WaterPlum transforme de faux entretiens d’embauche en tremplin pour le vol de cryptomonnaies et l’intrusion en entreprise

Une campagne liée à la Corée du Nord exploite de faux processus de recrutement pour infecter des professionnels de la technologie, voler des cryptomonnaies et conserver un accès susceptible de s’étendre ensuite aux réseaux d’entreprise.

Connue sous le nom de WaterPlum, l’opération a compromis au moins 30 000 appareils dans 100 pays entre décembre 2025 et juillet 2026. Les enquêteurs estiment que les attaquants ont dérobé des fonds ou des identifiants associés à environ 7 000 portefeuilles de cryptomonnaies, générant plus de 10,5 millions de dollars en cryptomonnaies et autres revenus illicites.

Les victimes comprennent des concepteurs web, des ingénieurs, des développeurs blockchain et des spécialistes des cryptomonnaies. Des professionnels de l’informatique au Japon figurent notamment parmi les personnes touchées.

De fausses offres d’emploi diffusent plusieurs familles de logiciels malveillants

WaterPlum commence dans un contexte où les candidats s’attendent à de simples échanges professionnels. Les opérateurs approchent leurs cibles sur les réseaux sociaux, les plateformes de missions indépendantes, les services de travail à la tâche et d’autres canaux de recrutement, en se faisant passer pour des recruteurs d’entreprises spécialisées dans l’IA ou la blockchain.

Au cours d’un entretien ou d’une évaluation technique, le prétendu recruteur demande au candidat de télécharger un fichier ou d’installer un logiciel. Le contenu semble lié au processus de recrutement, mais déclenche en réalité une infection sur l’appareil du candidat.

Les autorités japonaises ont découvert cinq familles de logiciels malveillants sur les systèmes compromis :

• BeaverTail
• InvisibleFerret
• OtterCookie
• OtterCandy
• StoatWaffle

Les opérateurs associaient généralement des logiciels malveillants voleurs d’informations à des capacités de gestion à distance. Cet arsenal leur permettait de recueillir des identifiants et d’autres données, de compromettre des portefeuilles de cryptomonnaies et de conserver l’accès aux ordinateurs infectés.

Les informations disponibles ne permettent pas d’identifier les formats de fichiers exacts, les URL de diffusion, l’infrastructure de commande et de contrôle ou les mécanismes de persistance utilisés lors de chaque infection. Elles ne fournissent pas non plus de hachages ni d’autres indicateurs que les défenseurs pourraient utiliser pour effectuer une correspondance directe.

Il ne s’agit pas simplement d’une technique de vol de portefeuille ponctuelle. Un accès persistant offre aux attaquants de nouvelles possibilités après la compromission initiale.

Une infection personnelle peut se transformer en compromission d’entreprise

La valeur stratégique de WaterPlum tient à la position occupée par ses cibles. Les ingénieurs et les développeurs disposent souvent d’identifiants permettant d’accéder à des dépôts de code source, des plateformes cloud, des systèmes de cryptomonnaies et des services internes de collaboration.

Un candidat peut aussi décrocher un nouvel emploi après la compromission de son ordinateur personnel. Si cet appareil reste infecté, les attaquants pourraient exploiter les comptes nouvellement créés ou accéder aux ressources de l’entreprise par l’intermédiaire de la victime.

Cela crée un chemin entre un entretien trompeur et l’environnement du futur employeur. Les actifs potentiellement exposés comprennent les identifiants d’entreprise, le code propriétaire, les systèmes internes, les sites web et l’infrastructure liée aux actifs numériques.

Les équipes d’intervention avaient déjà suivi des activités connexes utilisant les mêmes familles de logiciels malveillants contre des développeurs blockchain contactés par de faux recruteurs sur LinkedIn. Les attaques visant les appareils personnels dans le cadre de cette opération auraient entraîné jusqu’à 12 millions de dollars de vols de cryptomonnaies. Au moins une entreprise de blockchain a reconnu qu’une technique apparentée avait contribué à une perte importante.

Des campagnes comparables prenant pour thème le recrutement ciblent des candidats du secteur de la défense depuis 2020. En 2022, Google a averti que 250 personnes dans 10 organisations avaient reçu des approches malveillantes de prétendus recruteurs affirmant représenter Disney, Google et Oracle. Les organisations visées comprenaient des entreprises de presse, des bureaux d’enregistrement de domaines, des fournisseurs d’hébergement et des éditeurs de logiciels.

Les enquêteurs établissent un lien entre WaterPlum et les fraudes à l’emploi nord-coréennes

L’enquête conjointe sur WaterPlum a mobilisé le FBI, le U.S. Department of Defense, la National Police Agency du Japon ainsi que les forces de l’ordre d’Australie et d’Allemagne.

Les enquêteurs ont établi un lien entre cette campagne et le recours plus large de la Corée du Nord à de faux travailleurs informatiques. Dans le cadre de ces opérations, des individus volent ou achètent des identités afin d’obtenir des postes technologiques bien rémunérés aux États-Unis ou en Europe.

Ce lien repose notamment sur un chevauchement des infrastructures. Les opérateurs de WaterPlum et des informaticiens nord-coréens ont été observés utilisant les mêmes adresses IP pour accéder à des fermes d’ordinateurs portables ou postuler à des emplois auprès d’entreprises japonaises spécialisées dans les cryptomonnaies.

Les fermes d’ordinateurs portables permettent à un travailleur distant de donner l’impression qu’il se connecte depuis le pays de l’employeur. Les autorités américaines ont découvert des dizaines de ces opérations. Des responsables japonais ont également démantelé une ferme d’ordinateurs portables qui aurait été exploitée par un ressortissant japonais et ont découvert que plusieurs centaines de millions de yens japonais avaient été transférés vers des adresses situées hors du Japon.

