Nordkorea-Hacker infizieren Entwickler-PCs mit falschen Jobangeboten

Die nordkoreanische Hackergruppe WaterPlum hat mit gefälschten Stellenangeboten weltweit mindestens 30.000 Geräte von IT-Fachleuten kompromittiert. Dabei erbeuteten die Angreifer Werte oder Zugangsdaten von mehr als 7000 Krypto-Wallets.

Der Verfassungsschutz warnt

Die Kampagne mit dem Namen "Contagious Interview" lief laut einer gemeinsamen Warnung von Behörden aus Japan, den USA, Australien und Deutschland von Dezember 2025 bis Juli 2026 und richtete sich vor allem an Softwareentwickler, Webdesigner sowie Spezialisten für Kryptowährungen, Blockchain und Web3. WaterPlum tritt dabei als vermeintlicher Arbeitgeber auf. Die Gruppe nutzt soziale Netzwerke, Jobbörsen und Plattformen für Freelancer, um Kandidaten mit attraktiven Angeboten anzusprechen.

Im weiteren Bewerbungsverfahren sollen die Opfer an virtuellen Vorstellungsgesprächen teilnehmen oder Programmieraufgaben lösen. Statt einer normalen Arbeitsprobe erhalten sie jedoch Anweisungen, eine Datei oder ein Entwicklerprojekt herunterzuladen und auszuführen. Teilweise wird die Schadsoftware als notwendige Lösung für ein angebliches Problem mit der Videokonferenz ausgegeben. Auch manipulierte Softwarepakete und Entwicklerprojekte kommen laut den Behörden zum Einsatz.


Nach erfolgreicher Infektion können die Angreifer unter anderem Browser-Passwörter, Tastatureingaben, Screenshots, Dateien und Informationen zu Krypto-Wallets auslesen. Der Zugriff kann zudem als Ausgangspunkt dienen, um in Unternehmensnetzwerke vorzudringen. Dadurch drohen neben dem unmittelbaren Diebstahl von Kryptowährungen auch der Verlust geistigen Eigentums und Spionage.

Vorsicht bei Job-Offerten

Die Ermittler sehen außerdem Verbindungen zwischen WaterPlum und einem weiteren nordkoreanischen Modell: IT-Fachkräfte aus dem Land arbeiten demnach unter Umgehung von Sanktionen mit falschen Identitäten für internationale Unternehmen. Bei den Untersuchungen wurden gemeinsame IP-Adressen festgestellt, die sowohl von WaterPlum als auch von solchen Beschäftigten genutzt wurden. Sie tauchten unter anderem bei Laptop-Farmen auf, mit denen der tatsächliche Standort von Arbeitskräften verschleiert wird.

Die beteiligten Behörden warnen Unternehmen und IT-Fachleute deshalb vor Bewerbungsprozessen, bei denen unbekannte Dateien oder Projekte ausgeführt werden sollen. Sie empfehlen, Warnungen von Sicherheitsbehörden und Herstellern zu verfolgen und Zugriffsrechte sowie die Verarbeitung sensibler Daten bei externen IT-Kräften möglichst zu begrenzen.

Siehe auch: