Intellasia East Asia News – L’histoire des cyberterroristes de la Corée du Nord : comment ils s’introduisent dans des plates-formes cryptographiques “inviolables” et encaissent

Il s’agit du deuxième volet d’une série en trois parties mettant en lumière les vols de crypto-monnaie de la Corée du Nord et leurs liens avec les ambitions nucléaires du régime ermite. Éd.

Au début de cette année, un ingénieur senior d’Axie Infinity, une société vietnamienne qui gère un jeu populaire basé sur la blockchain, a été encouragé à postuler pour un emploi lucratif via LinkedIn.

Mais après que l’ingénieur a ouvert un dossier avec une lettre d’offre d’emploi, le réseau du pont Ronin, une plateforme créée par Axie Infinity pour transférer des crypto-monnaies, a été soudainement compromis. Les logiciels espions plantés dans le fichier ont permis aux pirates d’infiltrer le réseau Ronin et de voler des crypto-monnaies d’une valeur de 625 millions de dollars en mars.

Bien que cela puisse ressembler à de la fiction, c’est ainsi que le groupe Lazarus a pénétré l’infrastructure informatique du pont Ronin et piraté les clés privées du validateur pour voler des crypto-monnaies. Le Federal Bureau of Investigation des États-Unis a confirmé en avril que le groupe Lazarus était responsable de l’un des plus grands vols de crypto-monnaie de tous les temps.

Le groupe Lazarus est une armée de pirates informatiques parrainés par l’État nord-coréen, formés à vie pour voler des actifs illégaux afin de financer les ambitions nucléaires du régime lourdement sanctionné qui maintiennent le dirigeant Kim Jong-un au pouvoir. Les 625 millions de dollars que les pirates ont volés au pont Ronin équivalaient à ce qu’il en coûtait à Pyongyang pour lancer 31 missiles balistiques au premier semestre de cette année, selon Séoul.

L’affaire Axie Infinity n’est que la pointe de l’iceberg en ce qui concerne l’histoire de la criminalité financière de la Corée du Nord depuis des décennies. Ils ne volent plus les banques, mais s’introduisent désormais dans le cyberespace en manipulant les gens et en volant l’argent des systèmes financiers en ligne grâce à un savoir-faire technologique sophistiqué.

Millie Kim, chercheuse au sein du North Korea Cyber ​​Working Group, une initiative du Korea Project du centre Belfer pour la science et les affaires internationales de l’Université de Harvard, a déclaré: «Les pirates informatiques nord-coréens parrainés par l’État sont aptes à suivre les développements dans l’espace crypto, en particulier lorsqu’il s’agit d’identifier les vulnérabilités dans les dernières technologies de blockchain.

“Une partie de cela a à voir avec l’accès ouvert aux informations en ligne, et une autre partie est le placement stratégique de travailleurs étrangers dans des entreprises informatiques et de crypto-monnaie pour transférer des connaissances spécialisées aux pirates”, a déclaré Kim.

“La culture des talents et la formation des cyber-agents dans les institutions étatiques et dans d’autres pays étrangers constituent un autre moyen crucial par lequel la Corée du Nord peut découvrir et obtenir des informations sur la technologie blockchain en évolution rapide.”

Par exemple, le groupe de piratage BlueNoroff, un sous-groupe du groupe Lazarus “a des méthodologies sophistiquées pour infiltrer la machine de la victime et voler la crypto-monnaie”, a déclaré Park Seong-su, chercheur principal en sécurité de l’équipe mondiale de recherche et d’analyse de Kaspersky, ajoutant que “leurs tactiques gardent évolue. »

Park a déclaré que “le groupe BlueNoroff a contacté la victime via les réseaux sociaux pour gagner sa confiance”, puis “a fourni des logiciels malveillants sophistiqués avec des étapes d’infection en plusieurs étapes”. Ensuite, les pirates nord-coréens “collectent les informations générales de la victime et surveillent la façon dont la victime gère la crypto-monnaie pendant une période suffisante”.

