Advisory conjoint : WaterPlum (Contagious Interview) cible les professionnels IT mondiaux

🌐 Contexte

Publié le 18 septembre 2026 par un consortium d’agences gouvernementales (NPA, NCO Japon, FBI, DC3 USA, ASD/ACSC Australie, BND et BfV Allemagne), cet advisory conjoint expose les activités du groupe nord-coréen WaterPlum, également connu sous le nom de Contagious Interview.

🎯 Acteur et attribution

WaterPlum est attribué à la Corée du Nord et opère sous le 313e Bureau général du Département de l’industrie des munitions, subordonné au Comité central du Parti des travailleurs de Corée. Le groupe combine des opérations de cyberattaques ciblant les professionnels IT et des activités de travailleurs IT nord-coréens infiltrant des entreprises légitimes.

💻 Méthodes d’attaque

WaterPlum recrute des victimes via des plateformes de réseaux sociaux, plateformes d’emploi en ligne et marchés freelance, en se faisant passer pour des recruteurs de sociétés IA, crypto ou NFT. Durant de faux entretiens techniques, les victimes sont incitées à :

• Télécharger et exécuter des packages NPM malveillants hébergés sur des plateformes de développement (GitHub, Bitbucket)
• Ces packages embarquent les malwares BeaverTail, InvisibleFerret, OtterCookie, OtterCandy ou StoatWaffle

Une fois l’accès obtenu, les acteurs déploient des RATs pour maintenir la persistance et des infostealers pour exfiltrer données et cryptomonnaies vers des serveurs C2.

📊 Ampleur des dommages

• 30 000 appareils compromis dans plus de 100 pays (décembre 2025 – juillet 2026)
• Fonds ou identifiants volés depuis plus de 7 000 portefeuilles de cryptomonnaies
• 1,7 milliard JPY (10,71 millions USD) de cryptoactifs exfiltrés vers la RPDC
• Première démantèlement d’une « laptop farm » au Japon

🏭 Laptop Farms et travailleurs IT

Des enablers locaux (Japon, USA, autres pays) hébergent des laptop farms permettant à des travailleurs nord-coréens (basés en Corée du Nord, Chine, Russie, Afrique, Asie du Sud-Est) de travailler à distance pour des entreprises légitimes. Ces travailleurs utilisent de fausses identités et des comptes bancaires d’enablers pour recevoir leurs paiements.

🔍 Indicateurs comportementaux suspects (recrutement)

• Refus de réunions en personne
• Demande de paiement en cryptomonnaie
• Regards fréquents vers un second écran
• Voix en arrière-plan
• Gel répété de la vidéo/audio
• Utilisation de logiciels de face-swapping IA lors des entretiens

📄 Type d’article

Il s’agit d’un advisory de sécurité conjoint émis par plusieurs agences gouvernementales, visant à alerter les entreprises et professionnels IT sur les TTPs de WaterPlum et à fournir des mesures de mitigation concrètes.

🧠 TTPs et IOCs détectés

Acteurs de menace

• WaterPlum (state-sponsored) — orkl.eu · Malpedia
• Contagious Interview (state-sponsored) — orkl.eu · Malpedia · MITRE ATT&CK

TTP

• T1566 — Phishing (Initial Access)
• T1204.002 — User Execution: Malicious File (Execution)
• T1059.007 — Command and Scripting Interpreter: JavaScript (Execution)
• T1059.006 — Command and Scripting Interpreter: Python (Execution)
• T1195.002 — Supply Chain Compromise: Compromise Software Supply Chain (Initial Access)
• T1219 — Remote Access Software (Command and Control)
• T1041 — Exfiltration Over C2 Channel (Exfiltration)
• T1555.003 — Credentials from Password Stores: Credentials from Web Browsers (Credential Access)
• T1056.001 — Input Capture: Keylogging (Collection)
• T1113 — Screen Capture (Collection)
• T1115 — Clipboard Data (Collection)
• T1036 — Masquerading (Defense Evasion)
• T1090 — Proxy (Command and Control)
• T1657 — Financial Theft (Impact)
• T1491.002 — Defacement: External Defacement (Impact)

IOC

• Fichiers : tasks.json
• Chemins : .vscode/tasks.json

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 20 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• BeaverTail (loader)
• InvisibleFerret (backdoor)
• OtterCookie (rat)
• OtterCandy (rat)
• StoatWaffle (loader)

🟢 Indice de vérification factuelle : 71/100 (haute)

• ✅ bnd.bund.de — source institutionnelle (.bund.de) (20pts)
• ✅ 18890 chars — texte complet (fulltext extrait) (15pts)
• ✅ 2 IOC(s) (6pts)
• ⬜ pas d’IOC vérifié (0pts)
• ✅ 15 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ✅ acteur(s) identifié(s) : WaterPlum, Contagious Interview (5pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.bnd.bund.de/EN/Public-Intelligence/joint-cybersecurity-advisory/20260918-prk-waterplum-node.html