WaterPlum Korea Utara Menginfeksi 30.000 Perangkat di 100 Negara, Curi Kripto Rp169 Miliar

Kelompok peretas Korea Utara yang dikenal sebagai WaterPlum telah menginfeksi sedikitnya 30.000 perangkat di lebih dari 100 negara dalam kampanye siber yang berlangsung sejak Desember 2025 hingga Juli 2026.

Menurut peringatan bersama dari otoritas Jepang, Amerika Serikat, Australia, dan Jerman, aktivitas WaterPlum juga menyebabkan pencurian aset kripto dalam jumlah besar. Kelompok tersebut disebut telah mentransfer sekitar 1,7 miliar yen Jepang atau setara US$10,71 juta dalam bentuk aset kripto ke Korea Utara.

Jika dikonversikan dengan kurs sekitar Rp15.000 per dolar AS, nilainya mencapai sekitar Rp160 miliar. Angka tersebut merupakan estimasi berdasarkan nilai dolar yang disebutkan dalam advisory dan dapat berubah mengikuti nilai tukar.

Lebih dari 7.000 Dompet Kripto Menjadi Target

Dalam advisory bersama tersebut, otoritas keamanan siber menyebut WaterPlum telah menginfeksi setidaknya 30.000 perangkat di lebih dari 100 negara.

Selain itu, aktivitas kelompok tersebut dikaitkan dengan pencurian dana atau kredensial dari lebih dari 7.000 dompet cryptocurrency.

“WaterPlum actors have infected at least 30,000 devices in more than 100 countries and exfiltrated funds or account credentials from over 7,000 cryptocurrency wallets.”

WaterPlum juga disebut telah memindahkan aset kripto senilai 1,7 miliar yen Jepang ke Korea Utara.

Temuan tersebut berasal dari penyelidikan gabungan sejumlah lembaga penegak hukum, termasuk otoritas Jepang, FBI Amerika Serikat, Australian Signals Directorate, dan badan intelijen domestik Jerman.

Menargetkan Pencari Kerja Lewat Wawancara Palsu

WaterPlum dikaitkan dengan kampanye siber yang dikenal sebagai Contagious Interview.

Dalam kampanye tersebut, pelaku menyamar sebagai perusahaan AI, cryptocurrency, NFT, maupun perekrut yang menggunakan platform pencarian kerja dan freelance untuk mendekati korban.

Target utama biasanya adalah pencari kerja dan profesional di bidang teknologi.

Setelah mendapatkan perhatian korban, pelaku mengatur proses wawancara atau tes coding palsu. Korban kemudian diminta melakukan berbagai aktivitas yang tampak normal dalam proses rekrutmen, seperti mengunduh proyek, memperbaiki masalah video conference, atau menjalankan kode tertentu.

Namun, file atau kode tersebut telah dimodifikasi untuk menjalankan malware.

Metode ini membuat serangan menjadi lebih sulit dikenali karena aktivitas berbahaya disamarkan sebagai bagian dari proses perekrutan tenaga kerja.

Lima Malware Dikaitkan dengan WaterPlum

Advisory tersebut menghubungkan operasi WaterPlum dengan beberapa keluarga malware, yaitu:

BeaverTail

BeaverTail merupakan malware berbasis JavaScript yang disembunyikan di dalam paket npm berbahaya.

Malware ini digunakan sebagai salah satu komponen dalam kampanye yang menyasar developer dan pencari kerja melalui proyek pemrograman palsu.

InvisibleFerret

InvisibleFerret merupakan backdoor berbasis Python yang memberikan kemampuan akses lebih lanjut kepada pelaku setelah perangkat berhasil dikompromikan.

OtterCookie

OtterCookie adalah remote-access trojan sekaligus information stealer berbasis JavaScript.

Malware tersebut dapat digunakan untuk memperoleh informasi dari perangkat korban dan mempertahankan akses terhadap sistem yang telah terinfeksi.

OtterCandy

OtterCandy menggabungkan kemampuan OtterCookie dengan fungsi remote-access trojan.

Kombinasi tersebut memberikan kemampuan kepada pelaku untuk melakukan pengumpulan informasi sekaligus mengendalikan perangkat korban.

StoatWaffle

StoatWaffle merupakan malware modular berbasis Node.js yang didistribusikan melalui proyek Visual Studio Code berbahaya.

Salah satu teknik yang digunakan adalah memanfaatkan file konfigurasi yang dapat menjalankan kode setelah folder proyek dibuka dan dipercaya oleh pengguna.

Teknik tersebut sangat relevan terhadap developer karena proyek Visual Studio Code dapat terlihat seperti repository atau tugas pemrograman biasa.

Kredensial Browser dan Private Key Ikut Diburu

Setelah perangkat berhasil dikompromikan, operator WaterPlum berusaha memperoleh berbagai jenis informasi sensitif.

Target pencurian mencakup:

• Kredensial yang tersimpan di browser
• Isi clipboard
• Keystroke
• Private key cryptocurrency
• Seed phrase dompet kripto
• Dokumen
• Screenshot layar

Pencurian private key dan seed phrase menjadi sangat penting karena informasi tersebut dapat memberikan akses langsung terhadap aset cryptocurrency korban.

Namun, aktivitas WaterPlum tidak berhenti pada perangkat pribadi korban.

Penyerang juga dapat menggunakan komputer yang telah dikompromikan sebagai titik awal untuk masuk lebih jauh ke jaringan perusahaan atau klien korban.

