Le département de la Justice des États-Unis (DOJ) a annoncé jeudi des mesures coordonnées visant à perturber le vol record de monnaie virtuelle perpétré par la Corée du Nord, notamment en obtenant l’autorisation d’un tribunal de saisir plus de 1,2 milliard de dollars dérobés à la plateforme d’échange de cryptomonnaies Binance.
Ces mesures visent deux opérations distinctes attribuées à des cybercriminels parrainés par l’État nord-coréen : une campagne d’ingénierie sociale baptisée « FaceStealer » et le vol de 6,3 milliards de dollars d’actifs virtuels à Binance fin octobre, a indiqué jeudi le DOJ dans un communiqué de presse.
Dans le cadre de l’opération FaceStealer, le bureau du procureur des États-Unis pour le district central de Californie a annoncé le démantèlement d’une infrastructure infonuagique utilisée par des cybercriminels nord-coréens.
Les autorités ont attribué ces activités à des groupes nord-coréens suivis publiquement sous plusieurs noms, notamment Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff et Stardust Chollima.
Cette campagne d’ingénierie sociale a entraîné le vol de plus de 400 millions de dollars en cryptomonnaies au cours des 18 derniers mois, principalement en ciblant des personnes travaillant dans les secteurs des cryptomonnaies et du Web3, qui développent et maintiennent des logiciels open source.
« Le régime nord-coréen s’appuie sur les revenus issus de vols de cryptomonnaies à grande échelle pour financer son programme d’armement illicite, ayant dérobé des milliards de dollars ces dernières années », a déclaré Brett Leatherman, directeur des opérations de la branche cyber du FBI, selon le communiqué de presse.
« Le FBI reste déterminé à identifier les acteurs nord-coréens qui ciblent la communauté des actifs virtuels, à perturber leurs activités et à leur imposer un coût », a-t-il ajouté.
Le FBI a saisi plus de 900 vidéos de webcam enregistrées secrètement à l’insu des victimes, en vertu d’un mandat fédéral, et a également publié jeudi un avis public expliquant le fonctionnement de cette escroquerie.
Les acteurs nord-coréens lancent généralement leurs attaques en invitant leurs cibles à des visioconférences apparemment légitimes sur des plateformes telles que Zoom et Microsoft Teams, une méthode souvent utilisée... par les cybercriminels nord-coréens pour diffuser des logiciels malveillants.
Pour instaurer un climat de confiance, les attaquants diffusent des enregistrements préalables de personnes que les victimes pourraient reconnaître, selon l’avis.
Le groupe de cybercriminels utilise également l’intelligence artificielle pour créer des vidéos truquées de personnalités éminentes du secteur des cryptomonnaies afin de tromper ses cibles.
Une fois la cible connectée à la réunion, les attaquants inventent un problème technique et demandent aux victimes d’installer une mise à jour ou d’exécuter du code, infectant secrètement leurs appareils avec des logiciels malveillants et accédant ainsi à leurs portefeuilles de cryptomonnaies, à leurs comptes de communication et à des réseaux externes.
Au cours des deux dernières années, les cybercriminels nord-coréens ont de plus en plus eu recours à cette tactique, appelée « ClickFix », pour tromper des victimes sans méfiance à l’aide de fausses invites leur demandant d’installer des correctifs logiciels ou des mises à jour.
Le FBI a indiqué que les auteurs attendaient parfois plusieurs mois, voire plus d’un an, avant de voler les cryptomonnaies, surveillant les soldes des portefeuilles jusqu’à ce qu’ils augmentent. Après avoir détourné les comptes de communication d’anciennes victimes, les attaquants utilisaient également leurs listes de contacts et l’historique de leurs conversations pour repérer et approcher d’autres cibles.
Outre le vol direct de cryptomonnaies, le bureau a averti que le logiciel malveillant FaceStealer est de plus en plus utilisé pour cibler les développeurs et les mainteneurs de logiciels open source, ce qui pourrait permettre des attaques contre les chaînes d’approvisionnement en logiciels.
Par exemple, le groupe a compromis plus tôt cette année le mainteneur d’une bibliothèque JavaScript totalisant des dizaines de millions de téléchargements hebdomadaires, mais l’attaque a été détectée avant de causer des dommages généralisés, a indiqué le FBI.
