Des pirates informatiques nord-coréens ont volé 88 millions de dollars en se faisant passer pour des travailleurs du secteur technologique américain.

Flashpoint révèle comment des pirates informatiques nord-coréens ont utilisé de fausses identités pour obtenir des emplois informatiques à distance aux États-Unis, détournant 88 millions de dollars. Découvrez comment ils ont utilisé de fausses identités et de fausses technologies pour commettre cette fraude.

Des pirates informatiques nord-coréens ont utilisé des identités volées pour obtenir des emplois informatiques à distance dans des entreprises et des organisations à but non lucratif américaines, empochant au moins 88 millions de dollars en six ans. Le ministère américain de la Justice a inculpé quatorze ressortissants nord-coréens le 12 décembre 2024 pour leur implication. La société de sécurité Flashpoint a mené une enquête inédite, analysant les données des ordinateurs infectés des pirates afin de révéler leurs tactiques et des détails exclusifs sur ce stratagème.

L'enquête de Flashpoint a révélé le recours à de fausses entreprises citées dans l'acte d'accusation, notamment « Baby Box Info », « Helix US » et « Cubix Tech US », pour créer des CV crédibles et fournir de fausses références. Les chercheurs ont suivi des ordinateurs infectés, notamment un ordinateur à Lahore, au Pakistan, qui contenait les identifiants de connexion d'adresses e-mail associées à ces fausses entités. Le nom d'utilisateur « jsilver617 », potentiellement lié à une fausse identité américaine « JS », a été retrouvé sur l'un de ces ordinateurs, utilisé pour postuler à de nombreux emplois dans le secteur technologique en 2023.

Un élément de preuve crucial était l'utilisation intensive de Google Traduction entre l'anglais et le coréen, retrouvée dans l'historique de navigation d'un ordinateur infecté, ce qui a permis de comprendre l'origine des pirates. Les messages traduits ont révélé leurs méthodes de création de fausses références professionnelles, incluant même de fausses coordonnées de personnes travaillant dans des entreprises fictives. Un message traduit, se faisant passer pour un responsable RH de « Cubix », fournissait de fausses informations de vérification d'emploi.

D'autres communications ont fait allusion à une structure hiérarchique au sein de l'entreprise et ont abordé des « techniques », telles que des stratégies pour éviter l'utilisation de webcams lors des réunions en ligne. La frustration face aux faibles performances d'un télétravailleur était également manifeste dans un message traduit indiquant : « C'est la preuve que vous êtes un échec. »

L'enquête a également révélé des discussions concernant l'envoi d'appareils électroniques, probablement des ordinateurs portables et des téléphones, pour leurs installations de télétravail. Ces informations concordent avec les récents reportages de Hackread.com sur les fermes d'ordinateurs portables , où des collaborateurs basés aux États-Unis ont reçu des appareils permettant l'accès à distance de travailleurs nord-coréens, l'important groupe nord-coréen Nickel Tapestry étant identifié comme le principal responsable.

Dans ce cas, un message traduit demandait des informations sur la livraison d'ordinateurs portables au Nigéria. L'historique de navigation a révélé des numéros de suivi de services de messagerie internationaux, y compris une expédition provenant peut-être de Dubaï.

Traduction fournie par Flashpoint :

 We need to make the Abdul's voices heard for a week. After that we can turn off the camera. They are very sensitive to voices. They might not ask Abdul to turn on the video if they don't think there is a difference in thg voices.&op=translate

---

and you know that was same some that we have already summitted your profile, at that time they told that your rate is high and gave offer to another person , but that offer is backout and now they have backfill of it. please let me know if we can submit your profile at $65/hr on C2C/1099. this time prime vendor is different, but client is same.&op=translate

---

I didn't complain when you didn't get the assignment for two months. But this is a different matter. It's proof that you're a failure and if you're like this, you won't be able to handle this job well.&op=translate

L'enquête a également révélé l'utilisation du logiciel de bureau à distance AnyDesk sur les machines infectées, suggérant que les agents nord-coréens ont accédé à distance aux systèmes de l'entreprise américaine. Ce détail met en évidence l'accès direct qu'ils ont obtenu aux réseaux sensibles de l'entreprise.

« Depuis sa découverte, les entreprises du Fortune 500, les industries technologiques et de cryptomonnaie ont signalé encore plus d'agents secrets de la RPDC siphonnant des fonds, de la propriété intellectuelle et des informations », a révélé l'enquête de Flashpoint, partagée avec Hackread.com.

L'analyse approfondie de Flashpoint sur cette opération, réalisée en analysant les informations d'identification compromises et les journaux des voleurs d'informations, fournit une compréhension détaillée de la cyberfraude sophistiquée et rentable de la Corée du Nord ciblant les organisations américaines.