2026 年 9 月 18 日，日本警察厅联合国家网络统筹室，会同美国 FBI、美国国防部网络犯罪中心、澳大利亚信号局/网络安全中心、德国联邦情报局和联邦宪法保卫局，发布了一份针对朝鲜背景黑客组织 WaterPlum（又称“Contagious Interview”，直译“伪装面试”）的联合报告。这是日本警方首次以官方名义、联合多国机构披露本国的具体案例和缴获证据。查找币安全团队对报告核心内容进行整理与分析，重点梳理其攻击链路、威胁影响与防护要点。
一、组织背景与报告来源
Contagious Interview 这一攻击活动此前已被多家国际安全厂商追踪多年，常被认为与朝鲜 Lazarus Group 存在关联。本次联合报告由日本警察厅牵头，联合美国、澳大利亚、德国多家机构共同发布，报告链接为：
报告指认，该组织幕后指挥机构为朝鲜劳动党中央委员会军需工业部第 313 总局。
二、核心数据
| 指标 | 数据 |
|---|---|
| 感染终端数量 | 3 万台以上 |
| 受影响国家/地区 | 100 个以上 |
| 被窃取加密货币钱包 | 7,000 个以上 |
| 转移至朝鲜的加密资产 | 至少约 17 亿日元（约 1,071 万美元） |
| 攻击活跃期 | 2025 年 12 月至 2026 年 7 月 |
| 主要目标 | Web 开发者、加密货币/区块链/Web3 领域技术人员 |
| 幕后指挥机构 | 朝鲜劳动党中央委员会军需工业部第 313 总局 |
三、攻击链路拆解
WaterPlum 的套路核心并不复杂：冒充招聘方。整条攻击链可拆为四个阶段。
第一步：诱饵投放
攻击者会在社交媒体、招聘网站、零工平台、自由职业者市场上主动联系 IT 技术人员，尤其盯上 Web 开发者和加密货币/区块链圈的工程师。伪装身份可以是 AI 公司、加密资产公司、NFT 项目方，也可以是猎头。
第二步：技术面试陷阱
接触目标后，常见套路是约受害者参加一场“技术面试”，或给出一道编程测试题。做题过程中，对方会要求从 GitHub 等代码仓库下载一个“项目文件”，理由通常是“帮忙修一下这个视频会议工具的 bug”，或“按这个模板把测试题做完”。而这个文件，往往就是恶意程序。
第三步：恶意软件部署
报告点名了多款相关恶意软件：BeaverTail、InvisibleFerret、OtterCookie、OtterCandy、StoatWaffle。
其中值得特别关注的是 StoatWaffle：它会伪装成区块链相关的项目仓库，专门通过 .vscode/tasks.json 这一 VS Code 配置文件来自动执行代码。也就是说，受害者只要打开该项目的代码目录并选择“信任”，代码就可能在后台自动运行，无需手动点击运行。
报告特别提醒：
- 收到不熟悉的 VS Code 项目，务必使用“受限模式”打开；
- 弹出“是否信任此文件夹的作者”提示时，选择“否”即可避开该陷阱；
- 不要将陌生项目放入此前已设为“信任”的文件夹；
- 不要为图方便关闭 workspace trust 这一安全设置。
第四步：数据窃取与横向移动
这些恶意软件被藏进伪装成正常代码库的 NPM 包中。一旦执行，便会在主机中植入后门、连接远程服务器，随后开始搜刮各类敏感信息：
- 浏览器中保存的账号密码；
- 剪贴板内容；
- 键盘记录；
- 屏幕截图；
- 加密钱包的私钥与助记词；
- 身份证件照片（驾照、护照等）。
被窃取的账号密码并不只是被拿去售卖。报告指出，攻击者会利用这些窃取的凭据反向渗透受害者所在企业的内部网络，进行更深层次的攻击，例如窃取知识产权、在企业环境中进一步横向移动。而被窃取的身份证件照片，还可能被朝鲜 IT 劳动者用于冒名顶替，混入海外求职市场牟利。
按报告披露的数据，2025 年 12 月至 2026 年 7 月期间，全球 100 多个国家和地区至少 3 万台电脑中招，超过 7,000 个加密钱包信息被窃，流入 WaterPlum 控制钱包的资产至少约 17 亿日元（折合约 1,071 万美元）。
四、日本首次查获并拆解“笔记本农场”
这份报告中最值得关注的，并非恶意软件本身，而是日本警方首次在国内查获并拆解的一个“笔记本农场”（Laptop Farm）。
其运作模式是：朝鲜 IT 劳动者本人并不在日本，但通过说服或收买居住在日本的某个人，在其住所放置一台电脑，再远程操控这台电脑工作。对外看来，这份工作由“日本本地人”承接，实际操作者可能远在朝鲜、中国或俄罗斯。
报告将这名日本境内的配合者称为“支援者”，其行为包括：
- 提供住处放置电脑；
- 提供网络接入；
- 将自己的身份证件交给朝鲜劳动者用于冒名接单；
- 部分情况下，支援者承接的订单直接由朝鲜劳动者“借壳”完成；
- 部分情况下，支援者的银行账户被指定为收款账户，资金转入后再设法转出；
- 支援者还代为租用 VPS 服务器，进一步掩盖真实作业地点。
警方查明，通过此类手法，朝鲜 IT 劳动者已将数亿日元规模的加密资产等转移至境外。
五、身份伪装与人员甄别信号
报告同时提示，在远程招聘与外包场景中，以下信号值得提高警惕：
- 面试中追问几个具体技术问题，判断对方是真正理解还是背诵答案；
- 坚持要求以加密货币支付薪水、坚持不肯到现场、要求将款项打入他人名下账户，均值得多问一句；
- 聊几句候选人所在地的天气、生活习惯等闲话，有时比技术题更容易暴露破绽。
六、威胁影响与防护建议
这份报告的意义不止于披露又一个朝鲜背景的恶意组织，而是展示了一种日益复杂的攻击模式：攻击者可以从招聘信息进入个人终端，从个人终端进入企业网络，再通过窃取的凭据和加密资产钱包实现直接变现；与此同时，另一套身份伪装与 Laptop Farm 基础设施又可以帮助相关人员进入海外 IT 劳务市场。一边靠钓鱼窃取加密资产，一边靠伪装身份混进海外劳务市场，两条线互相交织、互相打掩护。
对个人和企业而言，防护重心不能只放在“防病毒”上，招聘、外包、身份核实等环节同样需要纳入安全考量：
- 开发者个人：对陌生代码仓库保持警惕，VS Code 项目一律以受限模式打开，拒绝不必要的 workspace trust；不随意运行来源不明的 NPM 包与项目脚本。
- 企业招聘与外包：加强远程候选人身份核验，对“代收款”“加密货币发薪”“拒绝现场”等异常要求保持敏感。
- 企业内网：一旦发现终端感染迹象，应及时排查凭据泄露与横向移动风险，隔离受影响主机并重置相关凭据。
- 持续关注情报：报告强调，未来攻击方式将继续演变和复杂化，企业和个人应持续关注国内外安全机构的预警信息与安全厂商发布的报告。
本文由查找币整理，原始来源：SlowMist（慢雾）。
原文来源：SlowMist（慢雾）。