Des hackers nord-coréens exploitent des appels vidéo Deepfake pour viser les professionnels de la cryptomonnaie

Chapeau : Les pirates informatiques nord-coréens exploitent de nouvelles méthodes pour infiltrer les équipes de développement et les utilisateurs de crypto-monnaies. Ils utilisent des faux appels vidéo pour tromper leurs victimes, leur permettant ainsi d'installer des logiciels malveillants sur leurs appareils. Ce phénomène s'inscrit dans une tendance plus large d'escroqueries par usurpation d'identité qui ont entraîné des pertes record dans le domaine de la cryptographie.

Des attaques sophistiquées utilisant des deepfakes

Les pirates informatiques liés à la Corée du Nord continuent d'utiliser des appels vidéo en direct, notamment des deepfakes générés par l'IA, pour inciter les développeurs et professionnels du secteur à installer des logiciels malveillants sur leurs appareils. Ces techniques représentent une évolution inquiétante dans le paysage de la cybersécurité.

co-fondateur de BTC Prague, les attaquants ont utilisé un compte Telegram compromis pour organiser un appel vidéo déguisé. Lors de cet appel, ils ont présenté un prétendu « correctif audio Zoom », dissimulant ainsi leur véritable intention : diffuser un malware sur l'appareil cible.

Kuchař a déclaré que cette « campagne de piratage de haut niveau » vise principalement les utilisateurs de Bitcoin et d'autres acteurs du marché crypto.

Une méthode déjà connue mais redoutable

Cette attaque rappelle une technique précédemment documentée par la société Huntress, qui avait signalé en juillet dernier que ces cybercriminels attiraient leurs cibles via Telegram avant d'organiser un appel Zoom avec elles. Ce modus operandi implique souvent l'utilisation d'un lien falsifié vers une réunion hébergée sur un domaine Zoom usurpé.

Durant l'appel, ils feignent qu'il existe un problème audio et demandent alors à la victime d'installer ce qui semble être une mise à jour légitime liée à Zoom. En réalité, il s'agit d'un AppleScript malveillant conçu pour infecter le système macOS en plusieurs étapes.

Une fois exécuté, ce script peut désactiver l'historique shell et rechercher ou installer Rosetta 2 sur les appareils Apple Silicon tout en sollicitant plusieurs fois le mot de passe système pour obtenir des privilèges élevés.

Des pertes record liées aux escroqueries basées sur l'IA

L'incident survient alors que les escroqueries par usurpation d'identité alimentées par l'intelligence artificielle ont causé des pertes estimées à 17 milliards de dollars en 2025 dans le secteur crypto. Les cybercriminels recourent toujours davantage aux vidéos deepfake, au clonage vocal et aux fausses identités afin de piéger leurs victimes et accéder aux fonds numériques.

Selon Chainalysis, ces données soulignent combien il est crucial pour les utilisateurs du secteur financier numérique d'être vigilants face à ces menaces croissantes.

Lien avec le groupe nord-coréen Lazarus

Les chercheurs en sécurité attribuent cette intrusion au groupe connu sous le nom de TA444 ou BlueNoroff, considéré comme partie intégrante du célèbre groupe Lazarus soutenu par l'État nord-coréen depuis au moins 2017. Shān Zhang, responsable sécurité chez Slowmist, a évoqué potentiellement une corrélation entre cette attaque spécifique contre Kuchař et des campagnes plus larges menées par Lazarus.

David Liberman, co-créateur du réseau décentralisé Gonka, souligne qu'il y a « une réutilisation claire » dans ces campagnes où sont ciblés spécifiquement certains portefeuilles cryptographiques avec des scripts similaires utilisés lors des attaques précédentes.

Il met également en garde contre la fiabilité actuelle du contenu numérique : « Les images et vidéos ne peuvent plus être considérées comme fiables ». Liberman appelle donc à mettre en place une signature cryptographique nécessitant autorisation multifactorielle pour assurer l'intégrité du contenu partagé avant toute interaction susceptible impliquant transactions financières ou partage sensible.

Le groupe Lazarus continue ainsi son offensive contre diverses entités liées à la cryptomonnaie grâce à ses techniques élaborées mêlant ingénierie sociale et logiciels malveillants personnalisés visant surtout vol digital massif auprès développeurs ou entreprises opérant dans ce domaine novateur mais risqué.