En général, les cybercriminels nord-coréens “collectent des informations organisationnelles, identifient les individus vulnérables et les faiblesses de l’infrastructure et analysent le comportement de leurs cibles” avant de déployer des tactiques d’ingénierie sociale avancées, selon un rapport Chainalysis publié dans le rapport à mi-parcours du groupe d’experts publié ce Septembre.

En outre, les acteurs de la cybermenace affiliés au groupe Lazarus ont maîtrisé et affiné les techniques de création de faux personnages, d’établissement d’entreprises fictives et de conservation minutieuse des identités numériques pour « communiquer avec leurs cibles et gagner leur confiance ».

Les acteurs nord-coréens de la menace ont créé des “comptes faux mais d’apparence légitime” sur des plateformes de médias sociaux telles que LinkedIn et Twitter, ont régulièrement téléchargé du contenu et se sont engagés dans des conversions personnelles et organisées avec leurs cibles. Ensuite, les pirates nord-coréens lancent une attaque de harponnage via divers canaux, notamment l’envoi d’e-mails contenant des pièces jointes contenant des logiciels malveillants ou des liens malveillants, une invitation à collaborer via SharePoint et le partage de liens Google Docs.

Selon la plainte pénale américaine dévoilée en 2018, le faux personnage nord-coréen Kim Hyon-woo a été utilisé pour attaquer Sony Pictures Entertainment, mener des cyberattaques contre des institutions financières telles que Bangladesh Bank et cibler des sous-traitants de la défense américaine.

Mais comment fonctionnent-ils ?

Les pirates informatiques parrainés par l’État nord-coréen ont principalement utilisé deux tactiques hors chaîne : l’ingénierie sociale et les logiciels malveillants. Les groupes de piratage ont généralement utilisé des tactiques d’espionnage traditionnelles telles que des attaques d’ingénierie sociale avancées pour pénétrer dans les systèmes de crypto-monnaie en trompant et en attirant les victimes pour qu’elles donnent par inadvertance accès à leur réseau et à des informations classifiées ou téléchargent des fichiers infectés par des logiciels malveillants.

L’ingénierie sociale est une technique de manipulation psychologique qui exploite la nature humaine et incite les gens à donner des informations confidentielles et à contourner les procédures de sécurité.

Un exemple pourrait être une campagne de harponnage qui escroque une personne ou un groupe spécifique en partageant des informations connues pour intéresser la cible par le biais d’e-mails ou de communications électroniques d’apparence légitime.

En outre, les cyberacteurs nord-coréens ont attaqué des individus et des organisations, y compris des échanges de crypto-monnaie et des services financiers pour le vol de crypto-monnaie en diffusant des applications de trading de crypto-monnaie infectées par des logiciels malveillants, selon le US Joint Cyber ​​Security Advisory publié en 2021.

Les cybercriminels nord-coréens “utilisent des techniques de phishing, de réseaux sociaux et d’ingénierie sociale pour inciter les utilisateurs à télécharger le logiciel malveillant” surnommé par le gouvernement américain “AppleJeus”.

En général, les entreprises d’apparence légitime annoncent et distribuent une version modifiée et trojanisée d’une application de trading de crypto-monnaie sur leur site Web.

En 2020, les cyberacteurs nord-coréens ont ciblé des institutions dans les domaines de l’énergie, de la finance, du gouvernement, de l’industrie, de la technologie et des télécommunications pour le vol de crypto-monnaie avec le malware AppleJeus dans plus de 30 pays.

“L’utilisation des crypto-monnaies joue sur les points forts des cyber-opérateurs nord-coréens, car elle tire parti des compétences des ensembles d’intrusions” traditionnels “ainsi que des personnes qui effectuent des travaux informatiques / indépendants en ligne”, a déclaré Joe Dobson, analyste principal principal chez Mandiant. , basé en Virginie.

Blanchiment d’argent

Mais courir avec la crypto-monnaie n’est que le début. La Corée du Nord s’est engagée dans des processus de blanchiment en plusieurs étapes et sophistiqués pour encaisser les crypto-monnaies mal acquises.

“Le régime de Kim est devenu compétent dans le mélange et le blanchiment de fonds pour essayer de dissimuler l’origine de ses fonds volés”, a déclaré Annie Fixler, directrice adjointe du centre sur l’innovation cybernétique et technologique à la Fondation pour la défense des démocraties à Washington.

