben, der international auch unter dem Namen „Contagious Interview“ verfolgt wird.
Die Behörden gehen davon aus, dass Waterplum und die mit ihm verbundenen nordkoreanischen IT-Fachkräfte unter der direkten Aufsicht des Büros 313 der Abteilung für Rüstungsindustrie der Arbeiterpartei Koreas operieren, die Nordkoreas militärische Forschung und Waffenproduktion leitet.
Nach Angaben japanischer Ermittler hatte Waterplum es auf Softwareentwickler, Webdesigner und Kryptowährungsspezialisten auf Jobplattformen und in sozialen Medien abgesehen, indem es sich als Personalvermittler seriöser Unternehmen aus den Bereichen künstliche Intelligenz, Blockchain und Technologie ausgab.
Während vorgetäuschter technischer Vorstellungsgespräche oder Programmiertests wurden die Zielkandidaten angewiesen, schädliche Software herunterzuladen, die als Programmiertests oder Tools zur Fehlerbehebung bei Videokonferenzen getarnt war. Nach der Ausführung installierte der Code Backdoor-Trojaner und Malware zum Diebstahl von Informationen, wodurch Hacker persönliche Ausweisdokumente und private Schlüssel für Kryptowährungen abgreifen konnten.
Zwischen Ende 2025 und Juli 2026 wurden im Rahmen dieser Kampagne weltweit mindestens 30.000 Geräte kompromittiert, mehr als 7.000 Kryptowährungs-Wallets angegriffen und digitale Vermögenswerte im Wert von mindestens 1,7 Milliarden Yen (10,71 Millionen US-Dollar) in von Nordkorea kontrollierte Wallets umgeleitet, so die Behörden.
„Laptop-Farmen“ in Japan aufgedeckt
Die Ermittlungen beleuchteten zudem die Rolle „inländischer Mittelsmänner“, die nordkoreanischen Agenten dabei halfen, Standortüberprüfungen zu umgehen und ausgelagerte IT-Aufträge bei japanischen und US-amerikanischen Unternehmen zu erhalten.
In einer für die japanischen Strafverfolgungsbehörden beispiellosen Aktion beschlagnahmte und zerschlug die Polizei eine lokale „Laptop-Farm“, die es nordkoreanischen IT-Fernarbeitern ermöglichte, unter lokalen IP-Adressen zu arbeiten. Die Behörden stellten fest, dass illegale IT-Mitarbeiter, die über diese Systeme operierten, Krypto-Vermögenswerte im Wert von mehreren hundert Millionen Yen ins Ausland transferierten.
Internationale Sicherheitsbehörden forderten Technologieunternehmen und Gig-Worker auf, bei Online-Vorstellungsgesprächen Vorsicht walten zu lassen, die Ausführung von nicht geprüften Codes außerhalb isolierter Sandbox-Umgebungen zu vermeiden und beim Öffnen nicht vertrauenswürdiger Code-Repositorys Kontrollmechanismen zur Einschränkung des Arbeitsbereichs anzuwenden.
Dieser Artikel wurde mithilfe von KI aus dem Englischen übersetzt. Die englische Originalversion ist die maßgebliche Quelle; automatische Übersetzungen können Ungenauigkeiten enthalten, insbesondere bei rechtlicher und regulatorischer Terminologie.
