การโจมตีของกลุ่มแฮกเกอร์ WaterPlum
กลุ่มแฮกเกอร์ที่เชื่อมโยงกับเกาหลีเหนือ ซึ่งมีชื่อว่า WaterPlum ได้ทำการโจมตีอุปกรณ์มากกว่า 30,000 เครื่อง ในกว่า 100 ประเทศ และภูมิภาค โดยขโมยข้อมูลจากกระเป๋าเงินคริปโตมากกว่า 7,000 รายการ ขณะเดียวกันก็ได้ทำการโจมตีผู้พัฒนาผ่านแคมเปญการสรรหางานปลอม หน่วยงานตำรวจแห่งชาติญี่ปุ่นได้กล่าวเมื่อวันที่ 18 กันยายนว่า การสอบสวนที่ดำเนินการร่วมกับสำนักงานความมั่นคงไซเบอร์แห่งชาติ, FBI, ศูนย์อาชญากรรมไซเบอร์ของกระทรวงกลาโหมสหรัฐฯ และหน่วยงานในออสเตรเลียและเยอรมนี ได้เปิดเผยวิธีการโจมตีของกลุ่มนี้และความเชื่อมโยงกับพนักงานด้าน IT ของเกาหลีเหนือ
วิธีการโจมตีและเป้าหมาย
หน่วยงานญี่ปุ่นและสหรัฐฯ ประเมินว่า WaterPlum ซึ่งเกี่ยวข้องกับกิจกรรมที่เป็นภัยคุกคามที่รู้จักกันในชื่อว่า Contagious Interview และพนักงาน IT ของเกาหลีเหนือบางคนดำเนินการภายใต้สำนัก 313 ของกรมอุตสาหกรรมกระสุนของพรรคแรงงานเกาหลี ผู้สอบสวนพบว่าอุปกรณ์มากกว่า 30,000 เครื่องน่าจะถูกติดเชื้อระหว่างเดือนธันวาคม 2025 ถึงกรกฎาคม 2026 ผู้เสียหายกระจายอยู่ในกว่า 100 ประเทศและภูมิภาค รวมถึงญี่ปุ่น โดยมีนักออกแบบเว็บไซต์ วิศวกร และผู้ที่ทำงานในด้านคริปโต บล็อกเชน และ Web3 เป็นกลุ่มเป้าหมายหลัก ข้อมูลกระเป๋าเงินคริปโตมากกว่า 7,000 รายการถูกขโมยในระหว่างการติดเชื้อ ขณะที่กระเป๋าเงินที่ควบคุมโดย WaterPlum ได้รับเงินอย่างน้อย 1.7 พันล้านเยน ซึ่งเท่ากับประมาณ 10.7 ล้านดอลลาร์ ตามอัตราแลกเปลี่ยนที่หน่วยงานญี่ปุ่นใช้
กลยุทธ์การสรรหางาน
กระทรวงการต่างประเทศญี่ปุ่นยืนยันแยกต่างหากว่า หน่วยงานจากญี่ปุ่น สหรัฐอเมริกา ออสเตรเลีย และเยอรมนีได้เปิดเผยกลยุทธ์ของ WaterPlum และกิจกรรมของพนักงาน IT ของเกาหลีเหนือที่เกี่ยวข้องกับการสร้างรายได้จากสกุลเงินต่างประเทศและแผนการสรรหา WaterPlum ได้เข้าหานักพัฒนาซอฟต์แวร์และพนักงาน IT อื่น ๆ ผ่านโซเชียลมีเดีย เว็บไซต์หางานออนไลน์ แพลตฟอร์มงานชั่วคราว และตลาดฟรีแลนซ์ ตามรายงานของตำรวจญี่ปุ่น ผู้โจมตีได้แอบอ้างเป็นบริษัทที่ถูกต้องตามกฎหมายในด้านปัญญาประดิษฐ์ คริปโต และ NFT หรือบริการสรรหางานก่อนที่จะนำเสนอโอกาสงานที่ดูน่าสนใจให้กับผู้สมัคร
การใช้มัลแวร์ในการโจมตี
ในระหว่างการสัมภาษณ์ทางเทคนิคหรือการทดสอบการเขียนโค้ด ผู้สมัครถูกสั่งให้ดาวน์โหลดโปรแกรมที่เป็นอันตรายซึ่งโฮสต์อยู่บนแพลตฟอร์มการพัฒนาร่วมและที่เก็บโค้ด