Les acteurs nord-coréens de la cybermenace parrainés par l’État ont utilisé diverses tactiques pour dissimuler ou masquer la source des crypto-monnaies mal acquises et des transactions illicites sans fournir d’identification ou d’informations “Connaître votre client”.

“Pour blanchir les fonds, ils utilisent des techniques d’obscurcissement telles que le mélange, l’utilisation de services comme Tornado Cash pour créer une déconnexion entre la crypto-monnaie qu’ils déposent et retirent, et le saut de chaîne, qui est le processus d’échange entre plusieurs types de crypto-monnaie différents en un seul transaction », a déclaré Erin Plante, vice-présidente des enquêtes chez Chainalysis, dont le siège est à New York.

En général, la Corée du Nord blanchit les crypto-monnaies volées en grande partie par des outils de saut de chaîne, des mélangeurs et des techniques de chaîne de pelage.

Le saut de chaîne est une tactique consistant à se déplacer entre différents types de crypto-monnaies souvent en succession rapide. Une chaîne de peeling est une technique de blanchiment d’une grande quantité de crypto-monnaie à travers une longue série de petites transactions.

Un mélangeur de crypto-monnaie est un outil logiciel qui regroupe et brouille les crypto-monnaies de milliers d’adresses pour obscurcir et dissimuler le flux des transactions.

«La Corée du Nord a tendance à s’appuyer sur les mélangeurs et l’espoir de la blockchain. Cependant, ils emprunteront toujours la voie de la moindre résistance », a déclaré Allison Owen, analyste de recherche au Royal United Services Institute, basé à Londres. “Il est essentiel de continuer à regarder l’horizon pour restreindre toutes les zones émergentes qu’ils peuvent exploiter.”

Collaborateurs étrangers

Les experts en cybersécurité et les analystes de la blockchain ont également souligné qu’une plus grande attention devrait être accordée à la collaboration de la Corée du Nord avec les pays et les ressortissants étrangers à chaque étape du vol de crypto-monnaie.

La Corée du Nord a également l’habitude de conspirer avec des ressortissants étrangers, y compris des partenaires canado-américains et nigérians, pour blanchir des fonds provenant de cambriolages informatiques perpétrés par la Corée du Nord.

Nick Carlsen, analyste blockchain chez TRM Labs et ancien analyste du FBI, a déclaré qu’une telle collaboration avec des ressortissants étrangers est plus importante dans les phases de blanchiment et d’encaissement des fonds volés.

Par exemple, les courtiers de gré à gré «jouent un rôle majeur à chaque étape» du blanchiment de fonds volés grâce à des systèmes de stratification pour déplacer et transférer des crypto-monnaies mal acquises dans différents portefeuilles et devises, selon un rapport publié en mai par le centre Belfer. pour la science et les affaires internationales.

Le système OTC permet aux parties d’acheter et de vendre des titres en dehors des bourses formelles et par le biais de réseaux de concessionnaires décentralisés.

Deux ressortissants chinois ont été accusés d’avoir blanchi plus de 100 millions de dollars de crypto-monnaie volés par le groupe Lazarus à partir d’échanges de crypto-monnaie entre 2017 et 2019, ont déclaré le département américain du Trésor et le ministère de la Justice en 2020. Un ressortissant chinois a transféré plus de 34 millions de dollars de crypto-monnaie mal acquise via un compte bancaire chinois et transféré environ 1,4 million de dollars de bitcoins sur des cartes-cadeaux Apple iTunes.

Robert Potter, co-fondateur et co-PDG de la société de cybersécurité australo-américaine Internet 2.0, a également souligné que “la Russie et la Chine se sont contentées de fermer les yeux” sur le vol de crypto-monnaie par la Corée du Nord.

“Des pirates liés à la Corée du Nord ont utilisé des services situés dans des pays du monde entier, y compris la Chine et la Russie, pour tenter d’encaisser leurs gains mal acquis”, a déclaré Plante de Chainalysis.

https://www.koreaherald.com/view.php?ud=20221212000714

Catégorie: Corée