Les hackers nord-coréens utilisent l'IA pour créer des vidéos de deepfake afin d'infiltrer l'industrie de la cryptographie : le contenu du presse-papiers devient une nouvelle cible pour le vol d'informations

L’industrie de la cryptographie fait face à une nouvelle vague de menaces en provenance du Nord. Grâce à des appels vidéo générés par IA, des hackers se faisant passer pour des connaissances sont en train de lancer des attaques de social engineering de plus en plus sophistiquées contre les professionnels de la cryptomonnaie. Ces attaquants peuvent non seulement falsifier l’identité visuelle, mais aussi déployer des programmes malveillants avancés sur l’appareil de la victime, ouvrir le presse-papiers et le lire automatiquement, afin de voler les clés de portefeuille et des données confidentielles.

Appels vidéo IA : une nouvelle forme de phishing d’usurpation d’identité

Selon le groupe de recherche en sécurité Huntress, ce type d’attaque est généralement lancé via des comptes Telegram compromis. Les attaquants utilisent la technologie IA pour générer des vidéos réalistes, se faisant passer pour des collègues ou des professionnels de confiance dans le secteur. Lors des appels vidéo, ils utilisent diverses excuses (comme un problème audio sur Zoom nécessitant une réparation) pour inciter l’utilisateur à installer un « plugin » apparemment inoffensif. Ce logiciel, qui semble résoudre un problème technique, est en réalité un programme malveillant soigneusement déguisé.

Infection à plusieurs niveaux : de la porte dérobée à la fuite du presse-papiers

Une fois que l’utilisateur a été dupé pour installer ces programmes malveillants, l’attaquant peut pénétrer en profondeur dans l’appareil macOS ciblé. D’abord, il déploie un porte dérobée pour garantir un accès à distance à long terme. Ensuite, un script malveillant commence à écouter le clavier, enregistrant chaque frappe — qu’il s’agisse d’un mot de passe d’échange ou d’une clé privée — sans laisser de trace.

Plus dangereux encore, ces programmes peuvent surveiller et capturer en temps réel le contenu du presse-papiers. Lorsqu’un utilisateur copie des informations sensibles, l’attaquant peut automatiquement les récupérer. Cela signifie que toute opération de collage — adresse de transfert, fragment de clé, instruction de transaction — peut être interceptée. Les attaquants ne se contentent pas de voler des données statiques, ils peuvent aussi obtenir en temps réel les informations sensibles les plus récentes, permettant un accès direct aux fonds dans le portefeuille cryptographique.

Opérations à l’échelle nationale par le groupe Lazarus

Le responsable de la sécurité chez SlowMist confirme que ces attaques soigneusement planifiées proviennent du groupe Lazarus (également appelé BlueNoroff), une organisation de hackers soutenue par l’État nord-coréen. Ce groupe a déjà mené à plusieurs reprises des attaques massives contre des développeurs de cryptomonnaies et des plateformes d’échange. Cette opération présente des caractéristiques évidentes de réutilisation de techniques — les mêmes méthodes ont été employées contre plusieurs cibles, notamment des portefeuilles spécifiques et des acteurs clés du secteur crypto.

Les analyses de Huntress indiquent que ces opérations d’attaque présentent une forte similitude avec les activités passées de cette organisation, ce qui suggère qu’il s’agit d’une campagne organisée et continue, plutôt que d’incidents isolés.

Le dilemme de la vérification d’identité et les stratégies de défense

Avec l’avancée des technologies d’IA pour la manipulation faciale et la clonage vocal, la vérification d’identité par l’image et le son devient de plus en plus peu fiable. Les utilisateurs ne peuvent plus se fier uniquement à ce qu’ils voient ou entendent pour confirmer l’identité de leur interlocuteur.

Pour contrer ces menaces, les professionnels de la cryptographie doivent adopter une stratégie de défense multi-couches. Tout d’abord, renforcer l’authentification à plusieurs facteurs — ne pas se limiter à une seule méthode. Ensuite, rester vigilant face aux appels vidéo de sources inconnues, surtout lorsqu’ils demandent l’installation de logiciels. Troisièmement, mettre à jour régulièrement les systèmes et applications, et limiter les permissions inutiles. Enfin, il est crucial de garder à l’esprit que même un appel vidéo semblant provenir d’une connaissance peut être une falsification sophistiquée. Toute demande impliquant des permissions système ou des opérations sensibles doit être vérifiée par un canal indépendant.