La NPA giapponese e l'FBI smascherano un gruppo di hacker nordcoreano: finte offerte di lavoro per rubare crypto

Le autorità giapponesi (National Police Agency, NPA) e l'FBI hanno reso noto il 18 settembre che il gruppo nordcoreano WaterPlum, noto anche come "Contagious Interview", da tempo si finge recruiter o aziende crypto per spingere sviluppatori a eseguire codice malevolo con il pretesto di test tecnici o collaborazioni di progetto. Tra dicembre 2025 e luglio 2026 l'operazione avrebbe infettato oltre 30.000 dispositivi in più di 100 Paesi, sottraendo fondi o credenziali a oltre 7.000 wallet di criptovalute per un valore di almeno 10,71 milioni di dollari in asset digitali. Secondo la nota congiunta, WaterPlum ha ampliato il raggio d'azione: non più solo exchange e grandi istituzioni, ma anche sviluppatori individuali, freelance e professionisti Web3. Oltre al furto diretto dai wallet, i sistemi compromessi e i dati d'identità rubati vengono usati per entrare nelle aziende delle vittime, aprendo la strada a sottrazione di segreti industriali, estorsioni o persino alla sostituzione d'identità in candidature di lavoro. La catena d'attacco parte spesso da "offerte ad alto stipendio": i criminali si presentano come società AI, crypto o NFT e contattano sviluppatori via social, portali di lavoro, piattaforme gig e marketplace per freelance. Dopo un primo scambio, propongono un colloquio video o un esercizio di programmazione. Il momento critico arriva nella fase di "valutazione tecnica", quando inviano un repository e chiedono di eseguire il progetto in locale, correggere bug o risolvere presunti problemi del software di videoconferenza. I progetti sembrano normali lavori in JavaScript, Python o su VS Code, ma includono codice malevolo. WaterPlum ricorre spesso a pacchetti NPM (Node.js package manager) compromessi e a più famiglie di malware, tra cui BeaverTail, InvisibleFerret, OtterCookie, OtterCandy e StoatWaffle. In alcuni casi viene sfruttato il file di configurazione .vscode/tasks.json per avviare automaticamente comandi dopo che l'utente apre e considera attendibile una cartella in VS Code. Dal punto di vista della vittima, l'intero processo può ridursi a scaricare il codice, aprire il progetto ed eseguirlo su indicazione dell"intervistatore", mentre il malware si installa in background. Una volta ottenuto l'accesso iniziale, gli attaccanti distribuiscono trojan di accesso remoto per mantenere il controllo nel tempo e programmi di furto dati. I principali obiettivi includono: account e password salvati nel browser; contenuti degli appunti, registri di digitazione e screenshot; chiavi private, seed phrase e dati correlati dei wallet crypto; file locali e cartelle condivise; foto di documenti d'identità come patente e passaporto. I dati vengono inviati a server controllati dagli attaccanti. Anche se il wallet è vuoto al momento del furto, la compromissione di chiave privata o frase mnemonica consente di monitorare l'indirizzo nel tempo e trasferire fondi non appena arrivano. Il rischio non si limita ai wallet personali. Gli sviluppatori hanno spesso accesso a repository aziendali, servizi cloud e sistemi interni. WaterPlum può sfruttare credenziali e permessi già presenti sul dispositivo per entrare nei sistemi di datori di lavoro, clienti o partner, muoversi lateralmente nelle reti e usare dati sensibili per estorsione. Le autorità descrivono anche un secondo filone: i documenti d'identità rubati (patenti, passaporti) vengono passati a personale IT nordcoreano che si spaccia per le vittime per candidarsi a lavori all'estero e generare valuta estera. WaterPlum diffonde malware tramite annunci falsi, mentre questi operatori IT si presentano come sviluppatori "all'estero" per infiltrarsi nelle aziende; secondo NPA e FBI esistono sovrapposizioni di personale e infrastruttura. Entrambi sarebbero collegati al 313th Bureau del Military Industry Department del Comitato Centrale del Workers' Party of Korea. Per aggirare i controlli su identità e luogo di lavoro, gli IT nordcoreani collaborano con intermediari all'estero che allestiscono computer in abitazioni locali, forniscono documenti e incassano gli