Die japanische Polizeibehörde entlarvt nordkoreanische Hacker in einer gemeinsamen Aktion mit den USA, Australien und Deutschland

Die japanische Nationale Polizeibehörde hat gemeinsam mit dem FBI und Sicherheitsbehörden in Australien und Deutschland eine nordkoreanische Gruppe identifiziert, die sich als Personalvermittler im IT-Bereich ausgab und weltweit Kryptowährungen von IT-Fachkräften stahl. Sie schleusten Vermögenswerte im Wert von 1,7 Milliarden Yen (etwa 10,71 Millionen US-Dollar) nach Nordkorea.

Die Crew nennt sich WaterPlum, verwendet aber den Decknamen „Contagious Interview“ als Alias. Laut einer gemeinsamen Warnung der sieben Behörden vom Freitag, dem 18. September 2026, hatte sie Opfer auf der ganzen Welt im Visier, darunter in Japan, den USA, Europa und darüber hinaus. 

Sieben Behörden, eine öffentliche Zuordnung 

In der Empfehlung werden sieben Behörden genannt : das japanische Nationale Büro für Cybersicherheit, die NPA, das FBI, das Cyberkriminalitätszentrum des Verteidigungsministeriums, das australische ASD Cybersicherheitszentrum sowie der deutsche BND und das BfV. 

Die Bekanntgabe erfolgte im Rahmen eines „öffentlichen Zuordnungsmodells“, einer Maßnahme, die darauf abzielt, künftige Angriffe abzuschrecken, indem der Staat oder die Gruppe hinter einem bösartigen Cyberangriff offengelegt wird.  

Nach Einschätzung der NPA und des FBI unterstehen die Hacker von WaterPlum, zusammen mit einer Gruppe nordkoreanischer IT-Fachkräfte, dem 313. Hauptbüro des Rüstungsministeriums, einer Einheit des Zentralkomitees der Arbeiterpartei Koreas. Dies deutet darauf hin, dass die Operation Teil eines größeren Plans Pjöngjangs zur Finanzierung seines Waffenprogramms war. US-Geheimdienste erhoben in der Vergangenheit bereits ähnliche Vorwürfe im Zusammenhang mit einem Kryptodiebstahl in Nordkorea – Vorwürfe, die das nordkoreanische Regime vehement zurückweist. 

Wie Nordkoreas Scheinbeschäftigungsprogramm funktionierte

Die Masche funktionierte folgendermaßen: Die Hacker gaben sich als Personalverantwortliche von KI-Firmen, Krypto-Unternehmen und NFT-Startups aus und unterbreiteten Softwareentwicklern verlockende Jobangebote. Die Bewerber mussten sich dann technischen Interviews unterziehen oder Programmieraufgaben bearbeiten, bevor sie im Rahmen der Eignungsprüfung Dateien herunterladen und ausführen sollten. 

Die heruntergeladenen Dateien waren mit Schadsoftware infiziert. Die Pakete des Node Package Managers enthielten verschiedene Schadsoftware-Varianten, darunter BeaverTail, InvisibleFerret, OtterCookie, OtterCandy und StoatWaffle. Nach der Installation öffnete der Schadcode eine Hintertür, die den Zugriff über Remote-Access-Trojaner aufrechterhielt und Browserpasswörter, Tastatureingaben, Screenshots sowie die privaten Schlüssel und Seed-Phrasen für den Zugriff auf Krypto-Walletstrac 

Von Dezember letzten Jahres bis Juli dieses Jahres wurden im Rahmen der Operation über 30.000 Geräte in mehr als 100 Ländern kompromittiert und sensible Daten von rund 7.000 Kryptowährungskonten gestohlen. 

Eine Laptop-Farm in Japan wurde zerstört 

Die Operation war zweigeteilt, wobei der zweite Teil Arbeitskräfte betraf. Laut einer Mitteilung der nordkoreanischen Volksarmee (NPA) erhielten einige nordkoreanische IT-Fachkräfte mitdent in Nordkorea, China und Russland heimlichtracfür Fernprogrammierung und Webentwicklung und überwiesen ihre Gehälter nach Nordkorea. 

Insgesamt wurden im Laufe der Jahre Hunderte Millionen Yen nach Nordkorea zurückgeleitet

Um den physischen Ursprung dieser Aktivitäten zu verschleiern, nutzte das Netzwerk lokale Helfer, die Laptop-Farmen und virtuelle private Server für die Hacker betrieben. Die japanischen Behörden haben eine solche Laptop-Farm, die von einem Helfer in Japan betrieben wurde, aufgedeckt, untersucht und gestoppt – ein Novum.

Teil einer sich ausweitenden nordkoreanischen Operation 

Die Warnung wirft ein neues Licht auf ein sich in den letzten Monaten abzeichnendes Muster: Die Anzahl der auf öffentlichen Blockchains gespeicherten Schadprogramme ist um 420 % gestiegen . Ein Großteil davon stammt aus Nordkorea und dem Iran.

Der Kryptowährungsdiebstahl in Nordkorea wurde im Juni dieses Jahres während eines G7- Gipfels als erhebliche Sicherheitsbedrohung eingestuft. Dies geschah, nachdem bekannt wurde, dass seit 2016 rund 6,75 Milliarden US-Dollar von Akteuren mit Verbindungen nach Nordkorea gestohlen worden waren.  

Die Anwerbung per Lockmittel ist ein wiederkehrendes Muster. Der Black-Hat-Forscher Vangelis Stykas gab dieses Jahr an, nordkoreanische Hacker in 1.640 Unternehmen in 57 Ländern traczu haben, oft indem sie Entwickler mit gefälschten Stellenangeboten köderten, die Schadsoftware installierten, wie Cryptopolitan berichtete.

Die klügsten Köpfe der Krypto-Szene lesen bereits unseren Newsletter. Möchten Sie auch dabei sein? Dann schließen Sie sich ihnen an.