گروه سایبری WaterPlum که با نام Contagious Interview نیز شناخته می‌شود، در یک عملیات گسترده موفق شد بیش از ۳۰,۰۰۰ دستگاه را در ۱۰۰ کشور مختلف آلوده کرده و مبالغ هنگفتی را از کیف پول‌های دیجیتال متخصصان فناوری اطلاعات به سرقت ببرد.
روشی عملیاتی و مهندسی اجتماعی
بر اساس گزارش مشترک نهادهای امنیتی ژاپن، ایالات متحده، استرالیا و آلمان، این گروه که تحت نظر اداره صنعت مهمات کره شمالی فعالیت می‌کند، از طریق جعل هویت شرکت‌های فعال در حوزه هوش مصنوعی (AI)، کریپتوکارنسی و NFT، توسعه‌دهندگان نرم‌افزار و مهندسان را هدف قرار می‌دهد. مهاجمان با استفاده از سرویس‌های استخدامی، مصاحبه‌های فنی جعلی ترتیب می‌دهند و از متقاضیان می‌خواهند برای تکمیل تکالیف کدنویسی یا رفع خطا در تماس‌های ویدئویی، فایل‌های خاصی را دانلود کنند.
زنجیره آلودگی و بدافزارهای مورد استفاده
این فایل‌ها حاوی بسته‌های مخرب Node Package Manager (NPM) هستند که بدافزارهایی نظیر BeaverTail، InvisibleFerret، OtterCookie، OtterCandy و StoatWaffle را منتقل می‌کنند. پس از نصب، این بدافزارها دسترسی Backdoor ایجاد کرده و از طریق Remote Access Trojans (RAT) پایداری خود را در سیستم حفظ می‌کنند. در نهایت، ابزارهای Infostealer اقدام به استخراج اطلاعات زیر می‌کنند:
- اطلاعات دسترسی به کیف پول‌های دیجیتال (Wallet Credentials)
- پسوردهای ذخیره شده در مرورگر
- داده‌های Clipboard و Keyloggers
- اسناد شناسایی کاربران
در بازه زمانی دسامبر ۲۰۲۵ تا جولای ۲۰۲۶، این گروه از بیش از ۷,۰۰۰ کیف پول دیجیتال، معادل ۱۰.۷۱ میلیون دلار را به کره شمالی منتقل کرده است. اهداف اصلی این حملات، طراحان وب، مهندسان و متخصصان حوزه Blockchain و Web3 بوده‌اند.
استفاده از Laptop Farms برای دور زدن محدودیت‌ها
یکی از جنبه‌های پیچیده این عملیات، استفاده از «مزارع لپ‌تاپ» (Laptop Farms) است. در این روش، کامپیوترهای استخدامی در مکان‌های مختلف (مانند منزل تسهیل‌گران) قرار دارند و توسط کارکنانی که در کره شمالی، چین، روسیه یا جنوب شرق آسیا هستند، به‌صورت ریموت کنترل می‌شوند. این تسهیل‌گران با ارائه مدارک شناسایی جعلی و حساب‌های بانکی، در ازای دریافت درصدی از درآمد، زیرساخت لازم برای دور زدن سیستم‌های احراز هویت شرکت‌ها را فراهم می‌کنند.
علائم هشداردهنده و اقدامات پیشگیرانه
کارشناسان امنیتی موارد زیر را به عنوان نشانه‌های قرمز (Red Flags) در فرآیندهای استخدامی معرفی کرده‌اند:
- امتناع از برگزاری جلسات حضوری
- درخواست پرداخت‌ها از طریق کریپتوکارنسی
- شنیده شدن صداهای پس‌زمینه مشکوک یا انجمادهای مکرر تصویر در تماس‌های ویدئویی
برای مقابله با این تهدیدات، توصیه‌های فنی زیر ارائه شده است: اجرای کدهای ناشناس تنها در محیط Sandbox، استفاده از Restricted Mode در پروژه‌های VSCode، استقرار ابزارهای Endpoint Detection and Response (EDR) و در صورت شناسایی آلودگی، قطع فوری اتصال دستگاه از شبکه و بازنشانی کامل سیستم‌عامل.
