Állásinterjúnak álcázott kibertámadással fertőzött meg harmincezer számítógépet Észak-Korea

Több mint száz országban legalább harmincezer számítógépet fertőzött meg az észak-koreai államhoz kötött WaterPlum hackercsoport. A támadók informatikai vállalatok fejvadászainak adták ki magukat, majd programozási feladatnak álcázott kártékony kódot futtattak le az álláskeresők gépén. A művelet során több mint hétezer kriptotárca adataihoz vagy vagyonához fértek hozzá, és legalább 10,71 millió dollárnyi kriptovalutát juttattak el Észak-Koreába.

Az amerikai, japán, német és ausztrál biztonsági szervek közös figyelmeztetése szerint a WaterPlum – más néven Contagious Interview, vagyis „fertőző állásinterjú” – elsősorban szoftverfejlesztőket, webes szakembereket, valamint kriptovalutákkal, blokklánccal és Web3-technológiákkal foglalkozó informatikusokat keresett meg. A csoport tagjai mesterséges intelligenciával, kriptovalutákkal vagy NFT-kkel foglalkozó, valóban létező vállalatok képviselőinek adták ki magukat, de állásközvetítő oldalakat, közösségi hálózatokat és szabadúszókat összekötő platformokat is használtak. A módszer azért különösen veszélyes, mert nem egy gyanúsnak látszó e-maillel vagy a nigériai herceg internetes leszármazottjának örökségével próbálkoztak. A célpontokat szabályos állásinterjúra hívták, amelynek során technikai próbafeladatot kaptak. A fejlesztőnek le kellett töltenie egy programcsomagot, meg kellett nyitnia egy Visual Studio Code-projektet, vagy állítólagos videókonferencia-hibát kellett elhárítania. Mindez az informatikai állásinterjúk teljesen hétköznapi részének tűnhetett.

A letöltött fájlokban azonban különböző kártevők – köztük a BeaverTail, az InvisibleFerret, az OtterCookie, az OtterCandy és a StoatWaffle – rejtőztek. Egyes fertőzött programcsomagokat a fejlesztők által rendszeresen használt GitHubon, Bitbucketen vagy más kódtárolókban helyeztek el. A kártevő a fájl megnyitása után hátsó ajtót létesített a számítógépen, majd távoli hozzáférést biztosító programokat és adatlopó eszközöket telepített. A támadók így hozzáférhettek a böngészőkben tárolt felhasználónevekhez és jelszavakhoz, a vágólap tartalmához, a leütött billentyűkhöz, a képernyőképekhez, az igazolványok és útlevelek másolataihoz, valamint a kriptotárcák privát kulcsaihoz és helyreállító kifejezéseihez. A hatóságok szerint 2025 decembere és 2026 júliusa között legalább harmincezer számítógépet törtek fel, több mint hétezer tárcából szereztek meg pénzt vagy hozzáférési adatokat, és 1,7 milliárd jen, vagyis 10,71 millió dollár értékű kriptovalutát utaltak Észak-Koreába. Fontos pontosítás, hogy a hétezer tárca nem feltétlenül jelent ugyanennyi teljesen kifosztott számlát: a hivatalos jelentés úgy fogalmaz, hogy a támadók pénzeszközöket vagy hozzáférési adatokat szereztek meg belőlük. A bizonyítottan Észak-Koreába továbbított összeg legalább 10,71 millió dollár.

Az álláscsalás mindkét irányban működik

A műveletnek van egy másik oldala is. Észak-Korea nemcsak hamis munkaadókat küld az álláskeresőkre, hanem saját informatikusait is hamis személyazonossággal próbálja elhelyezni nyugati, japán és más külföldi vállalatoknál. Ezek az emberek távmunkában programozói vagy rendszerüzemeltetői feladatokat vállalnak, fizetésük jelentős részét pedig az észak-koreai államnak adják át. A WaterPlum műveletei és a külföldi állásokra jelentkező észak-koreai informatikusok között közvetlen technikai kapcsolatot találtak: ugyanazokat az IP-címeket, közvetítő szolgáltatásokat és úgynevezett laptopfarmokat használták. A laptopfarm olyan, többnyire egy helyi közreműködő lakásában kialakított géppark, amelyet Észak-Koreából, Kínából vagy Oroszországból távolról irányítanak. A vállalat ebből csak annyit lát, hogy az alkalmazott számítógépe például az Egyesült Államokban vagy Japánban működik. A megszerzett személyes dokumentumokat további hamis jelentkezésekhez használhatják, a feltört fejlesztői gépek pedig később belépési pontot jelenthetnek azokhoz a vállalatokhoz is, amelyeknél az áldozatok dolgoznak. A kampány ezért messze nem kizárólag kriptovaluta-lopás: ipari kémkedésre, forráskódok eltulajdonítására, vállalati rendszerek feltörésére és zsarolásra is alkalmas.

Japánban a hatóságok először számoltak fel bizonyítottan ilyen laptopfarmot. Egy japán kriptotőzsdére jelentkező személy közben malajziainak mondta magát, azt állította, hogy Finnországban él, európai egyetemi végzettséget és gyanúsan sok programozási ismeretet tüntetett fel. Az egyszerű kérdésekre még válaszolt, a részletes szakmai kérdéseket azonban kerülte, az interjú alatt rendszeresen egy másik képernyőt figyelt, hangok hallatszottak a háttérből, és kriptovalutában kérte a fizetését. A bitFlyer tőzsde felismerte a csalást, ezért nem alkalmazta, és ebben az esetben nem történt károkozás. A japán rendőrség és az FBI szerint a WaterPlum, valamint az észak-koreai informatikusok egy része a Koreai Munkapárt Központi Bizottságának hadiipari részlege alá rendelt 313-as Főiroda irányítása alatt működik. Vagyis nem néhány ügyes, saját zsebre dolgozó számítógépes csalóról beszélünk, hanem egy államilag szervezett pénzszerző és behatolási rendszerről, amely a szankciók alatt álló Kim-rezsimet és annak hadseregét finanszírozza.

A hatóságok azt tanácsolják, hogy ismeretlen állásközvetítő által küldött programkódot senki ne futtasson közvetlenül a saját gépén, különösen akkor ne, ha azon kriptotárcát, céges hozzáférést vagy személyes dokumentumokat is tárol. Az ismeretlen projekteket kizárólag elkülönített virtuális gépen vagy úgynevezett sandboxban szabad megnyitni. Fertőzés gyanúja esetén a számítógépet azonnal le kell választani az internetről, a kriptovalutát pedig egy másik, tiszta eszközön létrehozott új tárcába kell átvinni. A kártevő egyszerű törlése nem elegendő: a jelentés teljes rendszer-visszaállítást javasol.

Ugar