Il n’est pas courant qu’un journaliste soit invité à se faire passer pour un investisseur en capital-risque afin de tromper des travailleurs informatiques nord-coréens présumés. Pourtant, en juin, ce journaliste a participé à un appel Zoom sous le nom d’emprunt « Aelin Ashriver », un investisseur de la société fictive Definitive Communications, pour rencontrer l’équipe de développement d’une start-up crypto appelée Ballena Azul.

Les travailleurs présents à l’appel pensaient présenter leur start-up pour obtenir un financement en capital-risque. En réalité, ils avaient passé des semaines à travailler au sein d’une fausse entreprise crypto délibérément mise en place pour étudier leurs méthodes, leurs outils et leur infrastructure. L’opération a été orchestrée par Mauro Eldritch, fondateur de la société de cybersécurité BCA LTD, et Heiner García, analyste en renseignement sur les cybermenaces chez Telefónica Tech et fondateur de NorthScan. Cointelegraph a participé à une étape de l’enquête.

Pendant l’appel, ce journaliste a renforcé la supercherie en laissant entendre que Ballena Azul pourrait même obtenir une couverture dans Cointelegraph, ce qui a au moins rendu une personne de l’appel authentiquement sincère.

Des travailleurs informatiques de la RPDC présumés présentent une demande de financement en capital-risque à la fictive Definitive Communications, incarnée par Cointelegraph. Source : ANY.RUN

Créer une entreprise pour des travailleurs informatiques nord-coréens présumés

Eldritch et García ont construit la fictive Ballena Azul à l’aide d’une infrastructure fournie par la plateforme de cybersécurité ANY.RUN. Pour renforcer la crédibilité apparente de l’entreprise, ils ont utilisé l’immatriculation au Royaume-Uni d’une autre société portant le même nom, dissoute en 2022.

Eldritch a pris l’identité du cofondateur « Leonardo Nelson », tandis que García a utilisé l’alias « Andy Jones » et s’est fait passer pour le chef d’équipe de l’entreprise.

À lire aussi : Les espions cyber nord-coréens ne sont plus seulement des menaces à distance

Parmi les renseignements les plus précieux recueillis pendant l’opération de cinq semaines figuraient les serveurs externes que les travailleurs utilisaient comme points de relais avant d’accéder aux bureaux virtuels contrôlés de Ballena Azul. Une telle infrastructure est très recherchée par les chercheurs, car elle est fréquemment réutilisée d’une campagne à l’autre et peut rester opérationnelle pendant de longues périodes. Cette découverte met en lumière un défi plus large pour les défenseurs : une infrastructure de serveurs partagée peut concerner plusieurs employeurs et campagnes de ciblage, de sorte que l’identification et le blocage d’un seul nœud peuvent perturber des opérations bien au-delà de l’entreprise où il a été détecté à l’origine.

García a indiqué à Cointelegraph Magazine que les serveurs identifiés étaient associés à des familles de logiciels malveillants liées à des opérations nord-coréennes conçues pour voler des identifiants, des données de portefeuilles de cryptomonnaies et d’autres informations sensibles.

« Certains des serveurs que nous avons trouvés étaient liés à la diffusion d’InvisibleFerret et de BeaverTail/OtterCookie les années précédentes et étaient encore actifs à ce jour », a-t-il déclaré. « Mais certains autres étaient totalement nouveaux et n’avaient aucune intelligence à leur sujet, semblaient propres et restaient en dehors des principales listes de blocage ou des flux de menaces. »

Il a ajouté que cette infrastructure pouvait remplir plusieurs fonctions, les serveurs utilisés auparavant pour diffuser des logiciels malveillants pouvant également servir de nœuds de commande et de contrôle, ainsi que de proxys pour les travailleurs dans leurs activités quotidiennes.

Selon les chercheurs, les travailleurs suspectés n’ont pas besoin de déployer un logiciel malveillant pour constituer une menace. Une fois embauchés, ils peuvent obtenir un accès légitime aux systèmes internes d’une entreprise, au code source et à d’autres données sensibles. Plus ils échappent à la détection, plus ils peuvent continuer à percevoir des salaires qui, selon les chercheurs, contribuent en fin de compte à financer le régime nord-coréen. Ce risque d’accès interne est particulièrement aigu dans le secteur des cryptomonnaies, où les pratiques d’embauche axées sur le télétravail, l’expansion rapide des équipes et l’exposition directe aux infrastructures d’actifs numériques peuvent amplifier les conséquences d’une seule embauche compromise.

