Un chercheur en sécurité grec aurait passé 22 mois à l'intérieur des serveurs de piratage nord-coréens. Il est sorti avec une liste de victimes de 1 640 organisations dans 57 pays.
Vangelis Stykas est directeur technique de la société de sécurité Kumio. Il a présenté ses conclusions cette semaine à Black Hat à Las Vegas.
Comment les chasseurs sont devenus les chassés
Stykas a inversé l'ordre habituel. Il a réussi à pénétrer dans les serveurs de commandement et de contrôle utilisés par les équipes pour faire fonctionner leurs malwares.
Dans certains cas, il a atterri sur leurs ordinateurs personnels. Les hackers avaient infecté ces machines eux-mêmes.
Puis il est simplement resté. Pendant près de deux ans, il les a observés travailler et a enregistré chaque nouvelle victime au fur et à mesure qu'elle apparaissait.
Il a extrait environ cinq téraoctets de données. Cela contenait des clés de développeur, du code source privé et les propres messages Slack et Discord des équipes.
Cet accès est la raison pour laquelle le compte est ferme. La plupart des rapports sur les menaces estiment les victimes de l'extérieur.
Celui-ci les a comptées à partir des propres fichiers des attaquants. Parmi les 1 640 organisations, Stykas évalue entre 700 et 800 comme ayant été sérieusement compromises.
Suivez-nous sur X pour obtenir les dernières nouvelles au fur et à mesure qu'elles se produisent
Dans ces cas, les équipes avaient un accès root aux serveurs, des permissions root Amazon Web Services (AWS) ou des clés de portefeuille de cryptomonnaie.
Une offre d'emploi était la seule exploitation dont ils avaient besoin
Aucun défaut logiciel n'a ouvert ces portes. Une offre d'emploi l'a fait.
Des développeurs ont été approchés avec des rôles seniors et des salaires élevés. On leur a ensuite demandé de passer un test de codage à domicile. Le test a installé un logiciel malveillant.
Les chercheurs de Palo Alto Networks ont nommé le schéma Entretien Contagieux en novembre 2023. Cinq entreprises de sécurité ont depuis suivi la même équipe sous six étiquettes différentes.
Microsoft a publié sa propre analyse en mars 2026. Elle a retracé la chaîne jusqu'à de faux paquets de code hébergés sur GitHub, GitLab et Bitbucket.
Ouvrir un fichier dans Visual Studio Code déclenche une invite de confiance. L'approuver, et l'éditeur exécute le code des attaquants pour eux.
« En intégrant la livraison de logiciels malveillants ciblés directement dans les outils d'entretien, les exercices de codage et les flux de travail d'évaluation auxquels les développeurs font intrinsèquement confiance, les acteurs de la menace exploitent la confiance que les chercheurs d'emploi placent dans le processus de recrutement », lit-on dans un extrait d'un blog de sécurité de Microsoft en mars.
Les portes dérobées chassent ensuite une courte liste de courses. Microsoft mentionne les jetons API, les identifiants cloud, les clés de signature, les portefeuilles cryptographiques et les fichiers de gestion de mots de passe.
Le recrutement est un point faible récurrent. Consensys a attrapé un développeur nord-coréen caché dans sa propre équipe, un mois après avoir commencé à travailler sur le code de MetaMask.
Un contractant, trente portes d'entrée
L'appât est bon marché. La portée ne l'est pas.
Stykas a trouvé des entrepreneurs portant des identifiants valides pour jusqu'à 30 entreprises. Un seul ordinateur portable infecté est devenu trente voies d'entrée.
L'Hôpital pour enfants de Boston montre le schéma. Stykas a retracé son exposition à l'appareil personnel d'un ancien entrepreneur.
L'hôpital conteste cette présentation. Il affirme avoir coupé les identifiants en quelques heures et n'avoir trouvé aucun signe d'entrée dans ses propres systèmes.
Les équipes étaient également exigeantes. Elles pouvaient accéder aux dossiers de santé et aux bases de données criminelles, mais ont ignoré les deux.
Elles ont plutôt visé les portefeuilles et l'accès à la blockchain. Coinbase et Uniswap Labs figurent parmi les organisations qui ont agi sur ses avertissements.
Cette discipline se reflète dans les totaux. Des équipes liées à la République populaire démocratique de Corée (RPDC) ont volé environ 2,02 milliards de dollars d'actifs numériques en 2025.
CrowdStrike a enregistré cela comme une augmentation de 51 % en un an. Elle signale également une équipe qu'elle appelle GOLDEN CHOLLIMA pour avoir utilisé des appâts de recrutement pour atteindre des environnements cloud fintech.
C'est la chaîne que Stykas a observée de l'intérieur. La voie humaine continue de gagner.
TRM Labs a retracé le vol de 285 millions de dollars du Drift Protocol en avril à des réunions en personne entre des agents nord-coréens et du personnel.
Deux attaques ont produit 76 % des pertes de 2026 à partir de seulement 3 % des incidents. Le total cumulé de Pyongyang dépasse maintenant 6 milliards de dollars depuis 2017.
Stykas dit que de nouvelles victimes apparaissent encore dans les données. La plupart des organisations, a-t-il averti, n'ont jamais répondu, c'est pourquoi des groupes comme Crypto ISAC regroupent maintenant les renseignements sur les menaces de la RPDC.
Source : BeInCrypto
