El grupo ataca "infiltrándose en las redes informáticas de personas que buscan empleo, extrayendo información confidencial y robando criptomonedas. La empresa está estafando a profesionales informáticos en Japón, Estados Unidos, Europa y otros países", dijo la Agencia Nacional de Policía de Japón en un comunicado conjunto con las autoridades estadounidenses, alemanas y australianas.

Según el comunicado, los 'hackers' han infectado hasta 30.000 dispositivos en más de 100 países y extraído fondos o credenciales de 7.000 carteras de criptomonedas. En total, han logrado transferir a Corea del Norte 1.700 millones de yenes (unos 9,4 millones de euros).

El grupo publica ofertas de trabajo falsas en redes sociales o plataformas de búsqueda de empleo, muchas veces haciéndose pasar por empresas reales del sector de la inteligencia artificial (IA) o las criptomonedas, y después pide a los candidatos completar una serie de tareas de programación.

"Durante las entrevistas, los actores de 'WaterPlum' instruyen a los solicitantes de empleo para que descarguen y ejecuten archivos maliciosos, alojados en múltiples plataformas de desarrollo de software de colaboración en línea y repositorios de código, para completar una tarea de programación o solucionar un error en la plataforma de videoconferencia en línea", detallaron las autoridades.

Según la Policía de Japón, los 'hackers' utilizan programas maliciosos como BeaverTail, InvisibleFerret, OtterCookie, OtterCandy, o StoatWaffle para lograr acceso a sus sistemas y robar datos sensibles o criptomonedas.

Las víctimas más comunes del grupo son diseñadores web, ingenieros y especialistas en criptomonedas o cadena de bloques.

Además, los 'hackers' se sirven de colaboradores en países como Japón para enmascarar sus actividades, por ejemplo ofreciendo sus sistemas informáticos para que los agentes puedan operar en remoto desde Corea del Norte, Rusia o China, donde generalmente se encuentran.

Para evitar este tipo de incidentes, las autoridades recomiendan a los trabajadores informáticos que no ejecuten códigos de terceros en equipos donde se alojan datos personales o criptomonedas.

"Tenga especial cuidado con los comandos o 'scripts' que contengan cadenas como "curl", "base64", "-enc", "mshta", "lnvoke -WebRequest-uri", "iwr-uri" o "hidden". Evite ejecutar estos 'scripts' a menos que comprenda completamente su funcionamiento", detallaron las agencias.

Corea del Norte, sometido a sanciones internacionales por su programa nuclear y de misiles, emplea frecuentemente a cibercriminales para financiar sus actividades.