Hackergruppe WaterPlum: 30.000 Entwickler weltweit infiziert

In einer konzertierten Aktion haben internationale Sicherheitsbehörden, darunter das Bundesamt für Verfassungsschutz (BfV), der Bundesnachrichtendienst (BND), das US-amerikanische FBI sowie die japanische Polizeibehörde NPA, eine dringende Warnung vor der nordkoreanischen Cybergruppe WaterPlum veröffentlicht.

Wie aus Behördenberichten vom 18. September 2026 hervorgeht, zielt die Kampagne gezielt auf IT-Entwickler ab, um Kryptowerte zu entwenden und Unternehmensnetzwerke zu kompromittieren.

Gezielte Täuschung durch gefälschte Bewerbungsprozesse

Die Angreifer geben sich laut den Ermittlungen als Vertreter von Unternehmen aus den Bereichen Künstliche Intelligenz, Kryptowährungen oder Non-Fungible Tokens (NFT) aus. Über soziale Netzwerke und berufliche Plattformen nehmen sie Kontakt zu IT-Spezialisten auf und laden diese zu vermeintlichen Vorstellungsgesprächen ein.

Um eine professionelle Fassade zu wahren, setzt die Gruppe Social-Engineering-Techniken und KI-gestützte Face-Swap-Technologien ein, um in Video-Calls die Identität glaubwürdiger Gesprächspartner vorzutäuschen.

Im Rahmen dieser vorgetäuschten Bewerbungsverfahren werden die Entwickler dazu aufgefordert, Coding-Tests zu absolvieren oder Softwarepakete herunterzuladen. Dabei kommen unter anderem bösartige npm-Pakete zum Einsatz. Ziel dieser Maßnahmen ist die Infektion der lokalen Entwicklerrechner mit Schadsoftware, um Browser-Zugangsdaten und private Schlüssel von Krypto-Wallets zu entwenden.

Einsatz spezialisierter Malware-Familien und hoher finanzieller Schaden

Angriffe auf professionelle Netzwerke zeigen, wie gezielt Kriminelle psychologische Schwachstellen ausnutzen, um Schadsoftware zu verbreiten. Dieser kostenlose Report enthüllt die aktuellen Methoden der Cyberkriminellen und zeigt, wie man Manipulationstaktiken frühzeitig entlarvt. Anti-Phishing-Paket für Unternehmen jetzt gratis herunterladen

Neuere Erkenntnisse der beteiligten Behörden identifizieren insgesamt fünf spezifische Malware-Familien, die im Rahmen der WaterPlum-Kampagne genutzt werden. Dazu gehören die Programme BeaverTail, InvisibleFerret, OtterCookie, OtterCandy und StoatWaffle.

Diese Schadprogramme ermöglichen es den Angreifern, persistente Remote Access Trojans (RATs) auf den Zielsystemen zu installieren, wodurch ein dauerhafter Fernzugriff auf die infizierten Geräte gewährleistet wird.

Der Umfang der Kampagne ist erheblich. Zwischen Dezember 2025 und Juli 2026 wurden laut vorliegenden Daten mindestens 30.000 Geräte in über 100 Ländern infiziert. Dabei gelang es den Angreifern, mehr als 7.000 Krypto-Wallets zu kompromittieren oder vollständig zu leeren.

Wer sich mit der Absicherung geschäftlicher Infrastrukturen befasst, muss heute auch neue gesetzliche Anforderungen und KI-gestützte Risiken berücksichtigen. Ein kostenloses E-Book liefert fundierte Informationen zu aktuellen Bedrohungen und zeigt, wie Sie Sicherheitslücken ohne teure Investitionen schließen. Gratis-E-Book zur Cyber Security jetzt sichern

In die von der Gruppe kontrollierten Wallets flossen demnach mindestens 10,71 Millionen US-Dollar, was einem Gegenwert von etwa 1,7 Milliarden Yen entspricht. Der durchschnittliche Verlust pro betroffener Wallet beläuft sich auf zirka 1.500 US-Dollar.

Zerschlagung einer Laptop-Farm und Empfehlungen zur Prävention

Im Zuge der Ermittlungen konnte die japanische Polizei (NPA) zudem einen operativen Erfolg verbuchen. Die Beamten identifizierten ein Remote-Work-Setup in Japan und zerschlugen die erste im Inland entdeckte sogenannte Laptop-Farm. Solche Einrichtungen dienen Cyberkriminellen oft dazu, ihre Aktivitäten zu verschleiern und eine lokale Präsenz vorzutäuschen.

Angesichts der Professionalität der Angriffe raten das FBI, die NPA und ihre internationalen Partner, zu denen auch das australische ACSC gehört, zu verschärften Sicherheitsvorkehrungen.

IT-Entwickler und Unternehmen werden dazu angehalten, Software-Tests und die Ausführung von extern bereitgestelltem Code ausschließlich in isolierten Sandbox-Umgebungen durchzuführen. Dies könne verhindern, dass Schadsoftware Zugriff auf das Hauptsystem und sensible Zugangsdaten erhält. Zudem sollten Bewerbungsprozesse, die den Download von Software erfordern, kritisch hinterfragt werden.

Mehr zum Thema bei Tom's Hardware: „North Korea used job interviews to deploy malware on 30,000 devices during coding tests — WaterPlum group …“

de | wissenschaft | 70140167 |