L'accès initial s'effectue via Telegram avec usurpation d'identité.
Les premiers artefacts du malware remontent à juillet 2023, comme l’a révélé un rapport de mai 2026.
Le groupe Lazarus, lié au gouvernement nord-coréen, a déployé un programme d'accès à distance non autorisé appelé RemotePE contre des entreprises du secteur des actifs financiers et numériques. Selon la société Fox-IT, filiale du groupe NCC, dans un rapport publié le 22 mai, le programme malveillant exécute ses opérations entièrement dans la mémoire de l'ordinateur infecté, sans enregistrer de fichiers sur le disque dur, ce qui lui permet d'échapper aux systèmes de détection des menaces les plus répandus du secteur.
Selon les chercheurs Yun Zheng Hu et Mick Koomen, RemotePE fait partie d'une chaîne d'attaque en trois étapes qui comprend deux programmes intermédiaires : DPAPILoader, qui décrypte charge utile malveillante utilisant les outils natifs du système d'exploitation Windowset RemotePELoader, qui contacte un serveur externe pour recevoir le module principal et l'exécuter directement en mémoire.
Fox-IT note que l'accès initial aux organisations cibles se fait par tromperie sur Telegram. Les attaquants se présentent comme des employés de sociétés d'investissement et dirigent leurs victimes vers des réunions programmées sur de faux sites qui imitent les plateformes de planification légitimes. Une fois à l'intérieur du système, le programme peut rester actif pendant des mois sans être identifié.
L'entreprise soutient que Les premiers records de cette attaque remontent à novembre 2023tandis que la version la plus ancienne de RemotePE identifiée est datée du 4 juillet de la même année. Aucun des échantillons analysés n’avait été détecté par les plateformes publiques d’analyse des menaces avant la publication du rapport.
Contrôle total depuis l'ombre
Une fois installé, RemotePE donne à l'attaquant un contrôle opérationnel complet sur le système compromis. Selon la firme, le programme n'agit pas de manière autonome : chaque livraison du module principal nécessite l'intervention manuelle d'un opérateur humain, qui décide quand et à qui l'envoyer.
Le programme permet à l'attaquant d'exécuter les actions suivantes sur l'ordinateur compromis :
- Modifier la configuration du serveur depuis lequel vous recevez les commandes
- Gérer les dossiers et modules système
- Lire, écrire, compresser, renommer ou supprimer des fichiers
- Répertorier, créer ou supprimer les processus en cours
- Chargez des modules supplémentaires en temps réel, sans redémarrer le programme
- Réglez les intervalles d’activité pour réduire la visibilité
La firme souligne également qu'avant de supprimer un fichier, le programme l'écrase sept fois avec des données constantesune technique de suppression qui rend difficile la récupération de preuves médico-légales et qu'elle partage avec d'autres programmes malveillants du même groupe, tels que PondRAT et POOLRAT.
L'entreprise prévient que le modèle opérationnel en temps réel supervisé par l'homme, combiné au faible taux de détection de l'ensemble d'outils, suggère que RemotePE soit réservé aux cibles de grande valeuroù un accès silencieux et prolongé précède une action finale à fort impact, comme le vol massif de fonds ou l’extraction d’informations sensibles.
Un schéma qui se répète avec un nombre croissant
RemotePE n’est pas un cas isolé. Selon le cabinet d'analyse Arkham, Lazarus était responsable de plus de 70 % de toutes les attaques contre les protocoles financiers décentralisés enregistrée en 2026, avec deux attaques réalisées en avril qui ont totalisé plus de 577 millions de dollars : la première contre Drift Protocol, où des agents du groupe se sont présentés à des conférences sectorielles et ont effectué des dépôts de plus d'un million de dollars pour apparaître comme des partenaires légitimes avant de drainer les fonds ; le second contre KelpDAO, en manipulant les nœuds qui vérifiaient les transactions entre réseaux. Les deux attaques partagent avec RemotePE le même principe de fonctionnement : des mois de préparation silencieuse avant une action finale irréversible.
Le contexte est plus large : en avril dernier, il y a eu 34 attaques contre les protocoles de finance décentralisée (DeFi), avec des pertes d'environ 635 millions de dollars, ce qui représente 78 % de tout ce qui a été volé dans l'écosystème jusqu'à présent cette année, selon le rapport mensuel de CDSecurity. Depuis 2017, Le groupe accumule plus de 6 milliards de dollars d'actifs numériques volésselon Arkham, un chiffre qui place Lazarus non pas comme un acteur opportuniste, mais comme une opération étatique ayant des objectifs financiers à long terme. RemotePE est, selon Fox-IT, l'outil le plus sophistiqué documenté jusqu'à présent dans cet arsenal.