WaterPlum, el grupo norcoreano, infectó 30.000 dispositivos en más de 100 países

Un aviso conjunto de las autoridades de Japón, Estados Unidos, Australia y Alemania atribuye al grupo norcoreano WaterPlum la infección de al menos 30.000 dispositivos en más de 100 países entre diciembre de 2025 y julio de 2026. Los atacantes exfiltraron fondos o credenciales de más de 7.000 monederos de criptomonedas y transfirieron a Corea del Norte 1.700 millones de yenes, unos 10,71 millones de dólares. Es la campaña Contagious Interview, que lleva años usando procesos de selección falsos para colar malware a desarrolladores.

Cómo entran

El modus operandi no ha cambiado: los atacantes se hacen pasar por empresas de IA, criptomonedas o NFT y abordan a sus objetivos en plataformas de empleo y freelance. Durante entrevistas y pruebas técnicas falsas piden descargar un proyecto, arreglar un problema supuesto de videoconferencia o ejecutar código. Según el aviso, algunos operadores usan software de intercambio de cara por IA durante las entrevistas y después apagan la cámara culpando a la red.

El aviso del IC3 atribuye a WaterPlum varias familias de malware. BeaverTail es JavaScript escondido en paquetes npm. InvisibleFerret es una puerta trasera en Python. OtterCookie combina un troyano de acceso remoto con robo de información, y OtterCandy mezcla ese RAT con capacidades adicionales. StoatWaffle es el más incómodo para un desarrollador: malware modular en Node.js que se distribuye mediante proyectos de Visual Studio Code manipulados y usa ficheros de configuración que ejecutan código en cuanto se abre la carpeta y se confía en ella.

Una vez dentro, roban credenciales del navegador, contenido del portapapeles, pulsaciones de teclado, claves privadas y frases semilla de monederos, y documentos, además de capturar pantallas. Desde ahí pueden saltar a las redes de los empleadores o clientes de la víctima y pasar al robo de propiedad intelectual y al espionaje.

Trabajadores de IT y granjas de portátiles

Las agencias vinculan WaterPlum con la operación norcoreana de trabajadores de IT remotos. Algunos de esos supuestos desarrolladores usan las mismas direcciones IP que el grupo y reutilizan documentos de identidad robados en los ataques para hacerse pasar por sus víctimas y conseguir empleo. El FBI y la policía japonesa sitúan a WaterPlum y a parte de esos trabajadores bajo la 313.ª Oficina General, dependiente del Departamento de Industria de Municiones, responsable de la investigación y la producción de armamento del país. La Policía Nacional de Japón afirma haber desmantelado por primera vez una granja de portátiles de trabajadores norcoreanos en su territorio.

Para quien contrata, las recomendaciones son verificables y poco glamurosas: comprobar identidad, ubicación y cualificaciones del candidato, y darle acceso solo a los sistemas que necesita. Para quien recibe código, no ejecutar nada desconocido fuera de un entorno aislado y revisar los ficheros en busca de comandos que descarguen más carga. El aviso australiano recoge el detalle completo de indicadores.