L’opération a également révélé que le groupe s’appuyait fortement sur des outils d’intelligence artificielle pour compenser ses lacunes techniques. Ils utilisaient ChatGPT pour des tâches d’écriture et de codage, notamment pour répondre à des questions de base et terminer des devoirs qu’ils trouvaient difficiles. Pour la modification d’images et la falsification de documents, ils préféraient Google Gemini.

Un travailleur informatique de la RPDC présumé et ChatGPT unissent leurs efforts pour tenter d’obtenir des cryptos testnet pendant l’opération Ballena Azul. Source : ANY.RUN

Parmi les autres outils employés par les travailleurs figuraient des logiciels de bureau à distance, des portefeuilles de cryptomonnaies et un service de partage de codes d’authentification à deux facteurs. L’utilisation de services de 2FA partagés est un marqueur connu des stratagèmes de travailleurs informatiques nord-coréens, permettant à plusieurs personnes de contourner des contrôles d’authentification conçus pour un seul employé légitime.

Les travailleurs informatiques nord-coréens sont devenus une menace croissante pour la cybersécurité du secteur des cryptomonnaies. En juillet, Consensys a révélé avoir, sans le savoir, engagé un développeur lié à la Corée du Nord via un prestataire tiers avant d’identifier la menace et de couper l’accès.

Dans une autre affaire, des procureurs américains ont inculpé quatre ressortissants nord-coréens en 2025 pour avoir utilisé de fausses identités afin d’obtenir des emplois informatiques à distance, et pour avoir prétendument volé plus de 900 000 dollars en cryptomonnaies à deux entreprises, dont une société américaine de recherche et développement blockchain.

Le département du Trésor américain a indiqué en mars que les stratagèmes impliquant des travailleurs informatiques nord-coréens avaient généré près de 800 millions de dollars en 2024 afin d’aider à financer les programmes d’armes de destruction massive du régime de Pyongyang.

À l’intérieur de la fausse entreprise crypto Ballena Azul

L’opération a été lancée lorsque García est entré en contact via GitHub avec un recruteur lié à Famous Chollima, un groupe de menace associé aux opérations de travailleurs informatiques nord-coréens. Famous Chollima est suivi par plusieurs sociétés de cybersécurité comme un ensemble d’activités axé sur le placement d’opérateurs de la RPDC dans des postes de développeurs à distance au sein d’entreprises occidentales de technologie et de crypto. García a indiqué que Ballena Azul avait besoin de développeurs logiciels, et le recruteur a proposé trois candidats : « Jack Anderson », « Angelo Espree » et « Lucas Theo ». Au moins deux d’entre eux ont présenté une pièce d’identité américaine.

Le trio s’est vu attribuer diverses tâches de programmation dans des environnements de bureaux virtuels contrôlés, permettant à García et Eldritch de surveiller leurs flux de travail en temps réel.

Angelo Espree était l’un des développeurs intégrés par l’intermédiaire d’un recruteur associé à des opérations de la RPDC. Source : ANY.RUN

Les chercheurs ont également introduit volontairement des perturbations techniques — notamment des coupures réseau sélectives et la disparition du curseur de la souris — afin d’observer la réaction des travailleurs suspectés et les outils auxquels ils se tournaient sous pression.

« Honnêtement, la plus grande surprise a été de voir à quel point tout reposait sur l’improvisation », a déclaré García. « Il n’y avait ni manuel rigide ni processus d’entreprise poli derrière eux. »

Au fil de leurs nombreuses semaines dans les environnements contrôlés, les Nord-Coréens présumés ont laissé derrière eux une importante réserve de renseignements pour les chercheurs : journaux de discussion, historiques de conversations avec l’IA, informations sur des portefeuilles de cryptomonnaies, nœuds de sortie VPN et heures de vidéos en direct. Leurs connexions réseau ont également révélé les serveurs intermédiaires qui sont devenus l’une des découvertes les plus importantes de l’enquête.

