O grupo WaterPlum, também conhecido como Contagious Interview e ligado à Coreia do Norte, infectou ao menos 30 mil computadores em mais de 100 países entre dezembro de 2025 e julho de 2026. A apuração é do Internet Crime Complaint Center, o IC3.
Ao menos US$ 10,7 milhões em criptomoedas foram movidos para a Coreia do Norte. Mais de 7 mil carteiras tiveram fundos ou credenciais obtidos pelos operadores.
A abordagem começa em redes sociais e plataformas de trabalho freelance, com os criminosos se apresentando como recrutadores. O alvo são desenvolvedores de software, atraídos por vagas que não existem.
O golpe se fecha quando o suposto processo seletivo pede uma tarefa de programação ou a solução de um problema no software da entrevista. Para isso, a vítima precisa baixar um arquivo, e é esse arquivo que carrega o malware.
O arsenal inclui BeaverTail, InvisibleFerret, OtterCookie, OtterCandy e StoatWaffle. O último se esconde dentro de projetos com temática de blockchain e usa uma configuração do Visual Studio Code para executar código na máquina do desenvolvedor.
A escolha do alvo não é aleatória. Desenvolvedores costumam ter chaves de acesso, carteiras e credenciais de produção na mesma máquina em que testam código de terceiros, o que transforma um teste técnico aparentemente inofensivo em porta de entrada.
No Japão, as autoridades desarticularam uma operação de fazendas de laptops ligada ao esquema, estrutura usada para sustentar a fachada dos falsos profissionais e manter o acesso às máquinas comprometidas.
