Le FBI alerte sur des hackers nord-coréens ayant infecté 30 000 appareils pour voler des cryptos

Un groupe de hackers nord-coréens a infecté plus de 30 000 appareils dans plus de 100 pays en se faisant passer pour des recruteurs d'entreprises d'IA et de cryptomonnaies, volant les identifiants de plus de 7 000 portefeuilles de cryptomonnaies et dérobant au moins 10,7 millions de dollars, selon un avis conjoint publié vendredi par des agences de sécurité aux États-Unis, au Japon, en Australie et en Allemagne.cyberscoop+1

Le groupe, suivi sous le nom de WaterPlum et également connu sous le nom de Contagious Interview, a ciblé des développeurs de logiciels, des concepteurs web et des spécialistes des technologies de cryptomonnaie, blockchain et Web3 entre environ décembre 2025 et juillet 2026, ont déclaré le FBI et l'Agence nationale de la police japonaise.nippon+1

Fonctionnement du stratagème

Les opérateurs de WaterPlum ont approché leurs victimes via les réseaux sociaux, des plateformes d'emploi en ligne et des places de marché pour freelances, en usurpant l'identité d'entreprises légitimes d'IA, de cryptomonnaies et de NFT. Lors de faux processus d'entretien, les candidats étaient invités à télécharger des fichiers présentés comme des exercices de codage ou des évaluations techniques. L'ouverture de ces fichiers installait des logiciels malveillants, notamment BeaverTail, InvisibleFerret, OtterCookie et d'autres variantes, offrant aux attaquants un accès persistant via des portes dérobées.pcmag+1

Une fois à l'intérieur, les attaquants récoltaient les identifiants de navigateur, les frappes au clavier, les données du presse-papiers, les clés privées et les phrases de récupération des portefeuilles de cryptomonnaies, ainsi que des documents d'identité tels que des passeports et des permis de conduire. Les identités volées étaient ensuite recyclées pour soutenir d'autres usurpations d'identité par des travailleurs informatiques nord-coréens cherchant un emploi à distance dans des entreprises légitimes.crypto+1

Liens avec le programme d'armement nord-coréen

L'avis attribue WaterPlum au Bureau général 313 du Département de l'industrie des munitions, un organisme lié aux programmes nucléaires et de missiles de la Corée du Nord. Les autorités ont déclaré que le chevauchement entre les cyberopérations de WaterPlum et le programme de fraude plus large des travailleurs informatiques nord-coréens était substantiel, les deux campagnes partageant des adresses IP utilisées pour accéder à des fermes d'ordinateurs et à des services de crowdsourcing.crypto+2

Des enquêteurs japonais ont démantelé la première ferme d'ordinateurs domestique connue liée à des travailleurs informatiques nord-coréens, où un facilitateur local entretenait des ordinateurs contrôlés à distance par des travailleurs à l'étranger. Les autorités ont indiqué que des centaines de millions de yens en cryptomonnaies avaient été transférés hors du Japon via ces arrangements. Un travailleur nord-coréen suspect a également tenté d'obtenir un poste d'ingénieur à la plateforme d'échange de cryptomonnaies en 2025, mais a été identifié avant d'être embauché.cyberscoop+1

Contexte plus large

L'avis accompagne un rapport de l'Équipe multilatérale de surveillance des sanctions exposant des milliers de ressortissants nord-coréens employés dans des industries du monde entier. Les chercheurs estiment qu'environ 100 000 travailleurs informatiques nord-coréens sont employés ou recherchent du travail à l'échelle mondiale, cette vaste opération de fraude étant censée générer plus de 500 millions de dollars par an pour Pyongyang.theregister+1

Le FBI a exhorté les demandeurs d'emploi dans le secteur informatique à éviter d'exécuter du code provenant de tiers non fiables, à n'exécuter du code inconnu qu'à l'intérieur de bacs à sable ou de machines virtuelles, et à déconnecter immédiatement tout appareil compromis d'Internet.pcmag