Le groupe de piratage WaterPlum, lié à la Corée du Nord, a compromis plus de 30 000 appareils dans plus de 100 pays et régions, volant des informations de plus de 7 000 portefeuilles de cryptomonnaies tout en ciblant les développeurs par le biais de fausses campagnes de recrutement.
Résumé
- WaterPlum a infecté plus de 30 000 appareils dans plus de 100 pays et régions et a volé des informations de plus de 7 000 portefeuilles de cryptomonnaies.
- Les autorités japonaises et américaines ont lié WaterPlum et certains travailleurs informatiques nord-coréens au Bureau 313 du Parti du travail de Corée.
- Les attaquants se sont fait passer pour des entreprises de cryptomonnaies, d'IA et de NFT afin de cibler les développeurs avec des fichiers malveillants déguisés en tâches d'entretien et en tests de codage.
- Les enquêteurs japonais ont démantelé une ferme d'ordinateurs portables nationale utilisée par des travailleurs informatiques nord-coréens pour prendre des emplois à distance tout en dissimulant leur localisation.
- Un travailleur informatique présumé nord-coréen a séparément postulé pour un poste d'ingénieur chez bitFlyer en 2025, mais a été identifié avant d'être embauché.
L'Agence nationale de police du Japon a déclaré le 18 septembre que son enquête, menée avec le Bureau national de cybersécurité, le FBI, le Centre de cybercriminalité du département de la Défense des États-Unis et des agences en Australie et en Allemagne, avait découvert les méthodes d'attaque du groupe et ses liens avec des travailleurs informatiques nord-coréens.
Les autorités japonaises et américaines ont estimé que WaterPlum, qui est associé à l'activité de menace communément appelée Contagious Interview, et certains travailleurs informatiques nord-coréens opèrent sous le Bureau 313 du département de l'industrie des munitions du Parti du travail de Corée.
Les enquêteurs ont découvert que plus de 30 000 ordinateurs avaient probablement été infectés entre environ décembre 2025 et juillet 2026. Les victimes étaient réparties dans plus de 100 pays et régions, dont le Japon, avec des web designers, des ingénieurs et des personnes travaillant dans les cryptomonnaies, la blockchain et le Web3 parmi les principales cibles.
Plus de 7 000 enregistrements de portefeuilles de cryptomonnaies ont été volés lors des infections, tandis que les portefeuilles contrôlés par WaterPlum ont reçu au moins 1,7 milliard de yens, soit environ 10,7 millions de dollars selon le taux de change utilisé par les autorités japonaises.
Le ministère japonais des Affaires étrangères a séparément confirmé que les autorités du Japon, des États-Unis, d'Australie et d'Allemagne avaient conjointement divulgué les tactiques de WaterPlum et les activités des travailleurs informatiques nord-coréens impliqués dans des stratagèmes de génération de devises étrangères et de recrutement.
WaterPlum a utilisé de faux emplois dans les cryptomonnaies pour diffuser des logiciels malveillants
WaterPlum a approché des développeurs de logiciels et d'autres travailleurs informatiques via les médias sociaux, des sites d'emploi en ligne, des plateformes de missions et des marchés de freelance, selon le rapport de la police japonaise. Les attaquants se sont fait passer pour des entreprises légitimes d'intelligence artificielle, de cryptomonnaies et de NFT ou des services de recrutement avant de présenter aux candidats des opportunités d'emploi apparemment attrayantes.
Lors d'entretiens techniques ou de tests de codage, il était demandé aux candidats de télécharger des programmes malveillants hébergés sur des plateformes de développement collaboratif et des dépôts de code. Certaines victimes ont été informées que les fichiers étaient nécessaires pour diagnostiquer des problèmes avec un logiciel de visioconférence ou pour terminer un exercice de codage.
Le groupe a placé des logiciels malveillants, notamment BeaverTail, InvisibleFerret, OtterCookie, OtterCandy et StoatWaffle, à l'intérieur de packages NPM malveillants. Une fois un appareil compromis, les attaquants pouvaient établir des portes dérobées et utiliser des outils d'accès à distance pour conserver l'accès et se déplacer dans les systèmes affectés. Des logiciels malveillants de vol d'informations étaient ensuite utilisés pour extraire des données confidentielles et des cryptomonnaies.
Les informations volées comprenaient des identifiants de navigateur, des frappes au clavier, des captures d'écran et des données du presse-papiers. Les clés privées et les phrases de récupération des portefeuilles de cryptomonnaies figuraient parmi les enregistrements ciblés, ainsi que des documents d'identité tels que des passeports et des permis de conduire stockés sur les ordinateurs affectés ou les dossiers partagés.
Les chercheurs en sécurité ont documenté des méthodes de recrutement similaires dans l'industrie des cryptomonnaies. Comme crypto.news l'a précédemment rapporté,des développeurs liés à la Corée du Nord avaient travaillé au sein de plus de 40 projets DeFi sur sept ans, selon le développeur de MetaMask et chercheur en sécurité Taylor Monahan. Les enquêteurs ont décrit les offres d'emploi, les courriels, les messages LinkedIn, les appels Zoom et les processus d'entretien comme des voies récurrentes utilisées pour approcher les cibles.
Des travailleurs informatiques nord-coréens ont utilisé des fermes d'ordinateurs portables au Japon
Les enquêteurs japonais ont déclaré avoir démantelé la première « ferme d'ordinateurs portables » nationale connue liée à des travailleurs informatiques nord-coréens dans le pays. Selon cet arrangement, un facilitateur local gardait des ordinateurs à son domicile tandis que les travailleurs contrôlaient à distance les machines depuis un autre endroit.
