Kuzey Kore Hackersı WaterPlum, 100 Ülkede 30.000 Cihaza Saldırdı ve 10,7 Milyon Dolar Çaldı

Kuzey Kore kökenli siber saldırılarla uğraşan WaterPlum adlı hacker grubu, en az 30.000 cihaza ulaşıp bunları kendi kontrolüne aldı ve çaldığı kripto para birimleriyle yaklaşık 10,7 milyon dolar değerinde fonu doğrudan Kuzey Kore’ye aktardı. Bu saldırıların detaylarını Japonya, Amerika Birleşik Devletleri, Avustralya ve Almanya’daki yargı ve istihbarat kurumlarının ortak bir uyarı bildirisiyle paylaştığı öğrenildi.

WaterPlum, aralarında FBI, Savunma Bakanlığı Siber Suç Merkezi, Japonya Ulusal Polis Ajansı ve Almanya Federal İstihbarat Servisi bulunan kurumların ortak değerlendirmesine göre, Kuzey Kore’nin 313 Genel Bürosu altında faaliyet gösteriyor. Bu büro da İşçi Partisi’nin Silah Sanayi Dairesi’ne bağlı birim. Kampanya Aralık 2025 ile Temmuz 2026 arasında sürdü ve yazılım geliştiriciler, web tasarımcıları ile kripto para, blokzincir ve Web3 teknolojilerinde uzmanlaşmış kişileri hedef aldı.

Saldırının toplam değeri bildiride 1,7 milyar Japon yenine, yani yaklaşık 10,71 milyon dolara konuldu. Bu rakam, güncel kurla yaklaşık 523 milyon liraya denk geliyor. Grubun üyeleri, sosyal medya platformlarında, çevrimiçi iş ilan sitelerinde, gig-economy platformlarında ve serbest çalışan pazar yerlerinde potansiyel işverenler gibi görünüyorlardı. Yapay teknik mülakatlar veya kodlama görevleri sırasında hedeflere, yazılım geliştirme platformlarında ve kod depolarında barındırılan zararlı dosyaları indirmelerini istiyorlardı.

Dosyalar yüklendikten sonra malware, saldırıya uğrayanların cihazlarına arka kapı erişimi sağladı ve tarayıcı şifreleri, kripto cüzdanı kimlik bilgileri, klavye girişleri, ekran görüntüleri ve kimlik belgelerini çaldı. Grubun 7.000’den fazla kripto cüzdanından fonları aktardığı veya hesap kimlik bilgilerini ele geçirdiği tespit edildi.

Yalan İşe Alım Arayüzü Arka Sıraya İtiyor

Grubun üyeleri, hedeflere teknik bir işe alım süreci izlenimi vererek güven kazanıyorlardı. Gerçek bir mülakat veya kodlama görevi adı altında sağlanan bağlantılar üzerinden zararlı yazılımlar cihazlara yerleştiriliyordu. Bu dosyalar yüklendiğinde saldırıcılar, mağdurların cihazlarına sınırsız erişim elde edebiliyordu. Bildiride, WaterPlum’a ait BeaverTail, InvisibleFerret, OtterCookie, OtterCandy ve StoatWaffle olmak üzere birkaç malware aracına da yer verildi.

Yalnızca kişisel bilgiler çalınmakla kalmıyor; siber saldırıya uğrayan bir cihaz, saldırıcıların hedeflerin çalıştığı daha geniş kurumsal ağlara ulaşabileceği bir başlangıç noktası da olabiliyor. Bu durum telif hakkı sahipliği çalınmasına ve casusluğa zemin hazırlayabiliyor.

Ortak Uyarı Bildirisi

İki Operasyon Aynı Adreste

Kurumlar, WaterPlum’u Kuzey Kore’nin sahte IT çalışanı programıyla doğrudan ilişkilendirdi. İki operasyonun da üst üste binen IP adreslerine sahip olduğu belirlendi. Bildiride, bazı WaterPlum üyelerinin aynı anda müşteriler için web geliştirme hizmeti verirken siber saldırılar gerçekleştirdiği vurgulandı. Kuzey Koreli IT çalışanları, WaterPlum siber saldırılarında elde edilen kişisel kimlik bilgilerini geri dönüştürerek, iş başvurularında orijinal mağdurlar gibi görünüyorlardı.

Japonya Ulusal Polis Ajansı, bu operasyonun, yerel yetkililerin bir Kuzey Kore “laptop çiftliği”ni tespit edip kapatmasının ilk kez gerçekleştiği bir olay olduğunu açıkladı. “Laptop çiftliği”, bilgisayarların kurulduğu ve uzaktan Kuzey Koreli çalışanlar tarafından kontrol edilen bir yer anlamına geliyor. Soruşturma sırasında ülkeden yüzlerce milyon yen değerinde fonun aktarıldığını gösteren kayıtlar ortaya çıktı.