警察庁とNCOが北朝鮮系「WaterPlum」の手口を公表。偽の採用面接でIT技術者を狙い3万台超が感染

01発表されている事実

02どんな手口か

WaterPlumは、AI企業や暗号資産企業、人材紹介サービスなどになりすまし、SNSや求人サイト、フリーランス向けの仲介サイトで求職者に近づきます。オンライン面接やコーディング課題の途中で、コード置き場に置いた不正なプログラムをダウンロードさせ、「会議ツールの不具合を直して」「課題を完成させて」と指示して実行させます。

使われるのは、不正なNPMパッケージに埋め込んだBeaverTail、InvisibleFerret、OtterCookie、OtterCandy、StoatWaffleなどのマルウェアです。StoatWaffleは、VS Codeのプロジェクトを開いて「信頼する」と答えると自動で動く設定ファイルを仕込んでいます。感染すると、ブラウザに保存したIDとパスワード、キー入力、画面、暗号資産ウォレットの秘密鍵、身分証の画像などが盗まれます。盗んだ認証情報で、勤務先の社内ネットワークに侵入することもあるとしています。

03読者への影響

狙われるのは個人の技術者ですが、被害は勤務先や発注元の会社にも広がります。公表資料には、北朝鮮IT労働者と知らずに開発を外注した企業で、報酬のトラブルの後にソースコードを公開された例や、関わったWebサイトが後に改ざんされた例も書かれています。北朝鮮IT労働者と知って報酬を払ったり、身分証を渡したりすると、犯罪に加担するおそれがあります。

04今すぐやること

1. 他人のコードはすぐ実行しない。業務用や暗号資産を扱うPCでは動かさず、仮想マシンなどで試します。curl、base64、mshta、Invoke-WebRequestなどを含むコマンドの貼り付けを求められたら、動作がわかる場合を除き実行しないでください。
2. VS Codeは「制限モード」で開く。「このフォルダ内のファイルの作成者を信頼しますか？」には「いいえ」を選び、.vscode/tasks.jsonの中身を確かめます。
3. 感染が疑わしいときは通信を切る。ウイルス対策ソフトが駆除しても、別のPCで新しいウォレットを作って資産を移し、データを退避してからPCを初期化することが推奨されています。
4. 会社はEDRと採用の確認を。EDRでPCの挙動を監視します。採用面接ではスキルの具体的な説明を求め、連絡先や応募元のIPアドレスも確かめます。外注先に渡す権限は最小限にしてください。
5. 遠隔操作用のPCを頼まれても置かない。取引相手が北朝鮮IT労働者かもしれないと思ったら、警察に相談してください。