La forte dépendance à l’IA n’était pas propre aux travailleurs pris au piège dans l’opération Ballena Azul. Reuters a rapporté lundi qu’un autre groupe de piratage nord-coréen, Kimsuky, utilisait l’IA à des fins plus offensives. Le groupe utiliserait localement des outils d’IA pour automatiser des cyberattaques, analyser des données volées et produire des campagnes de phishing plus convaincantes.

L’évolution des méthodes des travailleurs informatiques nord-coréens à distance

Ce n’était pas la première fois que Cointelegraph participait à la mise au jour de travailleurs nord-coréens présumés. En février 2025, García et Cointelegraph ont mené un entretien d’embauche avec un opérateur présumé qui se faisait appeler « Motoki ». Le développeur affirmait être japonais mais a brusquement mis fin à l’entretien après qu’on lui a demandé de se présenter dans sa langue maternelle.

García a néanmoins maintenu le contact. Motoki a finalement proposé d’envoyer de l’argent à García pour acheter un ordinateur auquel il pourrait accéder à distance, lui permettant de travailler sur une machine locale au lieu de se connecter via VPN — une tactique conçue pour contourner les restrictions imposées par les employeurs et les plateformes de freelance.

À lire aussi : De Sony à Bybit : comment Lazarus Group est devenu le super-vilain de la crypto

García a ensuite documenté des opérateurs nord-coréens présumés recrutant des freelances pour fournir des comptes vérifiés, des identités et un accès à distance à leurs ordinateurs. Dans une variante du stratagème, les opérateurs travaillaient via des machines physiquement situées aux États-Unis, ce qui les faisait apparaître aux yeux des employeurs et des plateformes de freelance comme des prestataires basés aux États-Unis.

En mai, deux « fermiers d’ordinateurs portables » américains — des personnes qui hébergeaient des groupes d’ordinateurs auxquels les Nord-Coréens pouvaient accéder à distance — ont été condamnés à 18 mois de prison pour avoir facilité la présentation de travailleurs informatiques de la RPDC comme des employés basés aux États-Unis. Les stratagèmes ont généré plus de 1,2 million de dollars et touché près de 70 entreprises.

Faire tomber Ballena Azul

Toute tromperie finit par prendre fin. Les chercheurs ont introduit « Benito Camella », le cofondateur de Ballena Azul, qui aurait été occupé par d’autres affaires à Milan pendant que l’entreprise se développait.

À son retour, Camella a confronté les travailleurs au sujet d’écarts dans leurs identités et leurs documents. La confrontation a rapidement vidé la salle de discussion. Espree a quitté l’appel vidéo en premier, tandis qu’Anderson est resté plus longtemps avant de comprendre que la supercherie s’effondrait.

« Menez-vous deux vies, monsieur Anderson ? » demande Camella à Jack Anderson pendant la confrontation. Source : ANY.RUN

Les chercheurs ont maintenu la tromperie même après la fin de la réunion. Dans le canal Telegram de l’entreprise, le « CEO » a accusé « Andy Jones » d’avoir fait venir des « travailleurs illégaux » et de mettre l’entreprise en danger. « Jones » a répondu qu’il était sous pression pour constituer rapidement une équipe et qu’il n’était pas assez rémunéré pour cela. Il a maintenu qu’il avait fait de son mieux avec les moyens à sa disposition.

La dispute mise en scène s’est achevée avec le faux CEO mettant fin à la fois à leur relation professionnelle et à leur amitié, maintenant l’illusion que Ballena Azul s’était effondrée à cause d’une décision de recrutement désastreuse.

L’un des Nord-Coréens présumés a ensuite contacté García en privé pour s’excuser de ce qui s’était passé et demander s’il allait bien.

Selon les chercheurs, ils n’ont jamais eu de nouvelles du reste du groupe.

À ce jour, disent-ils, les travailleurs suspectés ignorent qu’ils ont passé des semaines dans un environnement spécialement conçu pour extraire des renseignements d’eux.

Magazine : Les attaques contre Coldcard signifient-elles que tous les portefeuilles matériels sont désormais vulnérables ?

Note de la rédaction : Cointelegraph n’a pas pu confirmer indépendamment la nationalité ou l’affiliation des travailleurs informatiques nord-coréens présumés, et aucune agence gouvernementale ne les a publiquement identifiés.