Les cybercriminels nord-coréens ciblent activement les entreprises de cryptomonnaies pour voler des millions de dollars. Face à cette menace grandissante, des experts en sécurité ont décidé de renverser les rôles en devenant eux-mêmes des chasseurs. Lazarus infiltre la DeFi : comment des chercheurs ont piégé des hackers nord-coréens révèle une expérience inédite où une fausse start-up a servi d’appât. En observant leurs méthodes dans un environnement contrôlé, les spécialistes ont découvert des techniques d’infiltration redoutablement efficaces.
En bref
- Des chercheurs ont créé Ballena Azul LTD, une fausse entreprise DeFi enregistrée officiellement, pour attirer des développeurs infiltrés du groupe Lazarus
- Trois opérateurs nord-coréens ont été recrutés avec de faux documents d’identité et observés via des environnements informatiques contrôlés par ANY.RUN
- Les hackers utilisent des identités volées, des VPN, Google Remote Desktop et des wallets crypto pour masquer leurs activités tout en développant du code potentiellement compromis
- Le groupe Lazarus a dérobé plus de 3 milliards de dollars en cryptomonnaies depuis 2017, dont 1,5 milliard sur Bybit en février 2025
- Les recruteurs doivent vérifier les métadonnées des documents, repérer les incohérences géographiques et surveiller les comportements suspects lors de l’intégration des nouveaux employés
La stratégie de la fausse start-up Ballena Azul LTD
Lazarus infiltre la DeFi : comment des chercheurs ont piégé des hackers nord-coréens ? La réponse tient dans une opération audacieuse : des experts en cybersécurité ont créé une fausse entreprise de finance décentralisée pour attirer et observer les méthodes d’infiltration du groupe Lazarus.
Pour comprendre les techniques d’infiltration du groupe nord-coréen Famous Chollima, une branche de Lazarus, des chercheurs ont monté de toutes pièces Ballena Azul LTD. Cette société fictive spécialisée dans la DeFi disposait de tous les attributs d’une start-up légitime : site web professionnel, identité visuelle soignée et même un enregistrement officiel auprès de l’administration britannique.
L’objectif était simple mais risqué. Attirer de faux développeurs nord-coréens qui tentent régulièrement de s’infiltrer dans les entreprises occidentales.
La mise en scène devait être parfaite pour paraître crédible aux yeux de ces opérateurs aguerris. Les chercheurs ont donc soigné chaque détail, du logo aux pages « À propos », en passant par la présence sur les réseaux professionnels.
Un recruteur lié à Famous Chollima, opérant sous le pseudonyme Angelo Cruz et identifié sur GitHub, a servi d’intermédiaire. Il a mis en relation l’équipe de Ballena Azul avec plusieurs candidats. Trois développeurs ont finalement accepté les postes proposés.
Les ordinateurs fournis à ces recrues étaient connectés à des environnements contrôlés par ANY.RUN. Cette plateforme permettait d’observer et d’enregistrer toutes leurs actions en temps réel, sans qu’ils s’en doutent.
Méthodes d’infiltration du groupe Lazarus
Les techniques employées par le groupe nord-coréen révèlent une organisation sophistiquée. Chaque candidat arrive avec une identité fabriquée de toutes pièces, accompagnée de documents falsifiés.
L’opération Ballena Azul a permis de documenter précisément ces méthodes. Elle illustre comment Lazarus infiltre la DeFi : comment des chercheurs ont piégé des hackers grâce à une observation méthodique en milieu contrôlé.
Identification et intégration des faux développeurs
Les trois développeurs recrutés ont tous fourni de faux documents d’identité. Un candidat a présenté un permis de conduire californien alors qu’il prétendait résider au Texas.
Un autre a soumis une pièce d’identité new-yorkaise appartenant à une tierce personne, probablement obtenue via une fuite KYC. Ces documents volés circulent sur des marchés clandestins et servent à créer des identités crédibles.
Les comptes bancaires utilisés présentaient également des incohérences. Un compte Citibank à New York ici, un compte Lead Bank dans le Kansas là. Ces détails géographiques contradictoires constituent des signaux d’alerte évidents.
L’analyse des métadonnées EXIF d’un permis falsifié a révélé une retouche effectuée avec Google Gemini. Le watermark SynthID intégré par l’IA a trahi la manipulation, prouvant l’utilisation de technologies avancées pour fabriquer ces faux papiers.
