Introduction
Le groupe de hackers lié à la Corée du Nord, WaterPlum, a compromis plus de 30 000 appareils dans plus de 100 pays et régions, dérobant des informations provenant de plus de 7 000 portefeuilles de cryptomonnaie tout en ciblant des développeurs par le biais de fausses campagnes de recrutement.
Enquête et Découvertes
L’Agence nationale de la police du Japon a déclaré le 18 septembre que son enquête, menée en collaboration avec le Bureau national de la cybersécurité, le FBI, le Cyber Crime Center du Département de la Défense des États-Unis, ainsi que des agences en Australie et en Allemagne, a révélé les méthodes d’attaque du groupe et ses liens avec des travailleurs informatiques nord-coréens.
Les autorités japonaises et américaines ont évalué que WaterPlum, associé à l’activité de menace communément connue sous le nom d' »Entretien Contagieux« , opère sous le Bureau 313 du Département de l’industrie des munitions du Parti des travailleurs de Corée.
Les enquêteurs ont découvert que plus de 30 000 ordinateurs avaient probablement été infectés entre décembre 2025 et juillet 2026. Les victimes étaient principalement des concepteurs web, des ingénieurs et des professionnels travaillant dans la cryptomonnaie, la blockchain et le Web3.
Méthodes de Recrutement
WaterPlum a approché des développeurs de logiciels et d’autres professionnels de l’informatique par le biais des réseaux sociaux, des sites d’emploi en ligne, des plateformes de travail temporaire et des marchés de freelance. Les attaquants se faisaient passer pour des entreprises légitimes d’intelligence artificielle, de cryptomonnaie et de NFT.
Lors d’entretiens techniques, les candidats étaient invités à télécharger des programmes malveillants. Les logiciels malveillants tels que BeaverTail, InvisibleFerret, OtterCookie, OtterCandy et StoatWaffle étaient intégrés dans des paquets NPM malveillants.
Conséquences et Réactions
Une fois qu’un appareil était compromis, les attaquants pouvaient établir des portes dérobées et utiliser des outils d’accès à distance pour conserver l’accès. Les informations volées comprenaient des identifiants de navigateur, des frappes au clavier, des captures d’écran et des données du presse-papiers.
Les clés privées et les phrases de récupération pour les portefeuilles de cryptomonnaie faisaient partie des enregistrements ciblés, ainsi que des documents d’identité tels que des passeports et des permis de conduire.
Des chercheurs en sécurité ont documenté des méthodes de recrutement similaires dans l’industrie de la cryptomonnaie. Les enquêteurs ont démantelé la première « ferme d’ordinateurs portables » domestique connue liée à des travailleurs informatiques nord-coréens au Japon.
Actions Judiciaires et Préventions
Les autorités américaines ont également poursuivi les produits des schémas d’emploi par le biais de cas de confiscation de cryptomonnaie. Un juge fédéral a ordonné la confiscation d’environ 212 700 dollars en USDC et USDT retracés jusqu’à des adresses de paiement utilisées par des travailleurs informatiques nord-coréens.
Les autorités japonaises ont conseillé aux entreprises de vérifier les lieux, les qualifications et les informations de contact déclarés par les candidats, en particulier lorsque ceux-ci insistent sur le travail à distance ou les paiements en cryptomonnaie.
Les employeurs ont été invités à vérifier les compétences techniques lors des entretiens et à examiner les cas où le lieu de résidence déclaré d’un candidat ne correspond pas à l’emplacement de l’adresse IP utilisée pour soumettre une candidature.
