Cybercriminalité sanctionnée par le gouvernement – Qu’est‑ce que le groupe Lazarus ?

Cybercrime est une menace. Les estimations suggèrent que le préjudice combiné que la cybercriminalité pourrait infliger aux systèmes du monde entier atteignait jusqu’à 6 000 milliards de dollars US en 2021. Et si ce chiffre paraît déjà effrayant, on s’attend à ce qu’il atteigne 10,5 000 milliards de dollars US d’ici 2025. En 2015, il était de 3 000 milliards de dollars US. Une croissance de plus de 300 % en une décennie est quelque chose dont nous devons tous nous préoccuper. Oui, vous avez bien lu !

Qu’est‑ce que la cybercriminalité ?

La cybercriminalité est un terme générique qui englobe de nombreux stratagèmes et efforts visant à perturber, endommager et nuire aux réseaux et aux systèmes. Elle peut prendre la forme de toute activité malveillante ciblant un ordinateur, un réseau informatique ou un dispositif connecté. Il peut s’agir d’une attaque de type logiciel malveillant, où l’attaquant infecte un système avec un virus.

Une campagne de phishing utilise des courriels indésirables, des messages ou d’autres formes de communication pour tromper le destinataire et compromettre la confidentialité des données. Une attaque DDoS distribuée, souvent infligée aux appareils IoT, fait tomber un système ou un réseau particulier.

Les types de cybercriminalité peuvent également inclure le vol de données financières, de cartes ou de données de paiement, le cyber‑extorsion, le cyber‑espionnage, la violation de droits d’auteur, les jeux d’argent illégaux, les attaques par ransomware, et bien plus encore.

Selon les données présentées par la société de cybersécurité mondialement reconnue Kaspersky, une attaque unique – qu’il s’agisse d’une violation de données, d’un logiciel malveillant, d’un ransomware ou d’une attaque DDoS – peut coûter à une entreprise, quelle que soit sa taille, en moyenne 200 000 $ US. En fait, les données de la compagnie d’assurance Hiscox montrent que les entreprises touchées peuvent faire faillite dans les six mois suivant l’attaque.

Sans aucun doute, la cybercriminalité entraîne des conséquences graves et sévères. Les attaquants ou hackers sont répartis à l’échelle mondiale et sont capables d’attaquer n’importe quel système ou réseau depuis n’importe quel endroit distant.

Cependant, le crime n’est pas quelque chose que nous associons généralement aux agences soutenues par le gouvernement. Elles font appliquer la loi. Nous ne les considérons guère comme des auteurs. Vous seriez certainement surpris si, à ce stade, nous évoquions la cybercriminalité sanctionnée par le gouvernement. Mais il n’est pas rare d’utiliser la cybercriminalité à des fins politiques et d’aller au‑delà des gains monétaires. Ici, nous examinerons un cas typique de cette envergure, qui accuse la complicité d’un État dans la perpétration de cybercrimes.

Le cas curieux de Jon Chang Hyok et Kim Il

Le site du Federal Bureau of Investigation mentionne deux individus nord‑coréens dans sa liste des « Most Wanted ». Jon Chang Hyok et Kim Il sont tous deux inculpés de conspiration en vue de commettre une fraude téléphonique et bancaire ainsi qu’une fraude liée à l’informatique. Ils auraient été des hackers parrainés par l’État, faisant partie d’une conspiration criminelle qui a conduit à certaines des intrusions informatiques les plus coûteuses de l’histoire. Mais il ne s’agit pas d’accusés ordinaires. Ce ne sont pas des auteurs agissant avec le simple objectif de piller des fonds. Leur but est plus profond et plus obscur que l’on ne pourrait l’imaginer.

Tous deux seraient membres d’un groupe de hackers du Bureau général de reconnaissance du gouvernement nord‑coréen. La conspiration à laquelle ils ont participé regroupe des groupes de hackers nord‑coréens que de nombreux chercheurs en cybersécurité ont désignés comme la menace persistante avancée 38 (APT38) ou le « Lazarus Group ».

Le groupe Lazarus et ses méfaits présumés

La mention la plus récente du « notoire » groupe Lazarus est apparue lorsqu’en janvier 2022, le FBI a confirmé qu’il s’agissait du groupe à l’origine du piratage du pont Harmony Bridge de 100 millions de dollars US en juin 2022.

