Depuis fin 2025, le groupe nord-coréen WaterPlum, que plusieurs éditeurs appellent aussi « Contagious Interview » ou « Famous Chollima », mène une campagne de grande ampleur contre les développeurs et les professionnels de l’informatique. Selon une alerte conjointe publiée le 18 septembre 2026 par le FBI, la police nationale japonaise (NPA), le centre australien de cybersécurité (ACSC) et l’office allemand de protection de la Constitution (Verfassungsschutz), le groupe a infecté plus de 30 000 appareils dans une centaine de pays entre décembre 2025 et juillet 2026, et détourné 10,7 millions de dollars en cryptomonnaies.
WaterPlum, un groupe nord-coréen tourné vers la collecte de fonds #
WaterPlum s’inscrit dans une longue série de campagnes attribuées à des groupes APT liés à des États et orientées vers le financement du régime plutôt que vers l’espionnage classique. D’après l’alerte conjointe, le groupe cible en priorité les développeurs, les administrateurs systèmes et les chercheurs travaillant dans l’intelligence artificielle, les cryptomonnaies et les NFT (jetons non fongibles), des domaines où l’accès à un portefeuille numérique ou à un dépôt de code représente une cible directe.
L’usurpation d’identité d’entreprises réelles est au cœur du dispositif : les opérateurs créent de faux profils de recruteurs sur les plateformes professionnelles, reprennent des logos et des noms de sociétés existantes, et publient de fausses offres d’emploi sur des sites spécialisés. Cette approche, documentée depuis 2023, a gagné en sophistication avec l’ajout de deepfakes vidéo générés par IA pour les entretiens en visioconférence, ce que confirme aussi l’analyse de la campagne par BleepingComputer.
À retenir : WaterPlum ne cherche pas à s’introduire dans le réseau d’une entreprise, mais à convaincre directement le candidat d’exécuter lui-même le code malveillant sur sa machine.
Le mode opératoire : de la fausse offre d’emploi au vol de portefeuille #
Le scénario suit un déroulé assez constant, avec des variations selon les équipes qui l’exécutent :
- Approche : contact via LinkedIn, des plateformes de recrutement freelance ou des messageries comme Telegram et Discord, avec une offre attractive dans l’IA, la crypto ou le développement Web3.
- Entretien technique : la victime est invitée à un échange en visioconférence. Certains opérateurs utilisent des logiciels de « face swap » pour se faire passer pour un recruteur légitime.
- Test de codage piégé : la dernière étape consiste à télécharger et exécuter un projet, souvent hébergé sur un dépôt Git ou distribué en paquet npm, présenté comme un exercice technique ou un bug à corriger.
- Prétexte technique : en cas de blocage à l’installation, un faux message d’erreur pousse la victime à désactiver ses protections ou à coller une commande supplémentaire, un ressort proche de la technique ClickFix déjà documentée sur ce blog.
- Infection : le projet embarque un chargeur qui installe successivement plusieurs familles de logiciels malveillants.
Les malwares déployés lors des « tests de code » #
L’alerte conjointe et les analyses techniques associées à la campagne décrivent plusieurs familles de logiciels malveillants qui se succèdent sur la machine compromise :
| Malware | Rôle |
|---|---|
| BeaverTail | Chargeur initial en JavaScript, dissimulé dans un paquet npm ou un projet Node.js |
| InvisibleFerret | Porte dérobée en Python : collecte d’informations système et exfiltration |
| OtterCookie | Cheval de Troie d’accès distant (RAT) en JavaScript, prise de contrôle à distance |
| OtterCandy / StoatWaffle | Modules complémentaires : persistance et ciblage des portefeuilles cryptographiques |
Ces outils permettent aux opérateurs de rechercher et d’exfiltrer les identifiants de portefeuilles, les clés privées stockées en clair et les sessions de navigateur, dans une logique proche de celle des infostealers qui volent des sessions et contournent le MFA, avant de transférer les fonds vers des adresses contrôlées par le groupe.
