Une vidéo générée par IA sert à piéger les victimes et voler leurs identifiants
Des pirates nord-coréens ont mis en place une méthode d’attaque très sophistiquée. Ils utilisent des deepfakes et de faux appels Zoom pour piéger leurs cibles. Leurs malwares s’installent discrètement aussi bien sur Windows que macOS.
Les attaques informatiques déguisées sont de plus en plus fréquentes. On a récemment vu des pirates exploiter la popularité de YouTube avec le réseau frauduleux YouTube Ghost Network, qui diffusait plus de 3 000 vidéos tutoriels truquées pour inciter les internautes à installer des malwares. Les fichiers étaient souvent hébergés sur des services fiables comme Google Drive, rendant la menace difficile à repérer. Dans d’autres cas, comme les fausses invitations à des événements, les pirates imitaient des services professionnels pour pousser les victimes à installer un outil de surveillance sans s’en rendre compte.
Cette fois, les cybercriminels vont encore plus loin. Une nouvelle campagne, bien plus élaborée, combine intelligence artificielle, usurpation d’identité, et outils professionnels familiers. L’objectif est toujours le même, il cherche à pousser la cible à installer un logiciel malveillant sans éveiller de soupçons. Mais la méthode repose désormais sur des vidéos deepfake diffusées lors de faux appels Zoom, utilisés comme vecteurs d’infection.
Des deepfakes et de faux appels Zoom permettent d’installer un malware sur Windows et macOS
Selon un rapport de Mandiant, filiale de , un groupe nord-coréen nommé UNC1069 utilise une stratégie particulièrement sophistiquée. L’attaque commence par un compte Telegram compromis, souvent celui d’un dirigeant d’entreprise. Après une conversation engageante, les victimes sont invitées à rejoindre un appel Zoom via un lien frauduleux. L’appel est en réalité hébergé sur l’infrastructure des pirates, et présente une vidéo générée par IA, censée représenter le dirigeant.
Dans cette fausse réunion, le deepfake explique que le micro de la victime ne fonctionne pas et propose un correctif. En cliquant sur le lien fourni, la cible installe en réalité plusieurs malwares regroupés sous les noms WAVESHAPER, HYPERCALL, HIDENCALL, SUGARLOADER, SILENCELIFT, DEEPBREATH et CHROMEPUSH. Ces outils fonctionnent ensemble pour espionner la machine, voler des identifiants, récupérer les données du navigateur et maintenir un accès prolongé.
Les pirates visent en priorité le secteur des cryptomonnaies. Leur objectif est de voler des actifs numériques pour financer indirectement l’État nord-coréen. Cette méthode rappelle les attaques de groupes bien connus comme Lazarus ou TraderTraitor, déjà impliqués dans des vols massifs.