Le 23 juin 2022, l’équipe du protocole Harmony a identifié un vol sur le pont Horizon d’environ 100 millions de dollars US. Dans sa déclaration du 23 janvier, le FBI a clairement indiqué que le Lazarus Group et l’APT38, « acteurs cybernétiques associés à la RPDC », étaient responsables du vol de 100 millions de dollars US de cryptomonnaies. Les attaquants ont exploité des failles de sécurité existantes dans le pont Ethereum Horizon de Harmony et ont détourné plusieurs actifs stockés dans le pont via 11 transactions.

Avant le piratage du pont Harmony Horizon, le nom du tristement célèbre groupe Lazarus était également cité dans les rapports du piratage du Ronin Bridge hack de 600 millions de dollars US en mars 2022. Pour ceux qui ne connaissent pas le piratage du pont Ronin, il s’agissait de la plus grande exploitation d’actifs virtuels de l’année 2022. Les fonds piratés s’élevaient à un impressionnant 612 millions de dollars US, incluant 173 600 ETH et 25,5 millions de pièces USD.

Axie Infinity, un jeu NFT « play‑to‑earn », utilisait Ronin comme side‑chain Ethereum. En expliquant la nature de l’attaque, les développeurs d’Axie Infinity, Sky Mavis, ont indiqué que les hackers avaient accédé aux clés privées pour compromettre les nœuds validateurs et approuver frauduleusement des transactions afin de siphonner les fonds du pont.

Le Bureau du Trésor des États‑Unis, Office of Foreign Assets Control, a mis à jour sa liste des ressortissants spécialement désignés et des personnes bloquées (SDN) à la mi‑avril 2022 pour suggérer la possible implication du Lazarus Group dans le piratage. Les hackers étaient si sophistiqués et clandestins que la découverte a eu lieu plusieurs jours après le piratage, malgré le fait qu’il s’agisse de l’un des plus gros cambriolages de ce type dans le domaine de la cryptomonnaie.

Il en était de même pour le piratage du pont Harmony Horizon, où le Lazarus Group a exploité RAILGUN, un protocole de confidentialité, pour canaliser plus de 60 millions de dollars US d’Ethereum volés lors du piratage. Selon les enquêtes du FBI, une partie de ces fonds a été gelée en collaboration avec certains VASP, tandis que le reste du Bitcoin a ensuite été transféré vers d’autres adresses.

Le FBI a maintenu ses unités cyber et actifs virtuels déployées, en collaboration avec le bureau du procureur des États‑Unis et l’unité Crypto du ministère de la Justice, afin d’identifier, d’intercepter et de perturber les activités de ce groupe nord‑coréen. Le bureau estime que le vol et le blanchiment de monnaies virtuelles par le groupe visent à soutenir les programmes de missiles balistiques et d’armes de destruction massive de la Corée du Nord.

Avis conjoint de cybersécurité publié

Le 18 avril 2022, la Cybersecurity and Infrastructure Security Agency (CISA), conjointement avec le FBI et le Trésor américain, a publié un avis sur « l’activité parrainée par l’État nord‑coréen ciblant la technologie blockchain et l’industrie des cryptomonnaies ».

Les menaces

L’avis indique que la menace cyber liée aux vols de cryptomonnaies est active depuis au moins 2020. Le document précise, sans ambiguïté, que cette menace d’un groupe persistant avancé (APT) est parrainée par l’État nord‑coréen. Les agences ont désigné le groupe comme le Lazarus Group, APT 38, BlueNoroff et Stardust Chollima.

L’analyse du gouvernement américain de la menace classe ces acteurs cyber malveillants comme des entités qui ciblent une variété d’organisations dans l’industrie de la blockchain et des cryptomonnaies. Aucun secteur n’est épargné. La liste des cibles comprend les plateformes d’échange de cryptomonnaies, les protocoles DeFi, les jeux vidéo cryptographiques P2E, les sociétés de trading de cryptomonnaies, les fonds de capital‑risque et les détenteurs individuels de grandes quantités de cryptomonnaies ou de NFT de valeur.

Le Lazarus Group, ainsi que des acteurs cyber similaires, sont experts dans l’ingénierie sociale, utilisant une gamme de plateformes de communication pour inciter les victimes à télécharger des applications cryptographiques trojanisées sur les systèmes Windows et macOS. Grâce à ces applications, les hackers accèdent à l’ordinateur de l’utilisateur final et diffusent des logiciels malveillants à travers tout l’environnement réseau.

