Le Japon et le FBI dévoilent "WaterPlum", un groupe nord-coréen qui piège des développeurs via de fausses offres d'emploi pour voler des cryptos

Le 18 septembre, l'Agence nationale de police japonaise (NPA) et le Federal Bureau of Investigation (FBI) ont publié une alerte conjointe sur les activités d'un groupe de pirates nord-coréens baptisé WaterPlum, également connu sous le nom "Contagious Interview". Selon les autorités, le groupe se fait passer depuis longtemps pour des recruteurs ou des entreprises crypto afin d'amener des développeurs à exécuter du code malveillant sous couvert de tests techniques ou de collaboration sur un projet. Entre décembre 2025 et juillet 2026, WaterPlum aurait compromis plus de 30'000 appareils dans plus de 100 pays. Les enquêteurs attribuent au groupe le transfert de fonds ou le vol d'identifiants liés à plus de 7'000 portefeuilles de cryptomonnaies, pour un montant d'au moins 10,71 millions de dollars d'actifs crypto. Les autorités soulignent un changement de cible: au-delà des plateformes d'échange et des grandes institutions, les attaques visent désormais davantage des développeurs individuels, freelances et professionnels du Web3. Au-delà du vol direct de fonds, les postes de travail infectés servent de point d'entrée pour pénétrer l'entreprise des victimes grâce aux accès et identités stockés sur leurs machines. Les risques évoqués vont de la fuite de secrets industriels à l'extorsion, voire à l'usurpation d'identité pour déposer d'autres candidatures. Une attaque qui commence par une "offre à très haut salaire" Le vecteur initial le plus fréquent n'est pas un e-mail d'hameçonnage, mais une opportunité d'emploi crédible en apparence. Les attaquants se présentent comme des sociétés d'IA, de crypto ou de NFT et contactent des développeurs via les réseaux sociaux, les sites d'emploi, les plateformes de missions et les marketplaces freelance. Après un premier échange, ils organisent souvent un entretien vidéo en ligne ou demandent un test de programmation. L'infection se produit pendant l"évaluation technique". Les candidats reçoivent un dépôt de code à exécuter en local, avec une demande de correction de bugs, de tests, ou même de dépannage d'un outil de visioconférence. Les projets semblent être des environnements JavaScript, Python ou VS Code ordinaires, mais intègrent du code malveillant. Les autorités indiquent que WaterPlum s'appuie fréquemment sur des paquets NPM (Node.js package manager) compromis, associés à plusieurs familles de malwares dont BeaverTail, InvisibleFerret, OtterCookie, OtterCandy et StoatWaffle. Certains projets abusent du fichier de configuration .vscode/tasks.json pour exécuter automatiquement du code dès l'ouverture du dossier dans VS Code et l'octroi de la confiance par l'utilisateur. Pour la victime, l'enchaînement paraît banal: téléchargement, ouverture, exécution à la demande de l"intervieweur", pendant que le malware s'installe discrètement. Une fois l'accès initial obtenu, les attaquants déploient des chevaux de Troie d'accès à distance pour conserver le contrôle sur la durée et utilisent des outils de vol d'informations. Les principales données recherchées incluent: - identifiants et mots de passe enregistrés dans le navigateur; - contenu du presse-papiers, saisies clavier et captures d'écran; - clés privées, phrases de récupération (seed/mnemonic) et données associées aux portefeuilles crypto; - fichiers locaux et dossiers partagés; - photos de documents d'identité (permis de conduire, passeport). Ces informations sont ensuite exfiltrées vers un serveur contrôlé par les attaquants. Les autorités avertissent qu'un portefeuille peut être vidé même si aucun actif n'y figure au moment de l'infection: dès lors que la clé privée ou la phrase mnémonique est compromise, l'adresse peut être surveillée sur le long terme et les fonds transférés dès qu'ils arrivent. Le risque dépasse largement le portefeuille personnel. Les développeurs disposent souvent d'accès à des dépôts de code, des services cloud et des systèmes internes. En exploitant des identifiants et des permissions déjà présentes sur l'appareil, WaterPlum peut infiltrer les environnements de l'employeur, de clients ou de partenaires, étendre sa présence dans le réseau, voler des données sensibles et monnayer ces informations par l'extorsion. Des "hubs" de télétravail cachés dans des logements à l'étranger Les permis de conduire, passeports et autres pièces d'identité dérobés ont une seconde utilité: ils seraient transmis à des informaticiens nord-coréens qui se font passer pour les victimes afin de candidater à des postes à l'international et générer des revenus en devises. D'après la NPA et le FBI, WaterPlum diffuse surtout les malwares via de fausses offres d'emploi, tandis que ces informaticiens opèrent comme des développeurs basés à l'étranger; les deux écosystèmes partageraient en partie personnels et infrastructures. Les autorités estiment que des membres de WaterPlum et certains informaticiens nord-coréens sont affiliés au 313th Bureau du Military Industry Department, rattaché