Les travailleurs utilisaient des documents d'identité fournis par des personnes vivant au Japon pour se faire passer pour elles lors de la recherche de contrats. Dans certains cas, les paiements étaient dirigés vers des comptes bancaires contrôlés par des facilitateurs, qui transféraient ensuite l'argent plus loin. Les travailleurs nord-coréens liés aux enquêtes ont envoyé des cryptomonnaies et d'autres actifs d'une valeur de centaines de millions de yens à l'étranger, selon l'agence.
Certains travailleurs opéraient depuis la Corée du Nord, tandis que d'autres étaient basés en Chine ou en Russie, avec un plus petit nombre situé en Afrique et en Asie du Sud-Est. Les fermes d'ordinateurs portables et les serveurs privés virtuels leur permettaient de dissimuler où le travail était réellement effectué tout en acceptant des missions via des services de crowdsourcing nationaux et internationaux.
Des opérations comparables ont été poursuivies aux États-Unis. Deux hommes américains ont reçu des peines de prison de 18 mois en 2026 pour avoir aidé des travailleurs nord-coréens à accéder à distance aux ordinateurs portables d'entreprises, tandis que le ministère de la Justice a déclaré que les stratagèmes impliquaient près de 70 entreprises et avaient généré plus de 1,2 million de dollars. Les peines ont porté à huit le nombre de facilitateurs de fermes d'ordinateurs portables condamnés aux États-Unis sur une période de cinq mois.
Les autorités américaines ont également poursuivi les produits des stratagèmes d'emploi par le biais de procédures de confiscation de cryptomonnaies. Un juge fédéral a ordonné en septembre la confiscation d'environ 212 700 dollars en USDC et USDT tracés jusqu'à des adresses de paiement utilisées par des travailleurs informatiques nord-coréens, dans le cadre d'un effort du ministère de la Justice portant sur plus de 7,74 millions de dollars d'actifs numériques.
Les procureurs ont déclaré que le portefeuille confisqué avait reçu environ 158 123 USDC de la part d'au moins 10 adresses utilisées pour payer des travailleurs et 54 574 USDT de la part d'au moins quatre autres adresses de paiement. Les autorités ont allégué que les travailleurs dissimulaient leurs identités et leurs localisations tout en acceptant des emplois technologiques à l'étranger avant d'acheminer leurs gains via des cryptomonnaies.
bitFlyer a repéré un candidat nord-coréen présumé
L'enquête japonaise a identifié une tentative distincte d'un travailleur informatique nord-coréen présumé de décrocher un poste d'ingénieur chez l'échange de cryptomonnaies bitFlyer en mai 2025.
Le candidat a soumis un CV sous l'identité d'une autre personne directement via le formulaire de recrutement de l'échange et a utilisé Gmail comme adresse de contact. Les enquêteurs ont déclaré que la personne avait accédé au système de candidature via des services VPN et proxy, notamment NETNUT Proxy, Astrill VPN et High Speed Rabbit Proxy.
Lors d'un entretien en ligne, le candidat a affirmé être malaisien et vivre en Finlande. Le CV mentionnait une vaste expérience dans les langages de programmation, la blockchain, les cryptomonnaies et les services cloud, ainsi qu'une formation dans une université européenne et un emploi dans plusieurs villes européennes et asiatiques.
Le candidat pouvait répondre à des questions simples sur les compétences énumérées mais donnait des réponses abstraites ou évitait les questions plus détaillées, selon l'agence. Les enquêteurs ont noté des vérifications répétées d'un autre moniteur pendant l'entretien, des voix occasionnelles en arrière-plan et des interruptions du flux vidéo. La personne a résisté à l'idée de déménager au Japon et a insisté pour recevoir son salaire en cryptomonnaie. bitFlyer a identifié le comportement suspect et n'a pas embauché le candidat, et aucun dommage n'a été signalé.
Une tentative de recrutement similaire avait déjà été détectée chez Kraken, où un candidat soupçonné d'être lié à la Corée du Nord s'est joint à un entretien en utilisant un nom différent de celui figurant sur le CV et semblait recevoir une assistance en temps réel pendant l'appel. L'échange a ensuite associé l'adresse e-mail du candidat à des informations précédemment signalées par des partenaires de l'industrie.
Les enquêteurs ont lié l'activité de WaterPlum à la même infrastructure
Les autorités japonaises ont trouvé un lien technique entre les attaques de WaterPlum, les opérations de travailleurs à l'étranger et la tentative de recrutement chez bitFlyer.
Les adresses IP utilisées par les attaquants de WaterPlum correspondaient aux adresses utilisées par les travailleurs informatiques nord-coréens pour se connecter aux fermes d'ordinateurs portables et aux services de crowdsourcing, selon l'Agence nationale de police. Les enquêteurs ont découvert que le travailleur nord-coréen présumé qui avait postulé pour le poste d'ingénieur chez bitFlyer avait utilisé une infrastructure correspondante.
L'Agence nationale de police et le FBI ont estimé que le Bureau 313 a joué un rôle central à la fois dans les cyberattaques de WaterPlum et dans certaines des opérations de gain de devises étrangères menées par des travailleurs informatiques nord-coréens.
Les autorités japonaises ont conseillé aux entreprises de vérifier les lieux, les qualifications et les coordonnées déclarés par les candidats, en particulier lorsque les candidats insistent pour travailler à distance ou être payés en cryptomonnaie. Les employeurs ont été invités à vérifier les compétences techniques lors des entretiens et à examiner de près les cas où la résidence déclarée d'un candidat ne correspond pas à l'emplacement de l'adresse IP utilisée pour soumettre une candidature.
