Wprowadzenie do problemu / definicja
Grupa WaterPlum, znana również jako „Contagious Interview”, to powiązany z Koreą Północną podmiot prowadzący kampanie cyberprzestępcze wymierzone przede wszystkim w programistów, specjalistów IT oraz freelancerów. Mechanizm działania opiera się na socjotechnice: napastnicy podszywają się pod rekruterów, firmy technologiczne lub potencjalnych klientów i nakłaniają ofiary do uruchomienia złośliwego kodu pod pretekstem udziału w rozmowie kwalifikacyjnej, wykonania zadania technicznego albo rozwiązania problemu z narzędziem do wideokonferencji.
To szczególnie groźny model ataku, ponieważ wykorzystuje naturalne procesy zawodowe i zaufanie do środowiska developerskiego. Z punktu widzenia ofiary działania przestępców często wyglądają jak standardowa rekrutacja lub rutynowa kooperacja projektowa.
W skrócie
Według wspólnego ostrzeżenia organów ścigania i agencji cyberbezpieczeństwa z Japonii, Stanów Zjednoczonych, Australii i Niemiec grupa WaterPlum zainfekowała co najmniej 30 tys. urządzeń w ponad 100 krajach w okresie od grudnia 2025 do lipca 2026 roku. Kampania miała doprowadzić do przejęcia środków lub danych uwierzytelniających z ponad 7 tys. portfeli kryptowalutowych.
Śledczy wskazują, iż skradzione aktywa o równowartości około 10,71 mln dolarów zostały przetransferowane do Korei Północnej. Operacja łączy klasyczną socjotechnikę z wykorzystaniem malware zaprojektowanego do kradzieży danych, utrzymania dostępu oraz dalszej eksploracji środowiska ofiary.
- co najmniej 30 tys. zainfekowanych urządzeń,
- ponad 100 państw objętych kampanią,
- ponad 7 tys. naruszonych portfeli kryptowalutowych,
- straty szacowane na około 10,71 mln dolarów.
Kontekst / historia
Kampania „Contagious Interview” jest obserwowana od dłuższego czasu jako schemat ataków wymierzonych w osoby poszukujące pracy w branży technologicznej. Atakujący budują wiarygodność, podszywając się pod legalne firmy z sektorów takich jak sztuczna inteligencja, kryptowaluty, NFT czy rozwój oprogramowania. Kontakt z ofiarami odbywa się przez platformy rekrutacyjne, media społecznościowe, marketplace’y dla freelancerów oraz komunikatory używane przez programistów.
Najważniejszym elementem najnowszych ustaleń jest bezpośrednie powiązanie działań WaterPlum z szerszym ekosystemem północnokoreańskich operacji ukierunkowanych na pozyskiwanie środków finansowych. Dochodzenia wskazują, iż część operatorów może działać również jako rzekomi zdalni pracownicy IT, wykonując zlecenia dla zagranicznych podmiotów. Oznacza to niebezpieczne połączenie cyberprzestępczości, oszustw tożsamościowych oraz infiltracji łańcucha dostaw usług IT.
Analiza techniczna
Typowy scenariusz ataku zaczyna się od zaproszenia na rozmowę kwalifikacyjną albo otrzymania zadania rekrutacyjnego. Ofiara dostaje repozytorium, archiwum projektu lub pakiet instalacyjny, który ma rzekomo posłużyć do wykonania testu technicznego. W praktyce jest to loader lub pakiet zawierający złośliwe komponenty.
W kampanii przypisano grupie kilka rodzin malware, które pełnią różne role w łańcuchu ataku. Część z nich odpowiada za początkowe uruchomienie kodu, inne za utrzymanie dostępu, kradzież danych lub zdalne sterowanie urządzeniem.
- BeaverTail – złośliwe oprogramowanie w JavaScript ukrywane w pakietach npm,
- InvisibleFerret – backdoor oparty na Pythonie,
- OtterCookie – trojan zdalnego dostępu i stealer napisany w JavaScript,
- OtterCandy – wariant łączący funkcje kradzieży danych i zdalnej kontroli,
- StoatWaffle – modularne malware Node.js dystrybuowane m.in. poprzez spreparowane projekty Visual Studio Code.
Szczególnie niepokojący jest sposób dostarczania zagrożenia przez projekty deweloperskie i zależności programistyczne. Atakujący wykorzystują zaufanie do kodu źródłowego, menedżerów pakietów oraz środowisk pracy programisty. W przypadku StoatWaffle wskazano użycie złośliwych konfiguracji projektów Visual Studio Code, które mogą uruchamiać kod po otwarciu i zaakceptowaniu folderu przez użytkownika.
Po uzyskaniu dostępu operatorzy wdrażają funkcje utrzymania obecności oraz zdalnego zarządzania. Malware może służyć do kradzieży zapisanych danych logowania, przechwytywania schowka, rejestrowania naciśnięć klawiszy, wykonywania zrzutów ekranu, wykradania kluczy prywatnych i seed phrase portfeli kryptowalutowych, a także pozyskiwania dokumentów oraz obrazów dokumentów tożsamości.
