Des chercheurs en cybersécurité ont réussi à piéger des hackers nord-coréens du groupe Famous Chollima, une sous-division de Lazarus, en créant une fausse start-up DeFi, selon Cryptoast. Cette opération a permis de recueillir des informations précieuses sur les méthodes d'infiltration des opérateurs nord-coréens dans l'industrie crypto.

La fausse start-up, baptisée Ballena Azul LTD, a été créée pour attirer des membres présumés de Famous Chollima, qui sont spécialisés dans l'infiltration d'entreprises via de faux travailleurs IT. Les chercheurs ont poussé la mise en scène jusque dans les moindres détails, en créant un site professionnel, une identité visuelle et même en enregistrant la société auprès de l'administration britannique.

Ce qu'il faut retenir

  • Des chercheurs en cybersécurité ont créé une fausse start-up DeFi pour piéger des hackers nord-coréens de Lazarus.
  • La fausse start-up, Ballena Azul LTD, a été créée pour attirer des membres présumés de Famous Chollima.
  • Les chercheurs ont recueilli des informations précieuses sur les méthodes d'infiltration des opérateurs nord-coréens dans l'industrie crypto.

Les méthodes d'infiltration

Les faux développeurs étaient particulièrement bien organisés, fournissant tous les documents d'identité demandés, y compris des permis californiens, des comptes bancaires à New York et des pièces d'identité new-yorkaises. Cependant, les métadonnées EXIF d'un des permis révèlent que l'image a été retouchée avec Google Gemini, avec un watermark SynthID intégré.

Les opérateurs mélangent désormais outils d'IA générative, VPN AstrillVPN et bureaux à distance Google Remote Desktop pour maquiller leur origine. Une fois embauchés, les faux développeurs ont synchronisé leurs comptes Google sur les machines fournies, exposant l'historique de navigation, les mots de passe et les extensions.

Les conséquences

Ces infiltrations ont de quoi inquiéter l'ensemble du secteur tech, notamment dans la crypto, la finance ou encore la santé. Un opérateur infiltré peut obtenir un accès légitime au code, aux systèmes internes et à la propriété intellectuelle pendant des mois, tout en générant un salaire redirigé vers Pyongyang.

La vigilance sur les métadonnées des fichiers, sur les incohérences géographiques entre l'adresse et les documents bancaires, ainsi que sur l'usage d'outils comme Google Remote Desktop devient ainsi un prérequis pour les recruteurs. Selon plusieurs rapports d'agences américaines, des milliers de travailleurs IT nord-coréens auraient déjà été placés dans des entreprises occidentales.

Et maintenant ?

Les conséquences de ces infiltrations pourraient être importantes, notamment en termes de sécurité des données et de confidentialité. Les entreprises doivent être vigilantes lors du recrutement de nouveaux employés et vérifier les antécédents et les références de ces derniers. Il est également important de sensibiliser les employés aux risques de sécurité et de leur fournir les outils nécessaires pour protéger les données de l'entreprise.

En conclusion, l'opération menée par les chercheurs en cybersécurité a permis de mettre en lumière les méthodes d'infiltration des opérateurs nord-coréens dans l'industrie crypto. Il est essentiel que les entreprises prennent des mesures pour se protéger contre ces types d'attaques et que les autorités prennent des mesures pour lutter contre ces activités illicites.