Le secteur de crypto-monnaies est confronté à un cybermenace nouvelle et sophistiquée qui combine intelligence artificielle, faux profond et techniques ingénierie sociale avancée. Google a identifié un groupe de hackers nord-coréen, identifié comme UNC1069qui orchestre une campagne d'attaques ciblées utilisant des outils de nouvelle génération capables de tirer parti de l'IA pour tromper même les utilisateurs les plus expérimentés. La tactique principale consiste à utiliser des comptes compromis pour envoyer invitations Zoom falsifiéesderrière lesquelles se cachent des versions deepfake de PDG et de dirigeants du secteur de la cryptographie.
La méthodologie d'attaque documentée par Google révèle un niveau de complexité sans précédent. Une fois que les pirates ont accès à un compte légitime, ils envoient des invitations de calendrier contenant des liens vers une version contrefaite de Zoom. Lorsque la victime accepte l'appel, elle se trouve face non pas à une personne réelle, mais à un deepfake extrêmement convaincant du propriétaire du compte compromisreprésentant souvent le PDG d’une autre société de cryptomonnaie. Cette technique permet aux attaquants de mener des conversations apparemment authentiques, établissant ainsi un niveau de confiance suffisant pour mener à bien la tromperie.
Le groupe UNC1069 a bien développé et mis en œuvre sept nouvelles familles de malwares spécialement conçu pour cette campagne. Les principales cibles comprennent les éditeurs de logiciels et leurs développeurs, les sociétés de capital-risque et leurs dirigeants, tous opérant dans l’écosystème des cryptomonnaies. La stratégie a un double objectif : d'une part le vol direct d'actifs numériques, de l'autre l'acquisition de l'identité et des données des victimes pour alimenter de futures campagnes d'ingénierie sociale encore plus élaborées.
Le groupe nord-coréen a développé sept nouvelles familles de malwares pour cibler les sociétés de cryptographie, les développeurs et les sociétés de capital-risque.
L’utilisation d’outils commerciaux d’IA pour affiner les attaques est particulièrement préoccupante. Google a confirmé que Gemini a été utilisé par le groupe développer des outils, mener des recherches opérationnelles et assister aux phases de reconnaissance objective, avant la clôture du compte associé. Il ne s'agit pas d'un cas isolé : Kaspersky a détecté qu'un autre groupe de hackers, BlueNoroff, exploite GPT pour améliorer la qualité des images utilisées dans les attaquesrendant encore plus crédibles les documents frauduleux présentés aux victimes.
Cette découverte soulève d’importantes questions sur la sécurité des modèles d’IA générative et leur potentielle utilisation malveillante. Alors que les développeurs mettent en œuvre des mesures de protection pour prévenir les abus, les auteurs de menaces font preuve d'une créativité croissante pour contourner ces mesures ou utiliser des comptes légitimes avant qu'ils ne soient identifiés et bloqués. La chaîne d'attaque documentée nécessite toujours un accès initial à un compte compromis, ce qui souligne l'importance de mesures de sécurité de base telles que l'authentification à deux facteurs et une gestion minutieuse des informations d'identification.
Voir l’article original en italien