Z perspektywy obrony szczególnie istotne jest to, iż po kompromitacji stacji roboczej programisty napastnicy mogą próbować rozszerzyć dostęp na środowiska firmowe klienta lub pracodawcy. W efekcie pojedyncza infekcja może stać się punktem wyjścia do znacznie poważniejszego incydentu organizacyjnego.
Konsekwencje / ryzyko
Bezpośrednim skutkiem kampanii są straty finansowe wynikające z kradzieży kryptowalut oraz przejęcia kont i danych uwierzytelniających. Jednak skala zagrożenia jest znacznie większa, ponieważ celem ataku są osoby mające dostęp do kodu, infrastruktury i narzędzi wykorzystywanych przez firmy technologiczne.
- wtórna kompromitacja sieci przedsiębiorstw,
- kradzież własności intelektualnej i kodu źródłowego,
- nadużycia tożsamościowe z użyciem skradzionych dokumentów,
- wykorzystanie zainfekowanych urządzeń jako punktów wejścia do dalszych operacji,
- ryzyko szantażu, sabotażu lub działań wywiadowczych.
Dodatkowym wymiarem zagrożenia jest możliwość wykorzystania skradzionych danych do wspierania schematu fałszywych pracowników IT. Ustalenia śledczych sugerują, iż dokumenty przejęte podczas ataków mogą być później używane do podszywania się pod ofiary i zdobywania zdalnych kontraktów. Dla firm oznacza to konieczność znacznie dokładniejszej weryfikacji kontraktorów i kandydatów do pracy.
Rekomendacje
Organizacje zatrudniające programistów, freelancerów i kontraktorów powinny wdrożyć wielowarstwowe środki ochrony obejmujące zarówno bezpieczeństwo techniczne, jak i procesy HR oraz zarządzanie dostępem.
- weryfikować tożsamość kandydatów, lokalizację oraz historię zatrudnienia przed dopuszczeniem do systemów,
- ograniczać uprawnienia kontraktorów zgodnie z zasadą najmniejszych przywilejów,
- wymagać odseparowanych i zarządzanych środowisk roboczych dla zewnętrznych wykonawców,
- blokować uruchamianie niezweryfikowanych repozytoriów, pakietów i skryptów poza sandboxem,
- monitorować użycie npm, pip, GitHub, Bitbucket i podobnych platform pod kątem podejrzanych zależności,
- wdrożyć EDR lub XDR z detekcją nietypowych działań w środowiskach deweloperskich,
- kontrolować możliwość automatycznego uruchamiania zadań i konfiguracji w edytorach kodu,
- wymuszać MFA dla kont developerskich, repozytoriów oraz portfeli kryptowalutowych,
- szkolić pracowników z rozpoznawania fałszywych procesów rekrutacyjnych i zadań technicznych,
- przechowywać klucze prywatne i seed phrase poza stacjami roboczymi używanymi do codziennej pracy.
Dla indywidualnych specjalistów IT najważniejsze jest nieuruchamianie nieznanego kodu na głównym komputerze roboczym. Testy rekrutacyjne i obce projekty powinny być analizowane wyłącznie w środowiskach izolowanych, najlepiej jednorazowych. Warto także zachować szczególną ostrożność, gdy rozmówca nalega na szybkie pobranie plików, wyłączenie zabezpieczeń lub manualne wykonanie poleceń diagnostycznych.
Podsumowanie
Sprawa WaterPlum pokazuje, iż nowoczesne kampanie cyberprzestępcze coraz częściej wykorzystują realne procesy biznesowe, takie jak rekrutacja i outsourcing usług IT, jako skuteczny wektor wejścia. Połączenie socjotechniki, złośliwych pakietów programistycznych i malware zaprojektowanego z myślą o deweloperach sprawia, iż operacja ta jest wyjątkowo niebezpieczna.
Dla organizacji oznacza to konieczność rozszerzenia ochrony poza klasyczny phishing i objęcia kontrolami również procesów HR, współpracy z kontraktorami oraz bezpieczeństwa łańcucha narzędzi developerskich. Ataki na specjalistów IT stają się dziś ryzykiem biznesowym o bezpośrednim wpływie na finanse, ciągłość działania i bezpieczeństwo danych.
Źródła
- BleepingComputer – North Korean WaterPlum hackers infected 30,000 devices worldwide – https://www.bleepingcomputer.com/news/security/north-korean-waterplum-hackers-infected-30-000-devices-worldwide/
- FBI IC3 / Joint Advisory – North Korean „WaterPlum,” commonly referred to as “Contagious Interview,” Cyber Actor Group Targeting IT Professionals; Activities of North Korean IT Workers in Japan, the United States and Europe – https://www.ic3.gov/CSA/2026/260918.pdf
- National Police Agency of Japan – Public attribution regarding North Korean cyber actor group “WaterPlum” and North Korean IT workers – https://www.npa.go.jp/news/release/2026/20260918001.html
- Australian Cyber Security Centre – North Korean „WaterPlum,” commonly referred to as “Contagious Interview,” cyber actor group targeting IT professionals – https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/north-korean-waterplum-commonly-referred-to-as-contagious-interview-cyber-actor-group-targeting-it-professionals
