Des hackers nord-coréens détournent des comptes Telegram pour cibler les entreprises Bitcoin et crypto
Points clés
- •Des hackers nord-coréens compromettent des comptes Telegram de confiance pour usurper l’identité de dirigeants et d’employés du secteur crypto, puis utilisent ces identités pour tromper collègues et partenaires afin qu’ils installent des logiciels malveillants.
- •La campagne progresse par le détournement de comptes, l’établissement de crédibilité par des conversations courantes, la planification de faux rendez-vous vidéo et la persuasion des victimes d’exécuter des logiciels malveillants déguisés en correctifs techniques.
- •Plusieurs familles de logiciels malveillants ont été déployées pour voler des identifiants, des données de navigateur et des informations de portefeuille de cryptomonnaies tout en maintenant un accès à long terme aux systèmes infectés.
- •Des observateurs de l’ONU indiquent que des cyberopérateurs nord-coréens ont volé des milliards de dollars en cryptomonnaies ces dernières années, certains fonds ayant contribué aux programmes d’armement du pays.
- •Les professionnels de la sécurité recommandent de vérifier les demandes de réunion inattendues via des canaux distincts et d’activer des protections de compte robustes pour réduire le risque de compromission.
Des hackers liés à l’État nord-coréen étendent leurs attaques contre le secteur des cryptomonnaies en compromettant des comptes Telegram et en les utilisant pour inciter des professionnels du Bitcoin et des cryptomonnaies à installer des logiciels malveillants. Des chercheurs en sécurité décrivent cette campagne comme une nouvelle évolution de l’effort de longue date de Pyongyang pour voler des actifs numériques et des identifiants sensibles pouvant aider à financer les activités sanctionnées du pays. Selon des observateurs des sanctions des Nations Unies et des sociétés d’analyse blockchain telles que Chainalysis et TRM Labs, des cyberopérateurs nord-coréens ont volé des milliards de dollars en cryptomonnaies au cours des dernières années, des panels de l’ONU indiquant qu’une partie de ces fonds a contribué à financer les programmes d’armement du pays.
Selon les dernières constatations, les attaquants prennent d’abord le contrôle de comptes Telegram légitimes appartenant à des dirigeants ou employés des secteurs crypto et fintech. Ils utilisent ensuite ces identités de confiance pour contacter collègues, investisseurs et partenaires commerciaux, puis les invitent à des réunions en ligne apparemment légitimes. Au cours de ces sessions fabriquées de toutes pièces, les victimes sont invitées à installer un logiciel ou à exécuter des commandes afin de résoudre de faux problèmes techniques, infectant finalement leurs appareils avec des logiciels malveillants. Telegram est devenu un outil de communication central dans l’industrie des cryptomonnaies, largement utilisé pour les transactions, la coordination de projets et la gestion de communauté, ce qui rend les comptes compromis sur la plateforme particulièrement efficaces pour atteindre des cibles qui y mènent régulièrement des activités sensibles.
Les comptes de confiance deviennent le point d’entrée
Les chercheurs soulignent que les attaquants s’appuient principalement sur l’ingénierie sociale plutôt que sur des exploits techniques. En détournant de véritables comptes Telegram, ils contournent le scepticisme qui accompagne généralement les messages non sollicités. Cette approche centrée sur l’humain reflète une tendance plus large observée dans le secteur : à mesure que les plateformes d’échange, les fournisseurs de portefeuilles et les dépositaires ont renforcé leurs défenses techniques, les acteurs malveillants se tournent de plus en plus vers la manipulation d’employés disposant d’un accès privilégié plutôt que vers l’exploitation du code.
La campagne suit généralement plusieurs étapes :
- Compromettre un compte Telegram de confiance.
- Établir la crédibilité par des conversations courantes.
- Planifier un faux rendez-vous Zoom ou vidéo.
- Convaincre la victime d’installer un prétendu correctif audio ou logiciel.
- Déployer un logiciel malveillant conçu pour voler des identifiants, des données de navigateur et des informations de portefeuille de cryptomonnaies.
Les enquêteurs ont identifié plusieurs familles de logiciels malveillants conçues pour maintenir un accès à long terme tout en collectant des données sensibles sur les systèmes infectés. L’opération cible principalement des entreprises de cryptomonnaies, des développeurs de logiciels, des fonds de capital-risque et d’autres organisations qui gèrent ou investissent dans des actifs numériques.
Une menace croissante pour l’industrie crypto
Des experts en cybersécurité avertissent que les groupes de menace nord-coréens continuent d’affiner leurs techniques en combinant des comptes de messagerie compromis, une ingénierie sociale sophistiquée et, dans certains cas, des vidéos deepfake générées par l’IA afin de renforcer leur crédibilité. Plutôt que d’attaquer directement les réseaux blockchain, les hackers se concentrent de plus en plus sur les employés disposant d’un accès privilégié aux portefeuilles, à l’infrastructure cloud et aux systèmes internes. Les analystes notent que cette tactique rappelle des opérations nord-coréennes antérieures documentées par des sociétés telles que Mandiant de Google et Slow Mist, où de faux recruteurs et contacts commerciaux incitaient des ingénieurs crypto à exécuter du code malveillant sous couvert de tests de codage ou d’outils de collaboration.
Cette campagne souligne l’importance croissante de vérifier les demandes de réunion inattendues, même lorsqu’elles semblent provenir de contacts Telegram familiers. Les professionnels de la sécurité recommandent de confirmer les invitations via des canaux de communication distincts, d’éviter les téléchargements de logiciels inconnus et d’activer des protections de compte robustes afin de réduire le risque de compromission.