Google alerte sur une campagne nord-coréenne de logiciels malveillants IA volant des millions de crypto-monnaies

L'équipe de sécurité de Google chez Mandiant a averti que des pirates nord-coréens intégraient des deepfakes générés par l'IA dans de fausses réunions vidéo dans le cadre d'attaques de plus en plus sophistiquées contre les sociétés de cryptomonnaie, selon un rapport publié lundi.

Mandiant a déclaré avoir récemment enquêté sur une intrusion dans une société de technologie financière qu'il attribue à UNC1069, ou « CryptoCore », un acteur menaçant hautement fiable lié à la Corée du Nord. L'attaque a utilisé un compte Telegram compromis, une réunion Zoom falsifiée et une technique appelée ClickFix pour inciter la victime à exécuter des commandes malveillantes. Les enquêteurs ont également trouvé des preuves selon lesquelles une vidéo générée par l’IA avait été utilisée pour tromper la cible lors de la fausse réunion.

« Mandiant a observé que l'UNC1069 employait ces techniques pour attaquer à la fois des entreprises et des individus du secteur des cryptomonnaies, y compris des éditeurs de logiciels et leurs développeurs, ainsi que des sociétés de capital-risque et leurs employés ou dirigeants », indique le rapport.

Campagne de vol de crypto-monnaie en Corée du Nord

L'avertissement arrive alors que les vols de crypto-monnaies de la Corée du Nord continue de prendre de l'ampleur. À la mi-décembre, la société d'analyse de blockchain Chainalysis a affirmé que des pirates nord-coréens avaient volé 2,02 milliards de dollars de crypto-monnaie en 2025, soit une augmentation de 51 % par rapport à l'année précédente. Le montant total volé par les acteurs liés à la RPDC s'élève désormais à environ 6,75 milliards de dollars, même si le nombre d'attaques a diminué.

Les résultats mettent en évidence un changement plus large dans la manière dont opèrent les cybercriminels liés à l’État. Au lieu de s'appuyer sur des campagnes de phishing massives, CryptoCore et des groupes similaires se concentrent sur des attaques hautement personnalisées qui exploitent la confiance dans les interactions numériques de routine, telles que les invitations d'agenda et les appels vidéo. De cette manière, la Corée du Nord réalise des vols plus importants grâce à des incidents moins nombreux et plus ciblés.

Selon Mandiant, l'attaque a commencé lorsque la victime a été contactée sur Telegram par ce qui semblait être un responsable bien connu des crypto-monnaies dont le compte avait déjà été compromis. Après avoir établi une relation, l'attaquant a envoyé un lien Calendly pour une réunion de 30 minutes qui a dirigé la victime vers un faux appel Zoom hébergé sur la propre infrastructure du groupe. Au cours de l’appel, la victime a déclaré avoir vu ce qui semblait être une vidéo deepfake d’un PDG bien connu de crypto-monnaie.

Une fois la réunion commencée, les attaquants ont affirmé qu'il y avait des problèmes audio et ont demandé à la victime d'exécuter des commandes de « dépannage », une technique ClickFix qui a finalement déclenché l'infection par le logiciel malveillant. L'analyse médico-légale a ensuite identifié sept familles distinctes de logiciels malveillants sur le système de la victime, déployés dans le but apparent de collecter des informations d'identification, des données de navigateur et des jetons de session à des fins de vol financier et de phishing futur.

Usurpation d’identité avec deepfake

Fraser Edwards, co-fondateur et PDG de la société d'identité décentralisée cheqd, a déclaré que l'attaque reflète une tendance qu'il observe à plusieurs reprises contre des personnes dont le travail dépend de réunions à distance et d'une coordination rapide. « L'efficacité de cette approche vient du fait qu'elle doit paraître peu inhabituelle », a déclaré Edwards.

« L'expéditeur est familier. Le format de la réunion est courant. Il n'y a pas de pièces jointes de logiciels malveillants ni d'exploits évidents. La confiance est exploitée avant qu'une défense technique n'ait la possibilité d'intervenir. »

Edwards a déclaré que les vidéos deepfake sont généralement introduites à des points d'escalade, tels que des appels en direct, où voir un visage familier peut surmonter les doutes créés par des demandes inattendues ou des problèmes techniques. « Voir ce qui semble être une personne réelle devant la caméra suffit souvent à surmonter le doute créé par une demande inattendue ou un problème technique. L'objectif n'est pas une interaction prolongée, mais juste assez de réalisme pour amener la victime à l'étape suivante », a-t-il ajouté.

Edwards a ajouté que l'IA est désormais utilisée pour prendre en charge l'usurpation d'identité en dehors des appels en direct. « Il est utilisé pour composer des messages, corriger le ton de la voix et imiter la façon dont quelqu'un communique normalement avec des collègues ou des amis. Cela rend les messages de routine plus difficiles à contester et réduit le risque qu'un destinataire fasse une pause suffisamment longue pour vérifier l'interaction », a-t-il expliqué.

Edwards a averti que le risque augmenterait à mesure que les agents d’IA seraient introduits dans la communication et la prise de décision quotidiennes. « Les agents peuvent envoyer des messages, planifier des appels et agir au nom des utilisateurs à la vitesse d'une machine. Si ces systèmes sont abusés ou compromis, de l'audio ou de la vidéo deepfake peuvent être déployés automatiquement, transformant ainsi l'usurpation d'identité en un processus évolutif », a-t-il déclaré.

Il est « irréaliste » de s'attendre à ce que la plupart des utilisateurs sachent comment repérer un deepfake, a déclaré Edwards, ajoutant que « la réponse n'est pas de demander aux utilisateurs d'être plus attentifs, mais de construire des systèmes qui les protègent par défaut.