L’avis a souligné que le Lazarus Group était responsable du ciblage d’un éventail d’entreprises, d’entités et d’échanges dans le secteur de la blockchain et des cryptomonnaies. Leur méthode reposait sur des campagnes de spear‑phishing et l’utilisation de logiciels malveillants pour voler.

Malware AppleJeus

Le FBI, la CISA et le DoT ont spécifiquement reconnu l’utilisation du malware AppleJeus dans le ciblage par le Lazarus Group d’organisations pour le vol de cryptomonnaies dans plus de 30 pays au cours des dernières années. Le rapport de l’agence a noté que la Corée du Nord utilisait « le malware AppleJeus se présentant comme des plateformes de trading de cryptomonnaies depuis au moins 2018 ».

L’application malveillante semble être générée par une société légitime de trading de cryptomonnaies. Les individus, piégés par le malware, croient qu’il s’agit d’une application tierce provenant d’un site légal et la téléchargent.

Le gouvernement nord‑coréen aurait utilisé plusieurs versions du malware au cours des cinq dernières années depuis sa découverte en 2018.

La méthode d’exécution

Les cybercriminels lancent leurs opérations en envoyant un grand nombre de campagnes de phishing aux employés des entreprises cryptographiques. Ils ciblent principalement les personnes travaillant dans l’administration système ou le développement logiciel/IT (DevOps).

Les messages que ces hackers envoient sont principalement des alertes de recrutement proposant des emplois très bien rémunérés. Avec ces incitations, ils incitent ces employés à télécharger des applications cryptographiques contenant des malwares, désignées par le gouvernement sous le nom de TraderTraitor. Les campagnes TraderTraitor présentent des sites Web au design moderne faisant la promotion de ces applications.

En inscrivant Jon Chang Hyok sur la liste des « Most Wanted » du FBI, l’agence a associé à son nom des infractions similaires, affirmant qu’il aurait été directement impliqué dans le « développement et la diffusion d’applications cryptographiques malveillantes ciblant de nombreuses plateformes d’échange de cryptomonnaies et d’autres entreprises ».

Pour Kim Il, le crime présumé concernait des « cambriolages cyber‑activés contre des institutions financières » ainsi que l’escroquerie Marine Chain ICO.

L’escroquerie Marine Chain ICO a été lancée par trois opérateurs du renseignement nord‑coréen. Il s’agissait d’une manœuvre malveillante visant à collecter frauduleusement des fonds pendant le boom des ICO de 2018, lorsque près de 12 milliards de dollars US ont été levés par les projets.

Marine Chain se présentait comme le « marché d’investissement maritime mondial de nouvelle génération, habilité par la technologie blockchain ». Elle promettait aux propriétaires de navires de tokeniser la part de propriété de leurs bateaux et de vendre ces pièces de propriété fractionnée à des particuliers et des institutions. Elles étaient appelées Vessel Token Offerings, qui devaient se dérouler sur la blockchain Ethereum.

Kim Il et Jon Chang Hyok, ainsi que Park Jin Hyok – tous originaires de la Corée du Nord – étaient les fondateurs de l’ICO Marine. Ils ont dissimulé le fait qu’ils étaient membres de l’agence militaire nord‑coréenne, le Bureau général de reconnaissance (RGB). Ils ont utilisé de faux noms et ont canalisé chaque centime levé lors de l’ICO vers la Corée du Nord, contournant les sanctions américaines. Le trio a été accusé de 1,3 milliard de dollars US de tentative de vol à travers de nombreux plans d’extorsion et cyber‑attaques.

Que va‑t‑il se passer ?

Alors que les agences d’enquête américaines continuent de découvrir et de suivre les piratages et les tentatives d’extorsion de façon régulière, Kim Il et Jon Chang Hyok restent sur la liste des « Most Wanted » du FBI. Des mandats d’arrêt ont été émis. Cependant, la CISA était certaine dans sa divulgation que « ces acteurs continueront probablement à exploiter les vulnérabilités des entreprises technologiques de cryptomonnaies, des sociétés de jeux et des plateformes d’échange afin de générer et de blanchir des fonds pour soutenir le régime nord‑coréen ».