A polícia japonesa expõe hackers norte-coreanos em ação conjunta com os EUA, a Austrália e a Alemanha

A Agência Nacional de Polícia do Japão, juntamente com o FBI e agências de segurança da Austrália e da Alemanha, identificaram um grupo norte-coreano que se fazia passar por recrutadores de profissionais de tecnologia enquanto roubava criptomoedas de profissionais de TI em todo o mundo. Desviaram 1,7 mil milhões de ienes (cerca de 10,71 milhões de dólares) em ativos para a Coreia do Norte.

O gangue chama-se WaterPlum, mas usa o pseudónimo "Contagious Interview" e teve como alvo vítimas em todo o mundo, incluindo Japão, Estados Unidos, Europa e outros países, de acordo com um alerta conjunto divulgado pelas sete agências na sexta-feira, 18 de setembro de 2026. 

Sete agências, uma atribuição pública 

O alerta contém os nomes de sete agências: o Gabinete Nacional de Cibersegurança do Japão, a NPA (Agência Nacional de Polícia), o FBI (Departamento Federal de Investigação), o Centro de Cibercrime do Departamento de Defesa, o Centro de Cibersegurança ASD da Austrália, bem como o BND (Serviço Federal de Investigação Criminal da Alemanha) e o BfV (Serviço Federal de Investigação e Vigilância). 

O anúncio foi feito no âmbito de um programa de "atribuição pública", uma medida que visa impedir futuros ataques, expondo o Estado ou grupo por detrás de um ciberataque malicioso.  

Com base na avaliação da NPA e do FBI, os hackers da WaterPlum, juntamente com um grupo de trabalhadores de TI norte-coreanos, estão sob o comando do 313º Departamento Geral da Indústria de Munições, uma unidade subordinada ao Comité Central do Partido dos Trabalhadores da Coreia. Isto significa que a operação fazia parte de um plano mais vasto utilizado por Pyongyang para financiar o seu programa de armamento. As agências de informação norte-americanas já fizeram a mesma acusação no passado, durante um episódio de roubo de criptomoedas por parte da Coreia do Norte, acusação que o regime norte-coreano nega veementemente. 

Como funcionava o esquema de falsos empregos da Coreia do Norte

O esquema funcionava assim: os hackers fingiam ser gestores de contratação em empresas de IA, empreendimentos de criptomoedas e startups de NFTs, oferecendo vagas irrecusáveis para programadores de software. Os candidatos participavam então em entrevistas técnicas ou realizavam tarefas de programação antes de serem instruídos para descarregar e executar ficheiros como parte da avaliação. 

Os ficheiros descarregados estavam corrompidos por malware. Existiam várias variantes de malware nos pacotes do Node Package Manager. Entre elas: BeaverTail, InvisibleFerret, OtterCookie, OtterCandy e StoatWaffle. Após a instalação, o código criou uma porta traseira, mantendo o acesso através de trojans de acesso remoto, etracpalavras-passe do browser, sequências de teclas digitadas, capturas de ecrã e as chaves privadas e frases de semente utilizadas para aceder às carteiras de criptomoedas 

De dezembro do ano passado a julho deste ano, a operação corrompeu mais de 30.000 dispositivos em mais de 100 países e informações sensíveis pertencentes a cerca de 7.000 contas de criptomoedas. 

Uma quinta de computadores portáteis foi destruída no Japão 

A operação foi dividida em duas partes, sendo que a segunda envolvia mão-de-obra. Com base no anúncio do NPA, alguns trabalhadores de TI norte-coreanos,dent na Coreia do Norte, China e Rússia, obtiveramtracremotos de programação e desenvolvimento web de forma clandestina, enquanto enviavam os seus salários de volta para a Coreia do Norte. 

No total, centenas de milhões de ienes foram desviados de volta para a Coreia do Norte ao longo dos anos.

Para ocultar a origem física do trabalho, a rede utilizou os habitantes locais que operavam quintas de computadores portáteis e servidores virtuais privados para os hackers. As autoridades japonesas identificaram, investigaram e desmantelaram uma quinta de computadores portáteis gerida por um cúmplice no Japão, a primeira deste tipo.

Parte de uma operação norte-coreana em expansão 

O alerta esclarece um padrão crescente que se desenvolveu ao longo dos meses. Houve um aumento de 420% de malware gravado em blockchains públicas, com uma grande parte originária da Coreia do Norte e do Irão.

O roubo de criptomoedas pela Coreia do Norte foi classificado como uma ameaça significativa à segurança durante uma de líderes do G7 em junho deste ano. Isto ocorreu após a descoberta de que aproximadamente 6,75 mil milhões de dólares foram roubados desde 2016 por agentes com ligações à Coreia do Norte.  

A tática de recrutamento é uma característica recorrente. O investigador da Black Hat, Vangelis Stykas, afirmou este ano ter trachackers norte-coreanos até 1.640 empresas em 57 países, atraindo frequentemente programadores com falsas ofertas de emprego que instalam malware, como relata Cryptopolitan .

As mentes mais brilhantes do mundo das criptomoedas já leem nossa newsletter. Quer participar? Junte-se a elas.