au Comité central du Parti du travail de Corée. Pour contourner les contrôles d'identité et de localisation imposés par les entreprises, ces opérateurs s'appuient sur des intermédiaires à l'étranger. Ces derniers installent des ordinateurs de travail dans des résidences locales, fournissent des informations d'identité, perçoivent les salaires, tandis que le travail est réalisé à distance depuis la Corée du Nord, la Russie et d'autres zones. Le dispositif permet de se connecter aux systèmes d'entreprise via des machines et réseaux situés au Japon ou aux États-Unis, donnant l'illusion d'une présence locale. Les auxiliaires reçoivent aussi les ordinateurs fournis par l'employeur, mettent à disposition des pièces d'identité et des comptes bancaires, puis transfèrent les salaires aux opérateurs. La NPA précise qu'il s'agit de la première découverte de ce type de structure au Japon. L'enquête indique que les personnes impliquées ont non seulement aidé à masquer identité et lieu de travail, mais aussi transféré à l'étranger des fonds totalisant des dizaines de millions de yens, y compris en cryptomonnaies. L'avis rappelle que fournir du travail, effectuer des paiements à des informaticiens nord-coréens, ou les assister via des informations d'identité, des comptes bancaires ou des dispositifs d'accès à distance peut enfreindre le droit local et violer les sanctions visant la Corée du Nord. Les autorités citent aussi des risques opérationnels: dans un cas, un informaticien nord-coréen a extorqué son employeur après un litige salarial et a rendu public le code source propriétaire; dans un autre, un prestataire chargé de la maintenance d'un site l'a modifié de manière malveillante, le rendant indisponible. Des CV falsifiés pour cibler une plateforme d'échange japonaise Les entreprises crypto figurent parmi les secteurs privilégiés de ces informaticiens. En mai 2025, une plateforme d'échange japonaise a reçu une candidature pour un poste d'ingénieur, soupçonnée d'être liée à un informaticien nord-coréen. La personne avait consulté l'offre via un VPN et transmis un CV falsifié. Le profil était présenté comme exceptionnellement complet: maîtrise revendiquée de nombreux langages de programmation, technologies blockchain, systèmes crypto et services cloud, avec plus de dix compétences et expériences listées dans chaque catégorie. Le parcours mentionnait des études dans des universités européennes et des expériences professionnelles dans plusieurs villes d'Europe et d'Asie sur une période courte. Lors de l'entretien vidéo, le candidat a déclaré être né en Malaisie et vivre en Finlande, avec le malais et le chinois comme langues maternelles. Les intervieweurs ont toutefois constaté un niveau d'anglais incompatible avec le parcours annoncé: réponses limitées à des questions simples et incapacité à expliquer en détail la plupart des compétences techniques affichées. L'avis recense d'autres signaux fréquemment observés: refus de rendez-vous en présentiel, exigence d'un paiement en cryptomonnaie, regards répétés vers un autre écran, voix d'autres personnes perceptibles en arrière-plan, et mises en mémoire tampon récurrentes de la vidéo ou de l'audio. Les regards vers un second écran peuvent indiquer la lecture de réponses fournies par un tiers; même si un seul candidat apparaît à l'image, plusieurs personnes peuvent collaborer en coulisses pour simuler les compétences affichées. Après une infection, supprimer le malware ne suffit pas Les autorités et plusieurs organisations internationales insistent: nettoyer la machine ne garantit pas que le portefeuille reste sûr. Le malware peut déjà avoir récupéré la clé privée, la phrase de récupération ou des identifiants stockés dans le navigateur, sans agir immédiatement. Une porte dérobée peut également rester en place pour attendre un moment plus opportun. Recommandation principale: ne pas exécuter directement du code fourni par un inconnu sur un appareil qui stocke des actifs crypto ou traite des données sensibles. Si un test est nécessaire, utiliser un bac à sable ou une machine virtuelle isolée, et inspecter le projet à la recherche de code obfusqué, illisible ou téléchargeant automatiquement des éléments avant exécution. Vigilance accrue sur les scripts contenant curl, base64, mshta, InvokeWebRequest, ou d'autres commandes servant au téléchargement, à l'encodage ou à la dissimulation de l'exécution. Si un antivirus signale une infection, ou si un programme fourni par un employeur suspect a déjà été exécuté, il faut couper immédiatement la connexion réseau. Même après suppression du malware, il convient de considérer les données du portefeuille comme compromises: créer un nouveau portefeuille sur un appareil distinct et sécurisé, transférer tous les actifs, conserver la nouvelle phrase mnémonique hors ligne. Compte tenu du risque de portes dérobées non détectées, la mesure la plus sûre consiste à sauvegarder les données indispensables puis à réinstaller complètement le système d'exploitation ou à réinitialiser l'appareil, plutôt que de continuer à utiliser l'environnement existant.