Šta se desilo?

Bezbednosne i policijske institucije iz Japana, Sjedinjenih Američkih Država, Australije i Nemačke objavile su zajedničko upozorenje o severnokorejskoj grupi WaterPlum, povezanoj sa dugogodišnjom kampanjom poznatom kao „Contagious Interview“.

Prema zajedničkom upozorenju od 18. septembra 2026, grupa je između decembra 2025. i jula 2026. godine kompromitovala najmanje 30.000 uređaja u više od 100 zemalja i došla do sredstava ili pristupnih podataka više od 7.000 kripto novčanika.

Napadači su od žrtava ukrali najmanje 1,7 milijardi japanskih jena, odnosno približno 10,71 milion dolara u kriptovalutama, koje su korišćene za ostvarivanje prihoda u korist Severne Koreje.

Koga pogađa?

Primarne mete su IT stručnjaci, web programeri, freelanceri, softverski inženjeri i stručnjaci koji rade sa kriptovalutama, blockchain i Web3 tehnologijama.

Napadači se predstavljaju kao poslodavci ili regruteri kompanija iz oblasti veštačke inteligencije, kriptovaluta i NFT-a i kontaktiraju potencijalne žrtve preko društvenih mreža, platformi za zapošljavanje i freelance servisa.

Uspešna infekcija ne ugrožava samo pojedinca. Ukradeni pristupni podaci mogu omogućiti napadačima pristup sistemima kompanija, klijenata i drugih organizacija sa kojima žrtva sarađuje.

Kako se zaštititi?

  • Ne pokrećite kod, npm pakete ili projekte koje ste dobili od nepoznatog poslodavca bez prethodne analize.
  • Nepoznati kod testirajte isključivo u izolovanom sandbox ili virtuelnom okruženju.
  • Visual Studio Code projekte iz nepoznatih izvora otvarajte u Restricted Mode režimu i proverite sadržaj .vscode/tasks.json fajla.
  • Budite posebno oprezni ako se tokom intervjua od vas traži da pokrenete komandu ili skriptu radi navodnog rešavanja problema sa videom ili aplikacijom.
  • Proverite identitet kompanije i osobe koja vas kontaktira preko nezavisnih, zvaničnih kanala.
  • Za poslovne uređaje koristite EDR zaštitu i ograničite izvršavanje nepoznatog koda.
  • Ako sumnjate na infekciju, odmah isključite uređaj sa mreže i pokrenite bezbednosnu analizu.
  • Ako je na kompromitovanom uređaju korišćen kripto novčanik, napravite novi novčanik na čistom uređaju i prebacite sredstva na njega.

Tehnički detalji

Kako funkcionišu napadi?

Napad najčešće počinje lažnim razgovorom za posao ili tehničkim zadatkom. Kandidatu se šalje projekat, programski paket ili drugi fajl koji navodno treba da preuzme i pokrene kako bi završio testiranje.

U nekim slučajevima napadači tokom video razgovora tvrde da postoji tehnički problem i traže od kandidata da preuzme ili pokrene dodatni kod kako bi ga rešio.

Istražitelji su utvrdili i da su članovi grupe tokom online intervjua koristili AI alate za zamenu lica. Nakon nekoliko minuta razgovora isključivali su kameru i navodili žrtvu da učini isto, uz obrazloženje da postoje problemi sa internet vezom.

Porodice malvera

WaterPlum koristi više porodica malvera koje se distribuiraju preko zlonamernih npm paketa, repozitorijuma koda i Visual Studio Code projekata:

  • BeaverTail - JavaScript malver sakriven u zlonamernim npm paketima.
  • InvisibleFerret - Python backdoor koji omogućava daljinski pristup kompromitovanom sistemu.
  • OtterCookie - JavaScript RAT i malver za krađu informacija.
  • OtterCandy - malver koji kombinuje mogućnosti malvera OtterCookie i RATatouille.
  • StoatWaffle - modularni Node.js malver koji koristi zlonamerne Visual Studio Code projekte za izvršavanje koda, krađu podataka i održavanje pristupa sistemu.

Nakon kompromitovanja uređaja napadači mogu da prikupljaju kredencijale sačuvane u browseru, sadržaj clipboard-a, pritiske na tastaturi, snimke ekrana, privatne ključeve i seed fraze kripto novčanika, kao i dokumente i druge fajlove dostupne na računaru.

Zlonamerni Visual Studio Code projekti mogu sadržati .vscode/tasks.json konfiguraciju koja pokušava da automatski izvrši kod kada korisnik otvori i označi projekat kao pouzdan.

Zašto je važno?

IT stručnjaci i freelanceri iz Srbije i regiona aktivno koriste međunarodne platforme za zapošljavanje, društvene mreže i freelance servise, što ih čini potencijalnim metama ovakvih kampanja bez obzira na to gde se fizički nalaze.

Poseban problem je što napad izgleda kao normalan proces zapošljavanja. Tehnički zadaci, Git repozitorijumi, npm paketi i Visual Studio Code projekti uobičajeni su deo rada programera, pa zlonamerni sadržaj može delovati mnogo uverljivije od klasičnog email priloga.

Preporuka Sajber Radara

Ako tokom procesa zapošljavanja dobijete kod, npm paket ili Visual Studio Code projekat, nemojte ga pokretati direktno na svom poslovnom ili privatnom računaru. Nepoznat kod analizirajte i izvršavajte isključivo u izolovanom okruženju.

Ako sumnjate da je uređaj kompromitovan, odmah ga isključite sa mreže. Ako ste na njemu koristili kripto novčanik, tretirajte njegove pristupne podatke kao kompromitovane i prebacite sredstva u novi novčanik kreiran na čistom uređaju.