گروه سایبری WaterPlum وابسته به کره شمالی در یک عملیات پیچیده، با هدف قرار دادن توسعه‌دهندگان نرم‌افزار و متخصصان IT، موفق به آلوده کردن بیش از ۳۰,۰۰۰ دستگاه در ۱۰۰ کشور مختلف شده است. این گروه با جعل هویت استخدام‌کنندگان در شرکت‌های معتبر حوزه هوش مصنوعی (AI)، ارزهای دیجیتال (Cryptocurrency) و NFT، مبلغ ۱۰.۷ میلیون دلار را به سرقت بردند.
روش حمله و بردار نفوذ
بر اساس هشدار مشترک کشورهای ژاپن، آلمان، استرالیا و ایالات متحده، این مهاجمان که با نام Contagious Interview نیز شناخته می‌شوند، از طریق شبکه‌های اجتماعی، پلتفرم‌های کاریابی و بازارهای فریلنسینگ اقدام به جذب قربانیان می‌کنند. اهداف اصلی این حملات، طراحان وب، مهندسان و متخصصان فناوری‌های Blockchain و Web3 هستند.
در جریان فرآیند استخدام، متقاضیان برای انجام تکالیف کدنویسی یا رفع خطاهای احتمالی در نرم‌افزارهای ویدئو کنفرانس، ترغیب به دانلود و اجرای فایل‌های مخرب می‌شوند. پس از اجرای این فایل‌ها، مهاجمان از طریق Remote Access Trojans (RAT) و بدافزارهای Infostealer، دسترسی Backdoor به سیستم ایجاد کرده و داده‌های حساس و دارایی‌های دیجیتال را استخراج می‌کنند.
پیامدهای عملیاتی و استراتژیک
- سرقت دارایی‌ها: بین دسامبر ۲۰۲۵ تا جولای ۲۰۲۶، اطلاعات دسترسی و وجوه بیش از ۷,۰۰۰ کیف پول ارز دیجیتال استخراج شده است.
- نفوذ سازمانی: آلودگی سیستم توسعه‌دهندگان، فرصتی را برای WaterPlum فراهم می‌کند تا به سازمان‌هایی که این متخصصان در آن‌ها مشغول به کار هستند، نفوذ کند.
- سرقت هویت: اسناد هویتی سرقتی توسط کارکنان IT کره شمالی برای جعل شخصیت و کسب درآمد از شرکت‌های خارجی مورد استفاده قرار می‌گیرند.
تحلیل نهایی
این کمپین بخشی از استراتژی گسترده‌تر کره شمالی برای جای‌گذاری کارکنان IT در شرکت‌های خارجی است تا علاوه بر تامین منابع مالی از طریق سرقت ارزهای دیجیتال، از طریق جاسوسی صنعتی و نفوذ در زیرساخت‌های نرم‌افزاری، اهداف استراتژیک خود را پیش ببرند. گزارش‌ها نشان می‌دهد حتی شرکت‌های بزرگی مانند Consensys نیز با چالش استخدام ناآگاهانه مشاورانی مرتبط با این گروه مواجه شده‌اند.
