Nordkoreanische Hackergruppe WaterPlum griff weltweit an

TTS-Player überspringen↵Artikel weiterlesen

Nordkoreanische Cyberkriminelle haben mit einer besonders perfiden Masche weltweit Tausende Menschen aus dem IT-Bereich ins Visier genommen. Die Gruppe WaterPlum tarnte sich als Personalvermittler und lockte Fachkräfte mit vermeintlich attraktiven Stellenangeboten.

Zwischen Dezember 2025 und Juli 2026 sollen die Täter so mehr als 30.000 Computer mit Schadsoftware infiziert und Kryptowährungen im Wert von über 9 Millionen Euro erbeutet haben. Nach Angaben der Behörde sind mehr als 100 Länder betroffen, darunter auch Deutschland.

Bewerbungsfalle für IT-Experten

Die Angreifer kontaktierten ihre Zielpersonen über soziale Netzwerke und Jobplattformen. Besonders häufig sprachen sie Webdesigner, Softwareentwickler sowie Fachleute für Blockchain, Kryptowährungen und Web3-Technologien an. Im angeblichen Bewerbungsprozess mussten die Interessenten Programmieraufgaben lösen oder technische Tests durchführen.

Die bereitgestellten Dateien enthielten jedoch Schadprogramme wie BeaverTail, InvisibleFerret oder OtterCookie. Diese liefen auf Windows- und macOS-Rechnern und ermöglichten den Tätern einen dauerhaften Zugriff auf die Geräte. So konnten Passwörter, Tastatureingaben und Daten aus Krypto-Wallets abgegriffen werden.

Millionen durch gestohlene Kryptowährungen

Nach Angaben der Ermittler wurden mehr als 7000 Krypto-Konten kompromittiert. Die Hacker sollen dabei mindestens 10,7 Millionen Dollar, umgerechnet rund 9,3 Millionen Euro, gestohlen haben. Teilweise nutzten die Täter auch KI-Technik, um bei Video-Interviews Gesichter zu manipulieren und Bewerber zu täuschen.

Das FBI veröffentlichte deshalb gemeinsam mit Sicherheitsbehörden aus Deutschland, Japan und Australien eine internationale Warnung . Experten raten dazu, fremden Programmcode niemals direkt auf dem eigenen Rechner auszuführen, sondern nur in abgeschotteten Testumgebungen. Wer eine Infektion vermutet, sollte das betroffene Gerät sofort vom Internet trennen.

Spur führt nach Nordkorea

Das FBI sieht Verbindungen der Gruppe zum nordkoreanischen 313 General Bureau of the Munitions Industry Department. Nach Einschätzung der Behörde könnten die erbeuteten Gelder zur Finanzierung von Waffenprogrammen genutzt werden. Unterstützer in Japan sollen Computer, Server und Bankkonten bereitgestellt haben. Die japanische Polizei teilte mit, das Netzwerk inzwischen zerschlagen zu haben. Zudem gehen Fachleute davon aus, dass weltweit rund 100.000 nordkoreanische IT-Arbeiter unter falscher Identität tätig sind und dem Regime jedes Jahr bis zu 500 Millionen Dollar einbringen.