Les hackers nord-coréens ont ciblé plus de 3 100 adresses IP liées à l'IA, à la crypto et à la finance en utilisant de faux entretiens d'embauche

Après avoir soutiré plus de 2 milliards de dollars au marché crypto en 2025, les hackers nord-coréens sont de retour avec une campagne de recrutement fictive exécutée par un groupe connu sous le nom de PurpleBravo.

Des hackers liés à la Corée du Nord ont lancé une cyber-espionnage sur plus de 3 100 adresses internet liées à des entreprises dans l'intelligence artificielle, la cryptomonnaie et les services financiers, selon de nouvelles conclusions en matière de renseignement sur les menaces par le groupe Insikt de Recorded Future. 

PurpleBravo a été repéré utilisant des processus de recrutement d'emploi frauduleux et des outils de développeur intégrés avec des logiciels malveillants. Selon l'évaluation du groupe Insikt, 20 organisations victimes ont été identifiées jusqu'à présent en Asie du Sud, en Amérique du Nord, en Europe, au Moyen-Orient et en Amérique centrale. 

La Corée du Nord lance une campagne de logiciels malveillants de faux entretiens de recrutement 

Alors que expliqués par le groupe Insikt, la campagne « Contagious Interview » met en scène des acteurs malveillants qui se font passer pour des recruteurs ou des développeurs et approchent les chercheurs d'emploi avec des exercices d'entretien technique. Au moins 3 136 adresses IP individuelles ont été ciblées pendant la période de surveillance, ont déclaré les analystes de sécurité.

Les attaquants se sont présentés comme des représentants de sociétés de crypto et de technologie, demandant aux candidats de revoir le code, de cloner des dépôts ou de compléter des tâches de codage. 

« Dans plusieurs cas, il est probable que les candidats à l'emploi aient exécuté du code malveillant sur des appareils d'entreprise, créant une exposition organisationnelle au-delà de la cible individuelle », a écrit le cabinet de renseignement sur les menaces dans son rapport.

L'opération a plusieurs alias dans les informations privées et open-source sur les hackers nord-coréens, y compris CL-STA-0240, DeceptiveDevelopment, DEV#POPPER, Famous Chollima, Gwisin Gang, Tenacious Pungsan, UNC5342, Void Dokkaebi et WaterPlum. 

Le groupe de cybersécurité a également mentionné que les hackers utilisaient le VPN Astrill et des plages d'IP pour administrer des serveurs de commande et de contrôle basés en Chine. Pendant ce temps, 17 fournisseurs de services ont hébergé des logiciels malveillants comme BeaverTail et des serveurs GolangGhost pour eux.

Séduire les victimes avec des personnalités, GitHub et des histoires de couverture ukrainiennes

Le groupe Insikt a repéré quatre personnalités en ligne liées à PurpleBravo, suite à une enquête sur des GitHub dépôts, des discussions sur les réseaux sociaux concernant les arnaques crypto et un service de renseignement sur les réseaux de piratage.

Selon le rapport, ces profils se sont constamment présentés comme étant basés à Odessa, en Ukraine, tout en ciblant les chercheurs d'emploi d'Asie du Sud. Insikt a indiqué qu'il n'a pas pu déterminer pourquoi des identités ukrainiennes étaient utilisées dans la ruse. 

Dans l'un des faux programmes, les hackers ont utilisé un site web publicisant un jeton basé sur une marque alimentaire. Cependant, les chercheurs n'ont pas pu établir un connexion entre la pièce et l'entreprise qu'elle référençait. Des escrocs, des bots automatisés et des liens malveillants peuplent le canal Telegram officiel du projet. 

De plus, l'opération comprenait également deux trojans d'accès à distance liés, PylangGhost et GolangGhost. Les familles de logiciels malveillants sont des outils multiplateformes qui partagent des commandes identiques et automatisent le vol des identifiants de navigateur et des cookies.

GolangGhost est compatible avec plusieurs systèmes d'exploitation, mais PylangGhost ne fonctionne que sur les systèmes Windows et peut contourner la protection des identifiants liés à l'application de Chrome pour la version 127 et ultérieure.

Le groupe Insikt a trouvé des canaux Telegram publicisant des comptes LinkedIn et Upwork à vendre, les vendeurs utilisant des services de proxy comme proxy-seller[.]com, powervps[.]net, residentialvps[.]com, lunaproxy[.]com et sms-activate[.]io, ainsi que des serveurs privés virtuels pour masquer leurs emplacements. L'opérateur a également été vu interagissant avec la plateforme de trading de cryptomonnaies MEXC Exchange.

Backdoors VS Code sur Microsoft Visual Studio

Lundi, Jamf Threat Labs a signalé que des acteurs liés à la Corée du Nord ont développé une version armée de Microsoft Visual Studio Code qui peut trouver des backdoors dans les systèmes. La tactique a été identifiée pour la première fois en décembre 2025 et a depuis été affinée, ont déclaré les analystes de sécurité.

Selon le chercheur en sécurité de Jamf Thijs Xhaflaire, les attaquants peuvent implanter des logiciels malveillants qui accordent l'exécution de code à distance sur les machines. La chaîne d'infection commence lorsqu'une cible clone un dépôt Git malveillant et l'ouvre dans VS Code.

« Lorsque le projet est ouvert, Visual Studio Code invite l'utilisateur à faire confiance à l'auteur du dépôt. Si cette confiance est accordée, l'application traite automatiquement le fichier de configuration tasks.json du dépôt, ce qui peut entraîner l'exécution de commandes arbitraires intégrées sur le système », Thijs Xhaflaire a écrit.