Mezinárodní varování japonské, americké, australské a německé policie a zpravodajských služeb odhalilo rozsah kampaně severokorejské skupiny WaterPlum (známé také jako Contagious Interview). Mezi prosincem 2025 a červencem 2026 útočníci kompromitovali nejméně 30 000 zařízení ve více než 100 zemích a z více než 7 000 kryptopeněženek získali nebo ukradli prostředky v hodnotě přibližně 10,71 milionu USD (asi 1,7 miliardy jenů). Tyto peníze putovaly přímo do Severní Koreje.
Jak útoky WaterPlum fungují
Skupina se zaměřuje hlavně na softwarové vývojáře, webdesignery, inženýry a specialisty na kryptoměny a Web3. Útočníci se vydávají za náboráře nebo zástupce firem z oblasti umělé inteligence, kryptoměn a NFT. Kontaktují oběti přes LinkedIn, freelancerské platformy, pracovní portály a náborové agentury s nabídkou atraktivní pracovní pozice. Během falešného pohovoru nebo coding testu je oběť vyzvána, aby:
- stáhla projekt z GitHubu nebo jiného repozitáře,
- spustila škodlivý npm balíček,
- nebo „opravila“ problém s videokonferencí.
Tím se do počítače dostane malware. Podle advisory operátoři WaterPlum při video pohovorech běžně používají AI face-swapping a po pár minutách vypínají kameru s omluvou na problémy se sítí.
Malware, který skupina WaterPlum používá
V kampani se objevuje několik rodin:
BeaverTail
První stupeň útoku. JavaScript (později i nativní Qt verze) stealer a downloader. Krade loginy z prohlížečů, data z kryptopeněženek (MetaMask, Phantom, Coinbase a další) a stahuje další payloady.
InvisibleFerret
Python backdoor, který BeaverTail téměř vždy stahuje jako druhou fázi. Umí keylogging, sledování schránky, screenshoty, krádež souborů i remote shell. Novější verze jsou kompilované do Cythonu, takže se hůř detekují.
OtterCookie / OtterCandy
JavaScript/Node.js RAT a stealer. Komunikuje přes Socket.IO v reálném čase. Umí remote příkazy, clipboard monitoring, keylogging a screenshoty. OtterCandy je hybridní varianta s ještě silnějšími RAT schopnostmi.
StoatWaffle
Modulární Node.js malware, který se spouští automaticky při otevření složky ve Visual Studio Code (díky konfiguraci runOn: folderOpen).
Propojení WaterPlum s falešnými IT pracovníky
WaterPlum není izolovaná skupina. Americké a japonské úřady ji spojují s 313. generálním úřadem Munitions Industry Department, který má vazby na vývoj zbraní. Část operátorů zároveň pracuje jako severokorejští IT pracovníci, používají stejné IP adresy a odcizené doklady identity k tomu, aby se vydávali za skutečné lidi a získávali práci. Ukradené identity následně slouží k impersonaci obětí při shánění dalších zakázek.
Japonsko poprvé odhalilo a rozbilo takzvanou laptop farmu, počítače u místního „enablera“, které vzdáleně ovládali Severokorejci. Z této farmy šly stovky milionů jenů do zahraničí.
Co kampaň WaterPlum znamená pro vývojáře a firmy
Útok je nebezpečný hned dvakrát. Jednak přímo krade kryptoměny a přihlašovací údaje jednotlivců, jednak otevírá cestu do firemních sítí přes nakažený notebook vývojáře nebo freelancera.
Praktická doporučení:
- Nikdy nespouštět neznámý kód mimo sandbox.
- Pečlivě kontrolovat npm balíčky a projekty ve VS Code před spuštěním.
- Při online pohovorech zvýšit ostražitost, útočníci používají i AI face-swapping a vypínání kamery.
- Firmy by měly důkladně ověřovat identitu a lokalitu uchazečů a omezovat přístup jen na nutné systémy.
Kampaň Contagious Interview / WaterPlum běží už od roku 2022 až 2023 a stále se vyvíjí. Ukazuje, jak efektivně Severní Korea propojuje sociální inženýrství, supply-chain útoky a klasickou krádež kryptoměn, aby financovala režim.
V případě podezření na podobný útok je vhodné zařízení izolovat od sítě a kontaktovat odborníka.
Zdroje
- https://www.ic3.gov/CSA/2026/260918.pdf
- https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/north-korean-waterplum-commonly-referred-to-as-contagious-interview-cyber-actor-group-targeting-it-professionals
- https://www.npa.go.jp/bureau/cyber/pdf/20260918_e.pdf
- https://www.bnd.bund.de/EN/Public-Intelligence/joint-cybersecurity-advisory/20260918-prk-waterplum-node.html
- Mediální / analytické zdroje:
- https://www.bleepingcomputer.com/news/security/north-korean-waterplum-hackers-infected-30-000-devices-worldwide/
- https://thehackernews.com/2026/09/contagious-interview-campaign.html
- https://unit42.paloaltonetworks.com/north-korean-threat-actors-lure-tech-job-seekers-as-fake-recruiters/ (BeaverTail + InvisibleFerret)
- https://blog.talosintelligence.com/beavertail-and-ottercookie/ (BeaverTail + OtterCookie)
- https://jp.security.ntt/insights_resources/tech_blog/en-contagious-interview-ottercookie/ (OtterCookie)
- https://jp.security.ntt/insights_resources/tech_blog/ottercandy_malware_e/ (OtterCandy)
