Un dispositif compromis d'un travailleur informatique nord-coréen a exposé le fonctionnement intérieur de l'équipe derrière le hack Favrr de 680 000 $ et leur utilisation d'outils Google pour cibler les projets de crypto.
Résumé
- Un dispositif compromis appartenant à un travailleur informatique nord-coréen a exposé le fonctionnement intérieur des acteurs de la menace.
- Les preuves montrent que les agents ont utilisé Google Powered Tools, AnyDesk et VPNS pour infiltrer les entreprises cryptographiques.
Selon le détectivité de la chaîne Zachxbt, le sentier a commencé avec une source anonyme qui a eu accès à l'un des ordinateurs des travailleurs, à découvrir des captures d'écran, des exportations Google Drive et des profils chromés qui ont retiré le rideau sur la façon dont les agents ont planifié et réalisé leurs schémas.
S'appuyant sur l'activité du portefeuille et correspondant aux empreintes digitales numériques, ZachxBT a vérifié le matériel source et lié les transactions de crypto-monnaie du groupe à l'exploit de juin 2025 du marché du marché du fan-token. Une adresse de portefeuille, «0x78e1a», a montré des liens directs aux fonds volés de l'incident.
À l'intérieur de l'opération
Le dispositif compromis a montré que la petite équipe – six membres au total – partageait au moins 31 fausses identités. Pour atterrir les emplois de développement de la blockchain, ils ont amassé des identifiants et des numéros de téléphone émis par le gouvernement, achetant même des comptes LinkedIn et Upwork pour compléter leur couverture.
Un script d'interview trouvé sur l'appareil les a montrés de se vanter d'expérience dans des entreprises bien connues de blockchain, notamment Polygon Labs, OpenSea et ChainLink.
Les outils Google étaient au cœur de leur flux de travail organisé. Les acteurs de la menace se sont révélés utiliser des feuilles de calcul de disque pour suivre les budgets et les horaires, tandis que Google Translate a comblé l'écart linguistique entre le coréen et l'anglais.
Parmi les informations tirées de l'appareil figuraient une feuille de calcul qui a montré que les travailleurs informatiques louaient des ordinateurs et payaient l'accès VPN pour acheter de nouveaux comptes pour leurs opérations.
L'équipe s'est également appuyée sur des outils d'accès à distance tels que AnyDesk, ce qui leur permet de contrôler les systèmes clients sans révéler ses véritables emplacements. Les journaux VPN ont lié leur activité à plusieurs régions, masquant les adresses IP nord-coréennes.
Des résultats supplémentaires ont révélé que le groupe recherchant des moyens de déployer des jetons à travers différentes chaînes de blocs, de dépistage des entreprises d'IA en Europe et de cartographier de nouvelles cibles dans l'espace cryptographique.
Les acteurs de la menace nord-coréenne utilisent des travaux éloignés
Zachxbt a trouvé le même schéma signalé dans plusieurs rapports de cybersécurité – les travailleurs informatiques nord-coréens décrochent des travaux distants légitimes pour se glisser dans le secteur de la cryptographie. En se faisant passer pour des développeurs indépendants, ils ont accès aux référentiels de code, aux systèmes backend et aux infrastructures de portefeuille.
Un document découvert sur l'appareil était les notes d'entrevue et les documents de préparation destinés à être conservés à l'écran ou à proximité lors d'appels avec des employeurs potentiels.