stipendi, mentre il lavoro viene svolto da remoto da persone in Corea del Nord, Russia e altre aree. In questo modo le aziende vedono accessi da reti e dispositivi in Giappone o negli Stati Uniti e credono che il dipendente sia fisicamente lì. Gli intermediari riceverebbero anche i dispositivi aziendali, metterebbero a disposizione documenti e conti bancari e poi trasferirebbero i salari ai veri operatori. Le autorità giapponesi affermano che è la prima volta che viene individuata in Giappone una struttura di questo tipo. L'indagine ha rilevato trasferimenti verso l'estero per decine di milioni di yen, inclusi asset in criptovalute. L'avviso sottolinea che aziende o privati che impiegano, pagano o assistono personale IT nordcoreano fornendo documenti, conti bancari o dispositivi remoti potrebbero violare leggi locali e le sanzioni contro la Corea del Nord. I rischi per le imprese non si fermano alla fuoriuscita di salari: viene citato il caso di un IT nordcoreano che, dopo una controversia sui pagamenti, avrebbe estorto il datore di lavoro e pubblicato il codice sorgente proprietario; in un altro episodio, un soggetto incaricato della manutenzione di un sito web lo avrebbe alterato in modo malevolo rendendolo irraggiungibile. Le società crypto sono tra i settori più presi di mira. Nel maggio 2025 un exchange giapponese ha ricevuto la candidatura per un ruolo engineering da un soggetto ritenuto un IT nordcoreano: accesso all'annuncio via VPN e curriculum falsificato. Il profilo appariva estremamente completo, con padronanza dichiarata di numerosi linguaggi, tecnologie blockchain, sistemi crypto e servizi cloud, con oltre dieci competenze ed esperienze elencate in ciascuna categoria. Il background riportava studi in università europee e esperienze lavorative in più città tra Europa e Asia in un arco di tempo ridotto. Al colloquio video il candidato sosteneva di essere nato in Malesia e residente in Finlandia, con malese e cinese come lingue native. L'inglese, però, risultava incoerente con quanto dichiarato: risposte limitate a domande di base e incapacità di spiegare in dettaglio gran parte delle competenze tecniche indicate. La nota riassume anche segnali ricorrenti osservati in altri colloqui con sospetti IT nordcoreani: rifiuto di incontri in presenza, richiesta di pagamento in criptovalute, sguardi frequenti verso un secondo schermo, voci di altre persone udibili in sottofondo, buffering ripetuto di audio o video. Gli sguardi laterali possono indicare la lettura di risposte fornite da terzi; anche con un solo candidato in video, più persone potrebbero collaborare per simulare capacità tecniche. Sul piano della difesa, le autorità avvertono che la sola rimozione del malware potrebbe non bastare. Anche se non si notano ancora trasferimenti dal wallet, l'esecuzione di codice non affidabile può aver già esposto chiavi private, seed phrase o credenziali del browser; l'attaccante può attendere il momento più opportuno o mantenere una backdoor sul dispositivo. Più istituzioni internazionali raccomandano di non eseguire direttamente su macchine "sensibili" codice ricevuto da sconosciuti. Se un test è inevitabile, usare sandbox o macchine virtuali isolate e controllare la presenza di codice offuscato, illeggibile o che scarica automaticamente componenti prima dell'esecuzione. Particolare cautela è consigliata con script che includono comandi come curl, base64, mshta, InvokeWebRequest o altri strumenti usati per scaricare contenuti, codificare o mascherare l'esecuzione: non vanno lanciati senza comprenderne pienamente lo scopo. Se l'antivirus segnala un'infezione o se in passato è stato eseguito un programma fornito da un datore di lavoro sospetto, viene raccomandato di disconnettersi subito dalla rete. Anche dopo la rimozione, considerare compromessi i dati del wallet: creare un nuovo wallet su un dispositivo separato e sicuro, trasferire tutti gli asset e conservare offline la nuova seed phrase. Per il rischio di backdoor non rilevate, l'approccio più prudente è fare backup dei dati essenziali e poi reinstallare o ripristinare completamente il sistema operativo, evitando di continuare a usare l'ambiente esistente.