朝鲜 WaterPlum 借假工作面试植入恶意软件，3万设备遭感染并窃密 1070 万美元

Security 机构来自日本、美国、澳大利亚和德国的安全机构发出警告称，朝鲜“WaterPlum”网络行动组织正在向假职位应聘者部署恶意软件，窃取其账号凭证及加密货币资产。该通告 [PDF] 指出，目前已有 100 多个国家超过 3 万台设备感染，超过 7,000 个加密钱包遭到入侵，导致 1,071 万美元的损失。

Go deeper with TH Premium: Chipmaking

• 解读 TSMC 晶圆厂扩张路线图——多厂区 N2 投产、CoWoS、SoIC 及产能瓶颈突破
• TSMC、Intel 与 Samsung 的先进制程代工路线图：迈向 1.4nm 节点及更先进工艺
• 深入解析 ASML 光刻机路线图：从 DUV 到 Hyper-NA 演进
• 中国芯片制造设备路线图深度解析

据信，被盗的加密货币被输送给了朝鲜政府，后者还通过假 IT 人员渗透正规公司，每年净赚 5 亿美元。该行动还会窃取凭证和个人数据，日后用于申请西方公司的职位。Amazon 在 2025 年底就遇到过这种情况，自 2024 年 4 月以来，该公司已拦截了超过 1800 份疑似来自朝鲜的求职申请。 攻击过程是这样的：假招聘人员要求真实求职者完成编程任务和其他测试，以评估其技能，但这些测试往往暗藏恶意软件，让攻击者得以入侵受害者的电脑。这些持久化远程访问木马（RAT）让 WaterPlum 组织即便在面试过去几个月后，仍能访问被感染的系统。由于受害者的电脑很可能就是他们日后入职其他公司时使用的设备，朝鲜黑客也可以借此为跳板，攻击其未来雇主的系统并窃取凭证。 国际机构表示，这些假招聘人员通常以有吸引力的职位引诱软件开发者和 IT 从业者，盗用正规 AI、加密货币和 NFT 公司的名义，在在线招聘平台、社交媒体、零工平台和自由职业市场上发布职位。朝鲜利用这类假 IT 人员和类似骗局创收，尤其是在制裁导致其基本被排除在国际经济体系之外的背景下。

许多企业已意识到这一威胁，并采取措施防范类似手法，但普通个人用户在求职时更难做到自保。求职者应只通过官方渠道或正规平台投递简历；若对某职位存疑，最好直接联系公司核实真伪。若决定参加面试，建议专门搭建一台隔离的虚拟机用于测试，以此增加一道安全防护。