Fuente: FBI

WaterPlum forma parte de un ecosistema más amplio de actores de amenazas norcoreanos que llevan a cabo ataques motivados financieramente para generar ingresos para el régimen y ayudar a financiar sus programas de armamento.

"Los actores de WaterPlum han infectado al menos 30.000 dispositivos en más de 100 países y han exfiltrado fondos o credenciales de cuenta de más de 7.000 carteras de criptomonedas", dice el aviso [aviso].

"Los actores de WaterPlum han transferido 1.700 millones de yenes japoneses (JPY) (equivalentes a 10,71 millones de USD) en activos de criptomonedas a la República Popular Democrática de Corea (RPDC)".

El aviso vincula varias familias de malware con las operaciones de WaterPlum, incluyendo:

1. BeaverTail: malware de JavaScript oculto en paquetes npm.
2. InvisibleFerret: puerta trasera basada en Python.
3. OtterCookie: troyano de acceso remoto de JavaScript y robador de información.
4. OtterCandy: malware que combina capacidades de OtterCookie y RAT.
5. StoatWaffle: malware modular de Node.js entregado a través de proyectos maliciosos de Visual Studio Code, utilizando archivos de configuración que ejecutan código después de que se abre y confía en una carpeta.

Una vez que un objetivo se ve comprometido, los atacantes intentan robar credenciales del navegador, contenidos del portapapeles, pulsaciones de teclas, claves privadas de criptomonedas y frases semilla, además de capturar capturas de pantalla.

También pueden utilizar el acceso a los ordenadores infectados para saltar a las redes de sus empleadores o clientes, expandiendo los ataques al robo de propiedad intelectual y el espionaje.

Las agencias también conectan directamente a WaterPlum con las operaciones fraudulentas de trabajadores de TI de Corea del Norte, afirmando que algunos hackers de WaterPlum también trabajan como trabajadores remotos de TI realizando desarrollo web para clientes y que ambos grupos han utilizado las mismas direcciones IP.

El aviso también advierte que los trabajadores de TI norcoreanos reutilizan documentos de identidad robados en los ataques de WaterPlum para suplantar a las víctimas y obtener empleos.

Los investigadores también descubrieron que los actores de WaterPlum utilizan software de intercambio de rostros por IA durante las entrevistas en línea, luego apagan sus cámaras y culpan a problemas de red.