朝鲜 WaterPlum 黑客感染全球 30,000 台设备

一份联合执法公告警告称，朝鲜黑客组织 WaterPlum 从 2025 年 12 月至 2026 年 7 月在全球范围内入侵了至少 30,000 台设备，并向朝鲜转移了超过 1,070 万美元的被窃加密货币。

这些数字来自日本、美国、澳大利亚和德国当局的联合公告，各方共同追踪了该威胁组织的活动。

WaterPlum 与一场持续多年的名为 "Contagious Interview" 的攻击行动有关，该行动此前曾针对求职者投放恶意 npm 包，使恶意软件感染其设备。

攻击者冒充合法的人工智能、加密货币和 NFT 公司，或利用招聘和自由职业平台接触求职者。

在虚假面试和编程测试期间，受害者被指示下载项目、排查所谓的视频会议问题，或执行恶意代码。

WaterPlum 是朝鲜威胁行为者更大生态系统的一部分，这些行为者出于经济动机发动攻击，为朝鲜政权创收并帮助资助其武器计划。

"WaterPlum 行为者已感染 100 多个国家的至少 30,000 台设备，并从超过 7,000 个加密货币钱包中外泄资金或账户凭据，"公告写道。

"WaterPlum 行为者已将 17 亿日元（相当于 1,071 万美元）的加密货币资产转移到朝鲜。"

该公告将多个恶意软件家族与 WaterPlum 的行动联系起来，包括：

• BeaverTail：隐藏在 npm 包中的 JavaScript 恶意软件。
• InvisibleFerret：基于 Python 的后门。
• OtterCookie：JavaScript 远程访问木马和信息窃取器。
• OtterCandy：结合 OtterCookie 与 RAT 能力的恶意软件。
• StoatWaffle：通过恶意 Visual Studio Code 项目投递的模块化 Node.js 恶意软件，使用在文件夹被打开并受信任后执行代码的配置文件。

一旦目标被入侵，攻击者会试图窃取浏览器凭据、剪贴板内容、键盘输入、加密货币私钥和助记词以及文档，同时还会截取屏幕截图。

他们还可能利用对受感染计算机的访问权限转向其雇主或客户的网络，将攻击扩展到知识产权窃取和间谍活动。

这些机构还将 WaterPlum 与朝鲜的欺诈性 IT 外包人员行动直接联系起来，称一些 WaterPlum 黑客同时担任远程 IT 外包人员，为客户进行 Web 开发，且这两个群体使用过相同的 IP 地址。

该公告还警告称，朝鲜 IT 外包人员随后会重复使用在 WaterPlum 攻击中窃取的身份证件来冒充受害者并获取工作。

调查人员还发现，WaterPlum 行为者在线上面试时使用 AI 换脸软件，之后关闭摄像头并以网络问题为借口。

FBI 和日本警方评估认为，WaterPlum 行为者和一些朝鲜 IT 外包人员在朝鲜 313 总局的领导下运作，该局隶属负责朝鲜武器研究与生产的军需工业部。

日本国家警察厅表示，当局首次识别、调查并捣毁了一个位于日本境内的朝鲜 IT 外包人员 "笔记本农场"，并发现数亿日元被转移至海外的证据。

该公告警告企业仔细核验求职者的身份、所在地和资质，并将其访问权限限制在仅完成工作所需的系统和数据范围内。

开发者应避免在沙箱之外运行未知代码，并检查所提供的文件和代码中是否存在获取额外载荷的命令。