Par appels vidéo avec deepfake : comment les hackers nord-coréens attaquent les professionnels de la crypto

Les hackers opérant sous la direction de la Corée du Nord élargissent leur arsenal de méthodes d’attaque contre les spécialistes de l’industrie cryptographique. La nouvelle approche — l’utilisation d’appels vidéo avec des deepfakes générés par IA — permet aux malfaiteurs de se faire passer pour des contacts familiers ou autorisés, puis d’inciter les victimes à installer des logiciels malveillants. Cette méthode montre à quel point l’application des technologies de synthèse est devenue habile à des fins de cyberattaque.

Appels vidéo comme outil d’ingénierie sociale

Selon la société de recherche Huntress, le scénario d’attaque se déroule comme suit : les attaquants prennent le contrôle de comptes Telegram de personnes réelles connues de la cible. Ensuite, ils initient des appels vidéo durant lesquels le visage de l’attaquant est remplacé par un deepfake généré par IA. Cela contourne les vérifications visuelles de base, qui aident habituellement à détecter la fraude.

Martin Kucharz, coorganisateur de la conférence BTC Prague, a partagé des informations sur une méthode spécifique : un appel vidéo trompeur est accompagné d’une proposition d’installer un plugin prétendument destiné à corriger des problèmes de son dans Zoom. Après l’installation du malware, les attaquants obtiennent un accès complet à l’appareil infecté et peuvent voler des actifs cryptographiques, des correspondances et d’autres données critiques.

Analyse technique du malware : infection à plusieurs niveaux

Le malware déployé montre une complexité et une multifonctionnalité. Sur les systèmes macOS, le code malveillant peut :

• déployer des portes dérobées pour un contrôle à distance de l’appareil
• enregistrer les frappes clavier de l’utilisateur
• copier le contenu du presse-papiers
• accéder aux portefeuilles cryptographiques protégés et à leurs clés privées

Une telle fonctionnalité permet aux hackers non seulement de compromettre un appareil spécifique, mais aussi de l’utiliser comme point d’appui pour d’autres opérations.

Lazarus Group et soutien étatique

Des chercheurs de SlowMist et Huntress ont identifié avec une grande certitude les auteurs des attaques. Il s’agit du groupe nord-coréen Lazarus Group, également connu sous le pseudonyme BlueNoroff. Ce groupe bénéficie du financement et du soutien politique de l’État, ce qui lui permet d’améliorer constamment ses méthodes de piratage.

Une caractéristique notable — la réutilisation de composants de code et de techniques d’attaque dans plusieurs opérations. Cela indique une gestion centralisée et une stratégie à long terme visant les spécialistes du cryptomonnaie et les traders.

Comment se protéger contre les attaques de deepfake via appels vidéo

La diffusion des technologies de synthèse faciale et vocale rend les vidéos et audios peu fiables comme méthodes d’authentification. Les secteurs doivent rapidement repenser leurs approches de vérification d’identité. Les recommandations incluent :

• Activer l’authentification multifactorielle (MFA) sur tous les services critiques
• Utiliser des clés de sécurité matérielles plutôt que des méthodes logicielles de vérification
• Faire preuve de scepticisme face aux appels vidéo inattendus — même si l’appelant semble familier
• Mettre régulièrement à jour les systèmes d’exploitation et logiciels
• Former les équipes à reconnaître l’ingénierie sociale

L’industrie cryptographique doit prendre conscience de l’ampleur de la menace et mettre en œuvre des mesures actives pour renforcer sa sécurité.