警察庁・NCO、北朝鮮系「WaterPlum」の偽面接手口に注意喚起

警察庁と国家サイバー統括室（NCO）は9月18日、北朝鮮を背景とするサイバー攻撃グループ「WaterPlum」（関連名称「Contagious Interview」）の手口と、北朝鮮IT労働者による外貨獲得・採用応募活動の実態について、米国・豪州・ドイツの司法機関と合同で注意喚起の文書を公表した。

WaterPlumは求職者を狙う。日本、米国、欧州などに及ぶ100以上の国と地域で3万台以上の端末をマルウェアに感染させ、7000件以上の暗号資産ウォレット情報を盗み、少なくとも約17億円相当の暗号資産が送金されていたことが分かった。

手口は、SNSや求人サイトを通じて求職者に近づき、技術面接への参加やコーディング課題の提出を求めるというもの。その過程で、コード共有プラットフォームやリポジトリに置いた不正なプログラムをダウンロードさせ、課題を完成させるよう指示する。中身は、「BeaverTail」「InvisibleFerret」「OtterCookie」「OtterCandy」「StoatWaffle」などのマルウェアやその亜種を仕込んだNPMパッケージだ。実行するとPCにバックドアが設置され、リモートアクセスツールで機密データや暗号資産が抜き取られ、C2サーバー経由で遠隔操作される。

対策として、業務用PCや暗号資産・個人情報を扱うPCで第三者のコードを安易に実行せず、仮想マシンなどのサンドボックスで動かすこと、実行前に難読化や意図の分からない処理がないか確認することを挙げた。貼り付けるよう指示されたコマンドに「curl」「base64」「-enc」「mshta」「Invoke-WebRequest -uri」「iwr -uri」「hidden」などが含まれる場合は特に警戒すべきだとしている。他人のVSCodeプロジェクトは必ず「制限モード」で開き、過去に信頼済みにしたフォルダの中には置かず、ワークスペースの信頼機能（security.workspace.trust.enabled）を無効にしないことも求めた。感染が疑われたら直ちにネットワークから切り離し、検知・駆除後も別のPCで新しいウォレットを作って資産を退避し、PCは初期化することを推奨している。

文書では、北朝鮮IT労働者がラップトップ・ファームやVPSを使い、国内外のクラウドソーシングで仕事を受注している実態にも触れた。こうした人物に業務を発注して報酬を払えば、国内法令や対北朝鮮制裁への違反に問われるおそれがあるとして、発注側企業にも注意を促している。