Outils et techniques utilisés par Lazarus
Une fois embauchés, les opérateurs ont synchronisé leurs comptes Google personnels sur les machines fournies. Cette action a exposé leur historique de navigation, leurs mots de passe et leurs extensions de navigateur.
Les chercheurs ont constaté l’utilisation systématique d’outils de dissimulation. AstrillVPN et Google Remote Desktop figuraient parmi les applications installées rapidement après l’intégration.
L’activité crypto s’est manifestée presque immédiatement. Les développeurs ont importé des wallets MetaMask et tenté de récupérer des fonds via des faucets testnet. Leur objectif technique déclaré consistait à développer des smart contracts upgradeables.
Ces actions révèlent une stratégie double : obtenir un salaire légitime tout en préparant potentiellement des backdoors dans le code. Chaque ligne de code produite devient alors un risque potentiel pour l’entreprise.
Impact de ces infiltrations sur l’industrie de la cybersécurité
Les secteurs tech, crypto, finance et santé sont particulièrement exposés à ces infiltrations. Un opérateur infiltré peut maintenir un accès légitime pendant des mois aux systèmes internes, au code source et à la propriété intellectuelle.
Les conséquences dépassent le simple vol de données. Le salaire versé à ces faux employés est souvent redirigé vers Pyongyang, finançant indirectement le régime nord-coréen.
Selon plusieurs rapports d’agences américaines, des milliers de travailleurs IT nord-coréens auraient déjà été placés dans des entreprises occidentales. Ce chiffre vertigineux illustre l’ampleur du problème.
La présence prolongée d’un infiltré permet de cartographier l’infrastructure, d’identifier les failles de sécurité et de préparer des attaques futures. L’accès quotidien aux outils de développement offre des opportunités infinies de sabotage.
Pour les entreprises de la DeFi, le risque est décuplé. Un smart contract compromis peut entraîner des pertes se chiffrant en millions de dollars, sans possibilité de retour en arrière sur la blockchain.
L’évolution de l’escroquerie numérique : des faux entretiens à la cybercriminalité
Le groupe Lazarus ne se limite pas à infiltrer des entreprises. Une sous-division nommée Contagious Interview a créé trois sociétés écrans pour diffuser des malwares via de fausses offres d’emploi.
BlockNovas LLC a été immatriculée au Nouveau-Mexique, tandis que SoftGlide LLC s’est enregistrée à New York. Une troisième entité, Angeloper Agency, opérait sans présence légale américaine mentionnée.
Le mécanisme est redoutablement efficace. Des offres d’emploi attractives attirent des développeurs crypto. Le faux processus de recrutement aboutit à l’installation de malwares sur leurs systèmes personnels.
Les techniques de crédibilisation incluent des identités inventées, des adresses fictives et des profils d’employés générés par IA. Les domaines dédiés hébergent de fausses offres d’emploi qui semblent parfaitement légitimes.
Exemples d’opérations précédentes et techniques d’ingénierie sociale
Depuis 2017, Lazarus aurait volé plus de 3 milliards de dollars en cryptomonnaies. Les cyberattaques crypto se multiplient avec une sophistication croissante.
L’attaque sur le réseau Ronin lié à Axie Infinity reste emblématique avec 625 millions de dollars dérobés. Le pont Harmony Horizon Bridge a perdu 100 millions de dollars dans des circonstances similaires.
D’autres opérations marquantes incluent :
- Bangladesh Bank : 81 millions de dollars volés sur près d’1 milliard tenté
- Atomic Wallet en juin 2023 : plus de 100 millions de dollars
- Stake.com en septembre 2023 : 41 millions de dollars
- Bybit en février 2025 : 400 000 ETH soit environ 1,5 milliard de dollars
Selon Immunefi, Lazarus était responsable de plus de 300 millions de dollars de pertes en 2023, représentant 17,6 % des pertes totales de l’année dans l’écosystème crypto.
Les malwares déployés ciblent spécifiquement les portefeuilles crypto, les identifiants et les données sensibles. Chaque développeur infecté devient un point d’entrée vers son employeur ou ses clients.
Prévenir l’infiltration des hackers : conseils pour les recruteurs
Face à ces menaces sophistiquées, les recruteurs doivent adopter des mesures de vérification renforcées. Les signaux d’alerte existent, encore faut-il savoir les repérer.
Nous conseillons de vérifier systématiquement les métadonnées EXIF des documents fournis. Les marqueurs comme SynthID révèlent les manipulations par IA et les retouches suspectes.