Les candidats utilisaient des outils dotés de capacités d’IA pour renforcer leurs fausses identités. Les enquêteurs ont observé des logiciels de remplacement de visage, des systèmes de synthèse vocale capables de produire des prononciations japonaises ainsi que d’autres technologies de traduction fondées sur l’IA.

Ces capacités peuvent aider un candidat à dissimuler son apparence, à surmonter les barrières linguistiques et à maintenir une fausse identité pendant des entretiens à distance. Elles n’éliminent pas les incohérences, mais rendent moins fiable une vérification d’identité fondée uniquement sur les appels vidéo ou l’aisance conversationnelle.

Les opérations financières peuvent évoluer vers le sabotage et l’extorsion

Le vol de cryptomonnaies et la génération de revenus restent des objectifs centraux, mais les activités documentées vont au-delà de la simple collecte de fonds.

Dans un cas, un travailleur aurait tenté d’extorquer son employeur lors d’un différend concernant un paiement, avant de publier du code source propriétaire. Dans un autre, une personne recrutée pour assurer la maintenance d’un site web l’a défiguré et l’a rendu indisponible.

De tels incidents compliquent la distinction entre un attaquant externe et un initié malveillant. Un employeur peut croire avoir recruté un salarié distant légitime alors qu’il accorde en réalité à un adversaire l’accès à des dépôts de code, des systèmes de production et des informations commerciales confidentielles.

La campagne et plusieurs opérations connexes visant des informaticiens ont été attribuées au General Bureau of the Munitions Industry Department de la Corée du Nord, qui relève du Central Committee of the Workers’ Party of Korea.

Plusieurs ministères nord-coréens ont déjà été identifiés comme opérant des équipes spécialisées dans la cybersécurité offensive et générant des revenus grâce à des emplois informatiques légitimes, au vol de cryptomonnaies et à l’extorsion de données. WaterPlum semble relier plusieurs de ces méthodes : la fraude au recrutement fournit les victimes, les logiciels malveillants permettent de récupérer des identifiants et d’accéder aux portefeuilles, tandis que la compromission persistante crée des possibilités d’intrusion ultérieure.

Les candidats doivent séparer le recrutement de leurs actifs sensibles

Aucune procédure de remédiation propre à cette campagne n’a été rendue publique. En particulier, aucune méthode universelle de suppression couvrant les cinq familles de logiciels malveillants citées n’a été publiée.

Les candidats peuvent néanmoins réduire leur exposition en considérant comme non fiables les fichiers d’entretien inattendus, les exercices de programmation et les demandes d’installation de logiciels. Les recruteurs et les employeurs doivent être vérifiés à l’aide de coordonnées obtenues indépendamment, plutôt qu’avec les informations fournies dans le message initial.

Un appareil utilisé pour les candidatures ne devrait pas également contenir des portefeuilles de cryptomonnaies, des phrases de récupération de portefeuille ou des accès privilégiés à un employeur. Lorsque cela est possible, les candidats peuvent réaliser les entretiens et les évaluations dans un environnement isolé, sans accès à leurs secrets personnels ni à leurs comptes professionnels.

Tout système ayant exécuté un fichier de recrutement suspect doit être retiré des réseaux sensibles et faire l’objet d’une investigation. Les défenseurs doivent rechercher :

• BeaverTail, InvisibleFerret, OtterCookie, OtterCandy et StoatWaffle ;
• des outils de gestion à distance non autorisés ;
• des transactions inhabituelles sur des portefeuilles ou des modifications d’identifiants ;
• des connexions réseau sortantes inattendues ;
• de nouveaux mécanismes de persistance ou des comptes utilisateurs inconnus ;
• des accès à des dépôts de code et à des services cloud depuis des emplacements inhabituels.

Comme les adresses IP malveillantes précises n’ont pas été divulguées, les organisations ne peuvent pas s’appuyer sur une liste complète d’adresses à bloquer. Lorsque la loi le permet, les équipes de sécurité doivent examiner les connexions associées à des infrastructures connues de fermes d’ordinateurs portables et enquêter sur les chevauchements inexpliqués entre les candidats, les travailleurs à distance et les systèmes spécialisés dans les cryptomonnaies.

Les employeurs doivent renforcer leurs contrôles avant d’accorder des accès

Les entreprises sont confrontées à deux risques liés : celui d’un véritable candidat dont l’ordinateur a été infecté par WaterPlum et celui d’un candidat frauduleux cherchant un emploi pour le compte d’une opération nord-coréenne.

Les vérifications d’identité et d’antécédents professionnels doivent donc s’appuyer sur des canaux indépendants. Un entretien vidéo réussi ne suffit pas à lui seul, en particulier lorsque le remplacement de visage, la synthèse vocale et la traduction automatisée peuvent contribuer à créer une fausse identité.

Les nouveaux employés doivent initialement recevoir uniquement les accès nécessaires à leur fonction. Les autorisations sur les dépôts, les privilèges cloud, les identifiants de production et les contrôles liés aux cryptomonnaies doivent être ajoutés progressivement et surveillés afin de détecter toute utilisation anormale.

Les équipes de recrutement ont également besoin d’un processus contrôlé pour distribuer les évaluations. Les organisations doivent éviter de demander aux candidats d’exécuter des paquets opaques ou des logiciels non officiels et fournir des emplacements de téléchargement vérifiables lorsque des outils sont réellement nécessaires.

WaterPlum exploite la confiance avant même l’établissement d’une relation de travail officielle. Ses opérateurs utilisent cet accès initial pour voler immédiatement des données, mais l’objectif à long terme pourrait être plus dommageable encore : faire passer un point d’ancrage indétecté de l’appareil personnel d’un candidat à la prochaine entreprise qui l’embauchera.