Les pirates nord-coréens utilisent de fausses entreprises américaines pour pirater les développeurs de crypto

Selon des documents juridiques américains et des recherches partagées avec Reuters, les cyberopérateurs nord-coréens ont discrètement créé deux sociétés à responsabilité limitée aux États-Unis et les ont utilisées pour introduire du code nuisible auprès d’ingénieurs logiciels à la recherche d’emploi dans le monde de la cryptomonnaie.

Silent Push, une entreprise de cybersécurité, affirme que Blocknovas LLC au Nouveau-Mexique et Softglide LLC à New York ont été constituées avec des noms fictifs et des adresses louées afin que les pirates puissent passer pour des employeurs légitimes tout en envoyant des logiciels malveillants aux candidats. Une troisième entreprise, Angeloper Agency, présentait des empreintes web malveillantes identiques mais n’apparaissait sur aucun registre corporatif américain.

« Il s’agit d’un exemple rare de pirates nord-coréens parvenant effectivement à mettre en place des entités corporatives légales aux États-Unis afin de créer des sociétés écrans utilisées pour attaquer des candidats à l’emploi innocents », a déclaré Kasey Best, directrice de l’intelligence des menaces chez Silent Push, a déclaré à Reuters.

Le Federal Bureau of Investigation (FBI) des États-Unis n’a pas discuté directement des deux entreprises. Cependant, jeudi, le bureau a publié un avis de saisie sur le site web de Blocknovas indiquant que le domaine avait été saisi « dans le cadre d’une action policière contre des cyberacteurs nord-coréens qui ont utilisé ce domaine pour tromper des individus avec de fausses offres d’emploi et distribuer des logiciels malveillants ».

Avant la mise hors ligne, des responsables supérieurs du FBI ont déclaré à l’agence que l’objectif est d’« imposer des risques et des conséquences, non seulement aux acteurs de la RPDC eux-mêmes, mais à toute personne facilitant leur capacité à mener ces schémas ».

Un responsable a qualifié les unités de piratage nord-coréennes de « peut-être l’une des menaces persistantes avancées » les plus importantes auxquelles les États-Unis font face aujourd’hui.

Silent Push indique que les attaquants se sont fait passer pour des recruteurs et ont proposé des entretiens nécessitant que les cibles ouvrent des fichiers malveillants.

Blocknovas et Softglide ont utilisé des offres d’emploi pour introduire des logiciels malveillants auprès des développeurs de crypto

Une fois lancés, les fichiers tentaient de récupérer les clés des portefeuilles de cryptomonnaie, les mots de passe et d’autres identifiants qui pourraient ensuite aider à pénétrer dans les bourses ou les entreprises technologiques.

Le rapport non publié de l’entreprise confirme « plusieurs victimes », la plupart abordées via Blocknovas, que les chercheurs décrivent comme « de loin la plus active » des trois sociétés écrans.

Les registres d’État montrent que Blocknovas a été enregistrée au Nouveau-Mexique le 27 septembre 2023. Ses documents listent une adresse postale à Warrenville, en Caroline du Sud, que Google Maps indique comme un terrain vague.

L’incorporation de Softglide à New York remonte à un petit bureau de préparation des impôts à Buffalo. Il n’y avait aucune trace des personnes dont les noms figuraient sur les deux dépôts.

Les responsables américains affirment que ce schéma s’inscrit dans une poussée plus large de la Corée du Nord pour générer des devises fortes. Washington, Séoul et les experts de l’ONU accusent depuis longtemps Pyongyang de voler des cryptomonnaies et d’envoyer des milliers de travailleurs de l’information technologique à l’étranger pour financer le programme de missiles nucléaires du pays.

Gérer une entreprise contrôlée par la Corée du Nord à l’intérieur des États-Unis enfreint les sanctions imposées par le Bureau de contrôle des actifs étrangers (OFAC) du Trésor américain. Cela viole les mesures du Conseil de sécurité de l’ONU qui interdisent les activités commerciales bénéficiant à l’État ou à l’armée nord-coréens.

Les fichiers d’emploi chargés de logiciels malveillants sont liés au Lazarus Group

Le secrétaire d’État du Nouveau-Mexique a déclaré dans un e-mail que Blocknovas avait été déposée via le système en ligne des LLC domestiques en utilisant un agent enregistré et semblait respecter les règles de l’État. « Il n’y aurait aucun moyen pour notre bureau de connaître son lien avec la Corée du Nord », a écrit un représentant.

Les enquêteurs relient cette activité à un sous-groupe du Lazarus Group, une équipe de piratage d’élite relevant du Bureau général de reconnaissance, le principal service de renseignement étranger de Pyongyang.

Silent Push a identifié au moins trois familles de logiciels malveillants auparavant connues à l’intérieur des fichiers d’emploi malveillants. Les outils peuvent extraire des données des machines infectées, ouvrir des portes dérobées pour d’autres intrusions et télécharger du code d’attaque supplémentaire, un mode opératoire souvent observé dans les activités passées du Lazarus.

Pour l’instant, le domaine de Blocknovas est sous saisie fédérale, le site web de Softglide est hors ligne et les pages d’Angeloper Agency retournent des erreurs. Mais les enquêteurs avertissent que de nouvelles alias peuvent apparaître rapidement.

« Cette opération illustre la menace continuellement évolutive posée par les cyberacteurs de la RPDC », a déclaré le FBI dans son communiqué, exhortant les professionnels de la technologie à examiner attentivement les offres d’emploi non sollicitées et à signaler toute communication suspecte.