Techniques MITRE ATT&CK observées #
Les analyses techniques publiques de la campagne recoupent plusieurs techniques du référentiel MITRE ATT&CK :
| Technique | ID | Description |
|---|---|---|
| Spearphishing via un service tiers | T1566.003 | Premier contact via LinkedIn, plateformes de recrutement ou messageries |
| Exécution par l’utilisateur | T1204.002 | La victime exécute elle-même le projet ou le script piégé |
| Usurpation d’identité | T1585.001 | Faux profils d’entreprises et de recruteurs |
| Identifiants depuis un stockage de mots de passe | T1555 | Extraction des identifiants de portefeuilles et extensions crypto |
| Exfiltration sur canal C2 | T1041 | Transfert des données et des fonds vers l’infrastructure des opérateurs |
Cette correspondance aide les équipes de détection à prioriser leurs règles : surveillance des exécutions de processus Node.js ou Python inhabituelles lancées depuis un dossier de téléchargement, alertes sur les connexions sortantes vers des domaines récemment enregistrés, et blocage des extensions de navigateur non autorisées sur les postes de développement.
Un bilan chiffré : 30 000 appareils et 10,7 millions de dollars #
Selon les chiffres publiés dans l’alerte conjointe, la campagne a permis aux opérateurs de compromettre plus de 30 000 appareils et d’accéder à plus de 7 000 portefeuilles de cryptomonnaies, pour un montant total détourné évalué à 10,7 millions de dollars (environ 1,7 milliard de yens) entre décembre 2025 et juillet 2026. Ces chiffres, confirmés par des agences gouvernementales de quatre pays, distinguent cette opération d’une simple revendication non vérifiée : il s’agit de données recoupées par des enquêtes officielles, même si le nombre réel de victimes non déclarées est probablement supérieur.
Comment se protéger ? #
Les recommandations suivantes, issues de l’alerte conjointe et adaptées au contexte francophone, s’adressent aussi bien aux recruteurs qu’aux candidats :
- Vérifiez l’identité du recruteur et de l’entreprise avant tout échange technique : recherchez l’entreprise sur des registres officiels et contactez-la par un canal indépendant de celui utilisé par le « recruteur ».
- N’exécutez jamais de code fourni pendant un entretien sur votre machine principale. Utilisez une machine virtuelle isolée ou un conteneur jetable, sans accès à vos portefeuilles ni à vos identifiants personnels.
- Méfiez-vous des prétextes techniques du type « désactivez votre antivirus pour lancer le test » ou « collez cette commande pour corriger l’erreur d’installation ».
- Séparez vos environnements : ne stockez jamais de clés privées de cryptomonnaies ou de secrets professionnels sur le poste utilisé pour des tests de recrutement externes.
- Surveillez les extensions et paquets installés après un entretien technique, et lancez une analyse complète en cas de doute.
- Pour les entreprises, sensibilisez les équipes de recrutement technique et les candidats internes à ce scénario, et envisagez un environnement dédié à l’exécution de tests de code externes.
Si vous recevez un message suspect prétendant venir d’un recruteur, l'analyseur d’e-mails ForenShield permet de vérifier les en-têtes et l’authenticité du message avant d’aller plus loin.
Points clés #
- WaterPlum (Contagious Interview) est un groupe nord-coréen qui cible les développeurs et professionnels IT via de fausses offres d’emploi.
- Une alerte conjointe FBI, NPA (Japon), ACSC (Australie) et Verfassungsschutz (Allemagne), publiée le 18 septembre 2026, recense plus de 30 000 appareils infectés et 10,7 millions de dollars de cryptomonnaies volées entre décembre 2025 et juillet 2026.
- L’infection passe par un faux « test de code » à exécuter, qui déploie successivement BeaverTail, InvisibleFerret, OtterCookie et d’autres modules.
- La meilleure protection reste de ne jamais exécuter de code d’un tiers non vérifié sur une machine contenant des identifiants sensibles ou des portefeuilles cryptographiques.