Die Sicherheitsbehörden aus den USA, Japan, Australien und Deutschland warnen gemeinsam vor der nordkoreanischen Hackergruppe Waterplum, die sich bei Bewerbungsgesprächen als KI-Unternehmen ausgibt. Laut der am 18. September veröffentlichten Warnung infizierte die Gruppe seit Dezember 2025 mindestens 30.000 Computer in über 100 Ländern und erbeutete Kryptowährung im Wert von knapp elf Millionen Dollar.
Gefälschte Jobinterviews verbreiten Schadsoftware
Waterplum – auch als Contagious Interview bekannt – sucht Opfer gezielt über soziale Netzwerke, Jobbörsen und Freelancer-Plattformen. Die Täter geben sich dabei laut der gemeinsamen Warnung von FBI, japanischer Polizei, dem australischen ASD sowie Bundesnachrichtendienst und Verfassungsschutz als Personalvermittler von KI-, Krypto- oder NFT-Firmen aus. Im Bewerbungsprozess sollen Kandidaten eine technische Aufgabe lösen oder einen angeblichen Fehler in einer Videokonferenz-Software beheben. Dafür laden sie eine präparierte Datei herunter, die als Teil der Programmieraufgabe getarnt ist.
Die Schaddateien stecken in manipulierten Node-Package-Manager-Paketen und enthalten Schadprogramme wie BeaverTail, InvisibleFerret, OtterCookie, OtterCandy oder StoatWaffle. Verbreitet werden die Pakete auch über GitHub und Bitbucket, wo sie sich als harmlose Entwicklerwerkzeuge tarnen. Sobald die Hintertür aktiv ist, installieren die Angreifer Fernzugriffs-Trojaner und Infostealer, die Zugangsdaten, Zwischenablage-Inhalte, Tastatureingaben und vor allem Kryptowährungs-Wallets abgreifen. Betroffen sind vor allem einzelne Webentwickler sowie Fachleute für Blockchain- und Web3-Technologien. Über 7.000 Kryptowallets haben die Täter nach Behördenangaben zwischen Dezember 2025 und Juli 2026 bereits geplündert.
Nordkoreanische IT-Kräfte betreiben Laptop-Farmen im Ausland
Ein Teil der Waterplum-Mitglieder arbeitet parallel als regulär angestellte IT-Kraft für ausländische Auftraggeber – unter falscher Identität. Ermöglicht wird das durch sogenannte Laptop-Farmen: Firmenrechner stehen dabei in Wohnungen einheimischer Helfer, die den Zugriff aus Nordkorea, China oder Russland technisch verschleiern. Die Helfer erhalten Gehaltszahlungen auf eigene Konten und leiten das Geld weiter, während gestohlene Ausweisbilder zur Identitätstäuschung dienen.
Japan meldet den nach eigenen Angaben ersten erfolgreich ausgehobenen Fall einer solchen Laptop-Farm. Die japanische Polizei stellte dabei den Transfer mehrerer Hundert Millionen Yen in Kryptowährung fest, wie das japanische Außenministerium mitteilt. In den USA verfolgt das FBI parallel Komplizen, die nordkoreanischen IT-Kräften bei der Tarnung helfen. Einzelne Vorfälle gingen über reine Einnahmenbeschaffung hinaus. In einem Fall erpresste ein untergeschobener IT-Mitarbeiter seinen Auftraggeber und veröffentlichte dessen Quellcode. In einem anderen Fall legte er nach einer Kündigung die Firmenwebsite lahm. Die Ermittler fanden zudem identische IP-Adressen bei Waterplum-Angriffen und Bewerbungen der IT-Kräfte – ein Beleg für die enge Verzahnung beider Aktivitäten.
Behörden nennen konkrete Warnsignale für Personaler
Der Bericht listet Auffälligkeiten, die schon im Bewerbungsgespräch erkennbar sein können:
- Bewerber weichen persönlichen Treffen aus.
- Sie bestehen auf Bezahlung in Kryptowährung.
- Sie blicken im Videocall wiederholt auf einen zweiten Bildschirm.
- Bild oder Ton frieren auffällig oft ein.
Bei einer japanischen Kryptobörse passten Lebenslauf und Sprachkenntnisse eines Bewerbers erkennbar nicht zusammen; das Unternehmen lehnte ihn ab, bevor Schaden entstand. Ähnliche Muster zeigte bereits die nordkoreanische Gruppe Kimsuky, die für Phishing-Kampagnen eine eigene Offline-KI-Umgebung betreibt.
Für IT-Fachkräfte selbst empfehlen die Behörden, Code von unbekannten Auftraggebern nicht ungeprüft auszuführen, sondern zunächst in einer Sandbox oder virtuellen Maschine zu testen. VS-Code-Projekte aus unklarer Quelle sollten nur im eingeschränkten Modus geöffnet werden, der automatische Skriptausführung blockiert. Unternehmen raten die Ermittler zusätzlich zum Einsatz von Endpoint-Detection-and-Response-Software. Bei Verdacht auf eine bereits erfolgte Infektion soll das betroffene Gerät sofort vom Internet getrennt und ein neues Krypto-Wallet auf einem separaten Gerät angelegt werden.
Entscheidend wird, ob Unternehmen ihre Einstellungsprozesse technisch absichern, denn die genannten Warnsignale lassen sich mit einfachen Prüfschritten erkennen, bevor eine Bewerbung überhaupt zum Videocall führt. Offen bleibt, wie stark Deutschland und andere europäische Länder bereits betroffen sind. Der aktuelle Bericht dokumentiert konkrete Fälle vor allem aus Japan und den USA. Dass Bundesnachrichtendienst und Verfassungsschutz erstmals als Mitunterzeichner auftreten, deutet aber darauf hin, dass sich Waterplum auch nach Europa ausbreitet.