Les incohérences géographiques constituent un signal majeur. Une adresse au Texas, un permis californien et un compte bancaire new-yorkais ne peuvent pas coexister logiquement pour une même personne.
L’usage d’outils comme Google Remote Desktop dans un contexte de recrutement à distance doit éveiller les soupçons. Ces solutions légitimes deviennent problématiques quand elles servent à masquer la localisation réelle.
Nous conseillons une vigilance accrue lors de l’onboarding. Si un candidat cherche immédiatement à importer des wallets MetaMask ou à manipuler des environnements crypto sur du matériel d’entreprise, questionnez la légitimité de ces actions.
Les documents semblant liés à une usurpation d’identité, comme une pièce appartenant à un tiers ou issue d’une fuite KYC, doivent déclencher une vérification approfondie. Les bases de données de fuites sont accessibles pour croiser les informations.
La multiplication des vérifications peut sembler fastidieuse. Pourtant, elle reste dérisoire comparée aux dégâts potentiels d’une infiltration réussie dans vos systèmes.
Conclusion : Les leçons à tirer face aux menaces croissantes du Lazarus Group
L’opération Ballena Azul démontre qu’une approche proactive permet de comprendre et d’anticiper les méthodes d’infiltration. Les chercheurs ont transformé la cible en piège, inversant le rapport de force.
Les enseignements sont multiples. La sophistication des attaques nécessite une vigilance permanente et des procédures de vérification strictes. Les faux documents, les incohérences géographiques et les comportements suspects doivent déclencher des alertes.
Le secteur crypto reste particulièrement vulnérable face aux vols de crypto. Les montants en jeu attirent les groupes les plus organisés, capables de maintenir des opérations sur plusieurs années.
La collaboration entre entreprises, chercheurs et autorités devient indispensable. Partager les indicateurs de compromission et les techniques observées renforce la défense collective face à ces menaces étatiques.
Les milliers de travailleurs IT nord-coréens déjà infiltrés dans des entreprises occidentales représentent une menace persistante. Chacun constitue un point d’accès potentiel pour des opérations futures.
La prévention passe par l’éducation des équipes de recrutement et de sécurité. Reconnaître les signaux faibles permet d’éviter des compromissions majeures et des pertes financières considérables.
FAQ
Qu’est-ce que Ballena Azul LTD et pourquoi a-t-elle été créée ?
Qu’est-ce que Ballena Azul LTD et pourquoi a-t-elle été créée ? Ballena Azul LTD est une fausse start-up DeFi montée par des chercheurs pour attirer des faux développeurs liés à Lazarus, observer leurs méthodes d’infiltration et collecter des preuves en environnement contrôlé.
Comment les chercheurs ont-ils rendu la fausse start-up crédible ?
Comment les chercheurs ont-ils rendu la fausse start-up crédible ? Ils ont créé un site web professionnel, une identité visuelle, des pages “À propos”, une présence sur des réseaux professionnels et un enregistrement officiel auprès de l’administration britannique.
Quelles méthodes d’infiltration du groupe Lazarus ont été observées ?
Quelles méthodes d’infiltration du groupe Lazarus ont été observées ? Des identités fabriquées, des documents falsifiés, des incohérences géographiques, l’usage d’AstrillVPN et Google Remote Desktop, et des actions rapides autour de MetaMask et des faucets testnet.
Pourquoi l’analyse des métadonnées EXIF est-elle utile en recrutement ?
Pourquoi l’analyse des métadonnées EXIF est-elle utile en recrutement ? L’analyse des métadonnées EXIF peut révéler des retouches et des indices comme SynthID, signalant des documents manipulés par IA et aidant à détecter une usurpation d’identité.
Quels signaux d’alerte doivent alerter les recruteurs face à un candidat distant ?
Quels signaux d’alerte doivent alerter les recruteurs face à un candidat distant ? Signaux d’alerte : incohérences d’adresse, permis et banque, demande d’accès rapide, installation de Google Remote Desktop, import de wallets MetaMask, et comportements visant à masquer la localisation.
En quoi ces infiltrations sont-elles particulièrement dangereuses pour la DeFi ?
En quoi ces infiltrations sont-elles particulièrement dangereuses pour la DeFi ? Ces infiltrations sont dangereuses car un accès légitime au code et aux smart contracts upgradeables peut introduire des backdoors, et un smart contract compromis peut causer des pertes irréversibles sur la blockchain.