Un groupe de pirates informatiques soutenu par la Corée du Nord a infecté plus de 30 000 ordinateurs dans plus de 100 pays. Il a également dérobé des données provenant de plus de 7 000 portefeuilles de cryptomonnaies, ont annoncé vendredi l’Agence nationale de police du Japon et le FBI.
Les portefeuilles contrôlés par le groupe ont reçu au moins 10,71 millions de dollars d’actifs numériques entre décembre 2025 et juillet 2026. Les agences l’appellent WaterPlum ; il est également connu sous le nom de Contagious Interview.
Comment de faux recruteurs ont ciblé 7 000 portefeuilles de cryptomonnaies
WaterPlum se fait passer pour un chasseur de têtes spécialisé dans l’intelligence artificielle, les cryptomonnaies et les jetons non fongibles. Le groupe approche des développeurs sur les réseaux sociaux, les sites d’offres d’emploi et les plateformes de travail indépendant.
« Les acteurs de WaterPlum se font passer pour des employeurs potentiels afin de cibler des développeurs de logiciels et des professionnels de l’informatique dans le monde entier, sous prétexte de leur proposer des offres d’emploi attrayantes », ont indiqué l’Agence nationale de police du Japon et le FBI dans leur avis conjoint.
Les candidats sont ensuite invités à passer un entretien technique ou à terminer un test de programmation. Le groupe leur demande de télécharger des fichiers depuis des sites de partage de code, en prétextant un appel vidéo qui ne fonctionne pas ou en présentant ces fichiers comme faisant partie de l’exercice.
Ces fichiers contiennent des logiciels malveillants. Ceux-ci recherchent les mots de passe enregistrés dans les navigateurs, les captures d’écran et les frappes au clavier. Ils dérobent également les clés secrètes qui contrôlent un portefeuille de cryptomonnaies, le logiciel utilisé pour conserver de l’argent numérique.
BeInCrypto a parlé en août d’un chercheur qui a passé 22 mois à l’intérieur des serveurs du groupe. Il a recensé 1 640 victimes dans 57 pays. Le bilan officiel annoncé vendredi est environ 18 fois supérieur.
Le Japon démantèle sa première ferme d’ordinateurs portables
La police a également démantelé la première ferme d’ordinateurs portables connue du pays. Des complices locaux gardaient les ordinateurs chez eux. Des travailleurs nord-coréens à l’étranger les contrôlaient à distance et se faisaient passer pour des résidents japonais afin de décrocher des contrats en freelance.
Ces travailleurs ont transféré à l’étranger plusieurs centaines de millions de yens en cryptomonnaies, selon les enquêteurs. Les mêmes adresses Internet ont permis de relier la ferme aux pirates informatiques.
« La NPA et le FBI estiment que les cyberacteurs de WaterPlum et certains travailleurs informatiques nord-coréens relèvent du Bureau général 313 du Département de l’industrie des munitions, placé sous l’autorité du Comité central du Parti des travailleurs de Corée. »
En mai 2025, un Nord-Coréen soupçonné a postulé à un poste d’ingénieur chez bitFlyer, une plateforme d’échange japonaise, à l’aide d’un CV volé. Les recruteurs ont remarqué qu’il refusait de déménager et exigeait un paiement en cryptomonnaies. Il semblait lire ses réponses sur un deuxième écran et n’a pas été embauché.
Lors de campagnes antérieures, les attaquants s’appuyaient sur des appels vidéo de recrutement avec des deepfakes pour approcher des cadres supérieurs. Les enquêteurs recommandent désormais aux ingénieurs d’exécuter le code envoyé par les recruteurs dans un bac à sable, un environnement de test isolé des fichiers réels.
Source : BeInCrypto