กลุ่มนี้ได้วางมัลแวร์รวมถึง BeaverTail, InvisibleFerret, OtterCookie, OtterCandy และ StoatWaffle ไว้ในแพ็คเกจ NPM ที่เป็นอันตราย เมื่ออุปกรณ์ถูกโจมตี ผู้โจมตีสามารถสร้างประตูหลังและใช้เครื่องมือเข้าถึงระยะไกลเพื่อรักษาการเข้าถึงและเคลื่อนที่ผ่านระบบที่ได้รับผลกระทบ
ข้อมูลที่ถูกขโมย
มัลแวร์ที่ขโมยข้อมูลถูกใช้เพื่อดึงข้อมูลที่เป็นความลับและคริปโต ข้อมูลที่ถูกขโมยรวมถึงข้อมูลประจำตัวของเบราว์เซอร์ การกดแป้นพิมพ์ ภาพหน้าจอ และข้อมูลคลิปบอร์ด คีย์ส่วนตัวและวลีเมล็ดพันธุ์สำหรับกระเป๋าเงินคริปโตเป็นหนึ่งในข้อมูลที่ถูกโจมตี รวมถึงเอกสารประจำตัวเช่นหนังสือเดินทางและใบขับขี่ที่เก็บไว้ในคอมพิวเตอร์ที่ได้รับผลกระทบหรือโฟลเดอร์ที่แชร์
การดำเนินการของหน่วยงาน
นักวิจัยด้านความปลอดภัยได้บันทึกวิธีการสรรหาที่คล้ายกันในอุตสาหกรรมคริปโต ตามที่ crypto.news รายงานก่อนหน้านี้ นักพัฒนาที่เชื่อมโยงกับเกาหลีเหนือได้ทำงานในโครงการ DeFi มากกว่า 40 โครงการ ในช่วงเจ็ดปีที่ผ่านมา ตามที่ Taylor Monahan นักพัฒนาและนักวิจัยด้านความปลอดภัยของ MetaMask กล่าว ผู้สอบสวนได้อธิบายการโพสต์งาน อีเมล ข้อความ LinkedIn การโทร Zoom และกระบวนการสัมภาษณ์ว่าเป็นเส้นทางที่เกิดขึ้นซ้ำ ๆ ที่ใช้ในการเข้าหาเป้าหมาย
การจับกุมและการดำเนินคดี
หน่วยงานสหรัฐฯ ได้ติดตามผลประโยชน์จากแผนการจ้างงานผ่านคดีการริบคริปโตเช่นกัน ผู้พิพากษาของรัฐบาลกลางในเดือนกันยายนได้สั่งให้ริบเงินประมาณ 212,700 ดอลลาร์ ใน USDC และ USDT ที่ติดตามไปยังที่อยู่การชำระเงินที่ใช้โดยพนักงาน IT ของเกาหลีเหนือ ซึ่งเป็นส่วนหนึ่งของความพยายามของกระทรวงยุติธรรมที่เกี่ยวข้องกับสินทรัพย์ดิจิทัลมากกว่า 7.74 ล้านดอลลาร์ อัยการกล่าวว่ากระเป๋าเงินที่ถูกริบได้รับ USDC ประมาณ 158,123 จากอย่างน้อย 10 ที่อยู่ที่ใช้ในการจ่ายเงินให้กับพนักงาน และ 54,574 USDT จากอย่างน้อยสี่ที่อยู่การชำระเงินอื่น ๆ
ข้อเสนอแนะสำหรับบริษัท
หน่วยงานตำรวจแห่งชาติและ FBI ประเมินว่าสำนัก 313 มีบทบาทสำคัญในทั้งการโจมตีทางไซเบอร์ของ WaterPlum และบางส่วนของการดำเนินการสร้างรายได้จากสกุลเงินต่างประเทศที่ดำเนินการโดยพนักงาน IT ของเกาหลีเหนือ หน่วยงานญี่ปุ่นแนะนำให้บริษัทต่าง ๆ ตรวจสอบสถานที่ที่ผู้สมัครอ้างว่าอยู่ คุณสมบัติ และข้อมูลติดต่อ โดยเฉพาะเมื่อผู้สมัครยืนยันที่จะทำงานจากระยะไกลหรือรับเงินเดือนเป็นคริปโต นายจ้างถูกกระตุ้นให้ตรวจสอบทักษะทางเทคนิคในระหว่างการสัมภาษณ์และตรวจสอบกรณีที่ที่อยู่ที่ระบุของผู้สมัครไม่ตรงกับที่อยู่ IP ที่ใช้ในการส่งใบสมัคร