Dengan cara tersebut, serangan yang awalnya menyasar seorang pencari kerja dapat berkembang menjadi pencurian intellectual property dan aktivitas espionage terhadap organisasi tempat korban bekerja.

Terhubung dengan Operasi Pekerja IT Korea Utara

Salah satu temuan menarik dari penyelidikan adalah adanya hubungan antara WaterPlum dan operasi pekerja IT Korea Utara yang menyamar sebagai tenaga kerja remote.

Otoritas menyatakan bahwa sebagian operator WaterPlum juga bekerja sebagai tenaga IT jarak jauh untuk klien, termasuk melakukan pekerjaan web development.

Penyelidik menemukan adanya penggunaan alamat IP yang sama antara aktivitas WaterPlum dan beberapa operasi pekerja IT Korea Utara.

Lebih jauh lagi, identitas yang dicuri melalui operasi WaterPlum disebut dapat digunakan kembali oleh pekerja IT Korea Utara untuk menyamar sebagai korban dan mendapatkan pekerjaan.

Artinya, pencurian data identitas dalam kampanye malware tidak hanya digunakan untuk pencurian finansial, tetapi juga berpotensi mendukung operasi infiltrasi tenaga kerja.

AI Face-Swapping Digunakan Saat Wawancara

Teknik lain yang diungkap dalam advisory adalah penggunaan software AI face-swapping ketika melakukan wawancara kerja secara online.

Dengan teknologi tersebut, operator dapat menampilkan wajah palsu selama sesi video interview agar terlihat seperti kandidat yang identitasnya digunakan.

Setelah wawancara berlangsung, pelaku kemudian dapat mematikan kamera dan memberikan alasan berupa masalah koneksi jaringan.

Teknik ini menjadi bagian dari metode yang digunakan untuk menyamarkan identitas asli pekerja IT Korea Utara.

Diduga Beroperasi di Bawah Biro Militer Korea Utara

FBI dan kepolisian Jepang menilai WaterPlum serta sebagian pekerja IT Korea Utara beroperasi di bawah 313 General Bureau.

Biro tersebut merupakan bagian dari Munitions Industry Department Korea Utara yang berkaitan dengan penelitian dan produksi persenjataan negara tersebut.

Temuan ini menunjukkan bahwa operasi yang tampak seperti penipuan rekrutmen atau pencurian cryptocurrency dapat menjadi bagian dari ekosistem operasi siber Korea Utara yang lebih luas.

Jepang Bongkar Laptop Farm Korea Utara

Jepang juga mengungkap bahwa aparatnya untuk pertama kali berhasil mengidentifikasi, menyelidiki, dan membongkar apa yang disebut sebagai laptop farm pekerja IT Korea Utara di negara tersebut.

Dalam penyelidikan tersebut, ditemukan bukti bahwa dana senilai ratusan juta yen telah ditransfer ke luar negeri.

Laptop farm memungkinkan operator di luar negeri menggunakan perangkat yang berada di negara target sehingga aktivitas pekerjaan remote mereka terlihat berasal dari lokasi yang sah.

Teknik seperti ini dapat membantu pekerja IT palsu melewati pemeriksaan lokasi dan identitas yang dilakukan perusahaan.

Otoritas Minta Perusahaan Memperketat Verifikasi

Otoritas keamanan siber yang menerbitkan advisory merekomendasikan perusahaan untuk memperketat proses verifikasi terhadap kandidat maupun pekerja remote.

Perusahaan disarankan memastikan identitas, lokasi, dan kualifikasi kandidat sebelum memberikan akses terhadap sistem internal.

Hak akses juga sebaiknya dibatasi hanya pada sistem dan data yang benar-benar dibutuhkan untuk menjalankan pekerjaan.

Untuk developer, otoritas memperingatkan agar tidak menjalankan kode yang tidak dikenal secara langsung di perangkat utama.

Kode atau proyek yang diberikan oleh pihak lain sebaiknya diperiksa terlebih dahulu dan, bila memungkinkan, dijalankan di lingkungan sandbox.

Developer juga perlu memeriksa file konfigurasi dan source code untuk mencari perintah yang dapat mengambil atau menjalankan payload tambahan dari internet.

Serangan Menggabungkan Malware, Rekrutmen Palsu, dan AI

Kasus WaterPlum memperlihatkan bagaimana operasi siber modern dapat menggabungkan beberapa metode sekaligus.

Serangan tidak selalu dimulai dengan phishing tradisional. Pelaku dapat terlebih dahulu membangun komunikasi melalui proses rekrutmen yang terlihat sah, memberikan tes coding, mengirim proyek pemrograman, kemudian memanfaatkan kepercayaan korban untuk menjalankan malware.

Setelah perangkat berhasil dikuasai, penyerang dapat mencuri kredensial, cryptocurrency, dokumen dan informasi lainnya. Dalam kasus tertentu, akses tersebut juga dapat menjadi pintu masuk menuju jaringan perusahaan.

Di sisi lain, penggunaan AI face-swapping dalam wawancara menunjukkan bahwa teknologi generatif dapat digunakan untuk membantu menyamarkan identitas operator.

Dengan sedikitnya 30.000 perangkat yang telah terinfeksi dan lebih dari 7.000 dompet cryptocurrency yang terdampak, kampanye WaterPlum menunjukkan bahwa ancaman yang menyamar sebagai proses rekrutmen dapat memiliki konsekuensi jauh lebih besar daripada sekadar penipuan terhadap pencari kerja.

Sumber: FBI, Japan National Police Agency, Australian Signals Directorate, German Federal Office for the Protection of the Constitution