Opérations d'un grand groupe de hackers nord-coréen exposées dans une violation de données suspectée
- Un hacker nord-coréen présumé du groupe APT Kimsuky aurait subi une importante violation en juin 2025.
- La fuite provient d'une station de développement Linux compromise exécutant Deepin 20.9 et d'un VPS public compromis utilisé pour le spear-phishing.
- Les documents exposés révèlent les backdoors, les frameworks de phishing et les outils de reconnaissance du groupe.
Un grand groupe de hackers nord-coréen a été exposé dans une violation de données alléguée impliquant deux systèmes compromis, où un membre de l'APT Kimsuky a subi une fuite massive suspectée.
Un membre du groupe de menace persistante avancée (APT) Kimsuky, supposé être un groupe de hackers nord-coréen, aurait subi une importante violation de données, entraînant la fuite de centaines de gigaoctets de fichiers et d'outils internes.
Groupe de hackers nord-coréen exposé dans une violation de données suspectée
Selon les chercheurs en sécurité de Slow Mist, les données divulguées sur les hackers Kimsuky incluent les historiques de navigation, les journaux de campagnes de phishing, des manuels pour des backdoors personnalisées et des systèmes offensifs tels que la backdoor de noyau TomCat, les beacons Cobalt Strike modifiés, Ivanti RootRot et des variantes de logiciels malveillants basés sur Android comme Toybox.
Les rapports soupçonnent que la violation de données s'est produite au début de juin 2025, et la relient à deux systèmes compromis liés à un opérateur Kimsuky travaillant sous l'alias « KIM ». L'un était un poste de développement Linux exécutant Deepin 20.9, tandis que l'autre était un VPS accessible au public. Le système Linux a probablement servi d'environnement de développement de logiciels malveillants, tandis que l'autre hébergeait du matériel de spear-phishing, y compris des portails de connexion falsifiés et des liens de commande et de contrôle.
Les hackers derrière la violation, se faisant appeler « Saber » et « cyb0rg », affirment avoir accédé et exfiltré le contenu des deux systèmes avant de les publier en ligne. Bien que certains indicateurs relient « KIM » à l'infrastructure connue de Kimsuky, d'autres indices linguistiques et techniques suggèrent un lien possible avec la Chine, donc pour l'instant, les origines de KIM restent non résolues.
Kimsuky opère depuis au moins 2012
Kimsuky est lié au Bureau général de reconnaissance de la Corée du Nord depuis sa première apparition en 2012. Le groupe s'est longtemps spécialisé dans la cyber-espionnage ciblant les gouvernements, les think tanks, les entrepreneurs de la défense et le milieu universitaire.
Au début de 2025, les campagnes de Kimsuky comme DEEP#DRIVE ont utilisé des chaînes d'intrusion à plusieurs étapes commençant par des fichiers ZIP compressés contenant des fichiers de raccourci Windows (LNK) déguisés en documents. Lorsque les victimes ouvrent ces fichiers, les fichiers LNK lancent des commandes PowerShell qui récupèrent des charges utiles malveillantes à partir de services comme Dropbox, en utilisant des documents leurrants pour paraître légitimes et éviter la détection.
Les campagnes de Kimsuky de mars et avril 2025 ont introduit du code VBScript et PowerShell brouillé intégré dans des archives ZIP malveillantes. Ces scripts assemblaient des commandes de manière covert, déployant des logiciels malveillants pour récolter les frappes au clavier, capturer les données du presse-papiers et voler les clés des portefeuilles de cryptomonnaies depuis les navigateurs, y compris Chrome, Edge, Firefox et Naver Whale.
Certain opérations ont basculé vers l'utilisation de fichiers LNK malveillants couplés à du VBScript, invoquant mshta.exe pour exécuter directement en mémoire un malware basé sur des DLL réfléchies.
Vers la même période, Kimsuky a commencé à déployer des modules personnalisés de RDP Wrapper et des logiciels malveillants proxy pour permettre un accès distant furtif. Des voleurs d'informations comme forceCopy ont été utilisés pour recueillir des identifiants à partir de fichiers de configuration de navigateurs sans déclencher d'alertes standard d'accès aux mots de passe.
Le groupe a également abusé de services populaires d'hébergement cloud et de code. Dans une campagne de spear-phishing en juin 2025 ciblant la Corée du Sud, des dépôts privés GitHub ont été utilisés pour stocker des logiciels malveillants et des données exfiltrées. Ces campagnes ont livré des charges utiles telles que XenoRAT tout en utilisant Dropbox comme terrain d'étape pour les fichiers volés. Cette double utilisation de plateformes de confiance pour la livraison et l'exfiltration a permis à Kimsuky de masquer son activité malveillante dans le trafic du réseau légitime.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
