Des hackers liés à la Corée du Nord ont dérobé plus de 400 millions de dollars en cryptomonnaies au cours des 18 derniers mois grâce à une opération d'ingénierie sociale sophistiquée reposant sur de faux appels vidéo et des deepfakes générés par IA, selon des responsables des forces de l'ordre américaines. Le FBI, qui a baptisé cette campagne « FaceStealer », affirme que ce stratagème montre comment les cybercriminels combinent l'intelligence artificielle avec des liens de confiance en ligne pour cibler les détenteurs de cryptomonnaies et les professionnels du Web3.

Le 12 novembre, le Département de la Justice des États-Unis (DOJ) a annoncé la perturbation d'infrastructures cloud liées à la campagne. Selon les enquêteurs, les attaquants ont également de plus en plus ciblé les développeurs de logiciels open source, un changement qui soulève des inquiétudes quant à la sécurité des plateformes numériques largement utilisées.

Comment fonctionne le piratage crypto FaceStealer

Selon le DOJ, les hackers nord-coréens se sont appuyés sur des comptes de communication compromis, des enregistrements de webcam effectués en secret et des deepfakes générés par IA pour donner de la crédibilité à leurs usurpations d'identité.

La campagne commence généralement lorsque les attaquants compromettent l'ordinateur d'une personne et enregistrent furtivement des images de sa webcam. Ils prennent ensuite le contrôle des comptes de communication de la victime et les utilisent pour contacter ses relations professionnelles et personnelles.

Les hackers envoient des invitations persuasives à des réunions vidéo, se faisant fréquemment passer pour des personnes connues de leurs cibles. Au cours de ces appels, ils instaurent la confiance en affichant des enregistrements préalables de victimes précédentes ou des vidéos générées par IA de personnalités éminentes de la cryptomonnaie et du Web3. Concrètement, cette technique sape l'hypothèse selon laquelle un visage familier lors d'un appel vidéo en direct confirme l'identité de l'appelant.

L'attaque devient plus dangereuse lorsque les hackers introduisent un faux problème technique, comme un dysfonctionnement audio, pendant l'appel. Les cibles sont alors invitées à cliquer sur un lien ou à suivre des étapes de dépannage qui installent secrètement un logiciel malveillant sur leur ordinateur.

Une fois l'appareil compromis, les attaquants peuvent accéder à des informations sensibles, voler des cryptomonnaies et potentiellement prendre le contrôle d'autres comptes de communication.

Le FBI a indiqué que les autorités ont saisi plus de 900 enregistrements de webcams de victimes au cours de l'enquête, un chiffre qui témoigne de l'ampleur de l'opération. Dans plusieurs cas signalés, les hackers ont volé des cryptomonnaies à des victimes des mois, voire plus d'un an, après avoir initialement compromis leurs appareils. Ce délai signifie qu'un appareil compromis peut exposer discrètement des comptes et des fonds longtemps après l'infection initiale.

Patrick Grandy, assistant director in charge du FBI, a averti que la campagne exploite la confiance des gens envers les plateformes en ligne familières et les relations professionnelles, la décrivant comme un « stratagème d'ingénierie sociale hautement efficace ».

Les développeurs open source face à une menace de sécurité croissante

La campagne FaceStealer va au-delà du vol de cryptomonnaies. Le FBI a signalé que les hackers nord-coréens ont de plus en plus ciblé les développeurs et mainteneurs de logiciels open source afin d'accéder à leurs appareils et à leurs comptes de dépôts de logiciels.

Cette activité a suscité des inquiétudes concernant d'éventuelles attaques de la chaîne d'approvisionnement logicielle. Les attaquants qui compromettent des développeurs de confiance pourraient introduire du code malveillant dans des projets logiciels largement utilisés, exposant potentiellement les utilisateurs en aval à des risques de sécurité.

Cette évolution élargit la menace au-delà des simples détenteurs de cryptomonnaies, avec des conséquences potentielles pour les entreprises, les plateformes logicielles et l'infrastructure numérique au sens large.

Les opérations de vol de cryptomonnaies en expansion de la Corée du Nord

La dernière campagne s'ajoute à l'historique de cyberattaques liées aux cryptomonnaies de la Corée du Nord. Une évaluation historique publiée par TRM Labs montre que le vol de cryptomonnaies attribué à la Corée du Nord a atteint environ 790 millions de dollars en 2022, contre environ 205 millions de dollars en 2023.

Bien que les montants individuels puissent fluctuer considérablement d'une année à l'autre, ces chiffres illustrent l'ampleur des opérations de vol de cryptomonnaies du pays. Les plus de 400 millions de dollars attribués à FaceStealer au cours des 18 derniers mois mettent davantage en évidence l'impact financier de ces attaques ciblées.

Le FBI perturbe les infrastructures derrière le piratage crypto FaceStealer

Le DOJ a confirmé que l'opération coordonnée a permis la saisie d'infrastructures cloud soutenant la campagne. Le FBI a également publié un rapport technique détaillant le fonctionnement du stratagème et décrivant des mesures de sécurité pour les victimes potentielles, ainsi qu'une page de ressources dédiée sur FaceStealer.

L'enquête souligne l'importance de procédures de vérification plus rigoureuses lors des réunions en ligne, de la prudence lors de l'ouverture de liens inconnus et d'une meilleure protection des comptes de communication et de développement logiciel.

À mesure que les usurpations d'identité générées par IA deviennent de plus en plus convaincantes, la campagne FaceStealer démontre que les menaces de cybersécurité ne se limitent plus aux vulnérabilités techniques. L'exploitation de la confiance humaine est devenue un autre moyen efficace d'accéder à des avoirs précieux en cryptomonnaies et à des infrastructures numériques.