Les hackers nord-coréens falsifient des réunions Zoom pour voler des actifs cryptographiques, avec des pertes totales dépassant 300 millions de dollars

Les agences de cybersécurité ont révélé que des cybercriminels nord-coréens mènent des attaques d’ingénierie sociale par le biais de « fausses réunions Zoom / Teams », volant massivement des actifs de portefeuilles de cryptomonnaies, avec des pertes cumulées dépassant 300 millions de dollars. La société de sécurité Security Alliance (SEAL) indique qu’elle peut suivre presque quotidiennement plusieurs incidents liés, et que les acteurs de l’industrie de la cryptographie ainsi que les utilisateurs actifs sont devenus des cibles prioritaires.

Cette méthode d’attaque a été initialement dévoilée par Taylor Monahan, chercheuse en sécurité chez MetaMask. Elle a souligné que les hackers nord-coréens utilisent des scénarios de réunions en ligne très réalistes pour piéger les victimes afin d’installer des logiciels malveillants, leur permettant d’accéder directement aux clés privées, mots de passe et informations de sécurité internes, puis de vider rapidement les portefeuilles de cryptomonnaies.

Selon le processus d’attaque, celle-ci commence généralement dans un groupe Telegram. Les hackers se font passer pour des « connaissances » de la victime, en envoyant des messages à ses contacts, et en utilisant des outils courants comme Calendly pour envoyer des invitations à des réunions Zoom. Après le début de la réunion, la victime voit des images vidéo de « connaissances » et de « membres de l’équipe », mais ces images sont en réalité des vidéos préenregistrées authentiques, et non de simples deepfakes.

Pendant l’appel, les hackers invoquent des « anomalies audio » ou une « mauvaise qualité de la réunion » pour inciter la victime à télécharger ce qui semble être un patch ou une mise à jour SDK. Ce fichier est en fait un programme malveillant, souvent un cheval de Troie d’accès à distance (RAT). Une fois installé, l’attaquant peut contrôler à distance l’appareil, voler les identifiants de connexion, les clés privées, et transférer rapidement les fonds du portefeuille de cryptomonnaies.

Les experts en sécurité soulignent que cela marque une montée en gamme de la stratégie des hackers nord-coréens dans la criminalité cryptographique. Auparavant, des groupes comme le tristement célèbre Lazarus dépendaient principalement d’attaques sur les échanges, de sites de phishing ou de faux recrutements pour pénétrer. Récemment, ils ont clairement tourné vers des « attaques d’ingénierie sociale à haute confiance » avec un taux de réussite plus élevé.

Il y a peu, le groupe Lazarus a été accusé d’avoir planifié une attaque contre la plus grande plateforme d’échange de cryptomonnaies en Corée du Sud, causant une perte d’environ 30,6 millions de dollars. Selon diverses sources, la taille du vol de cryptomonnaies dans le monde devrait atteindre 2,17 milliards de dollars d’ici la mi-2025, et les portefeuilles personnels deviennent la cible la plus vulnérable.

Les professionnels du secteur rappellent que si, lors d’une réunion vidéo, il vous est demandé de télécharger un patch ou un outil, il faut immédiatement interrompre la réunion, déconnecter le réseau, éteindre l’appareil, et transférer et sécuriser les actifs du portefeuille pour réduire le risque de pertes potentielles.