Un nouveau rapport s’appuyant sur des renseignements exclusifs révèle comment le régime nord-coréen mobilise des milliers de professionnels experts de l’IT pour infiltrer des entreprises à travers le monde.
Tribune – Flare, leader du Threat Exposure Management, vient de publier une nouvelle étude en collaboration avec IBM X-Force, une équipe internationale d’experts composée de hackers, de spécialistes de la cyberdéfense, d’analystes du renseignement sur les menaces et de chercheurs en sécurité. Intitulé « Inside the North Korean Infiltrator » Threat », ce rapport offre un aperçu rare des opérations quotidiennes des informaticiens nord-coréens, aussi appellés “IT workers”. Il détaille les tactiques, techniques et procédures (TTP) qu’ils utilisent pour infiltrer des organisations, en Europe occidentale et en Amérique du Nord, afin d’en tirer des gains financiers tout en exfiltrant des données sensibles.
Le renforcement des mesures fédérales mises en place aux États-Unis, notamment de multiples mises en accusation au cours de l’année écoulée, a mis en évidence l’ampleur et la sophistication croissantes de cette menace mondiale. Des ressortissants nord-coréens parviennent à être recrutés en tant que prestataires informatiques à distance ou informaticiens à temps plein au sein d’entreprises sans qu’elles ne soupçonnent une quelconque manipulation. Ces employés nord-coréens constituent désormais un levier central de la stratégie du régime nord-coréen visant à déployer une main-d’œuvre qualifiée à l’étranger et à capter leurs salaires pour générer des revenus pour le parti.
« Se prémunir contre l’infiltration de travailleurs informatiques nord-coréens n’est pas seulement une question de cybersécurité ; cela nécessite une action coordonnée entre les RH, la sécurité, les responsables du recrutement et les équipes chargées des entretiens. Le rapport offre un décryptage pour comprendre cette menace en constante évolution et permettre aux entreprises d’identifier les signaux faibles afin de prévenir toute infiltration. » commente un chercheur en threat intelligence de chez Flare.
Principaux enseignements du rapport :
- Identification de systèmes internes nord-coréens : le rapport révèle l’existence de plateformes internes, notamment « RB Site » et « NetkeyRegister », qui semblent servir de tableaux de bord de gestion pour le suivi des tâches, l’enregistrement des équipements et la distribution de logiciels. Ces éléments attestent d’une organisation centralisée, loin d’activités isolées ou informelles.
- Recours à des Occidentaux pour rester plus longtemps au sein des entreprises : certains agents recrutent des Occidentaux, souvent via LinkedIn ou GitHub, afin d’utiliser leur identité, d’obtenir des ordinateurs portables d’entreprise et de remplir les formalités d’embauche. Cette stratégie facilite leur recrutement et leur permet de rester en poste sur de longues périodes.
- Déconstruction des idées reçues : alors qu’on suppose souvent qu’il s’agit de travail forcé, une découverte surprenante a révélé que les informaticiens nord-coréens travaillent généralement comme des professionnels à distance à temps plein, avec des horaires standards et des responsabilités professionnelles classiques.
- Un aperçu détaillé de leur processus de travail : Les feuilles de temps internes et les supports de formation révèlent un suivi rigoureux des candidatures, une gestion structurée des missions freelance et des recommandations ciblées pour décrocher des postes à distance, illustrant un processus à la fois organisé et industrialisé.
- Des modes de communication spécifiques : l’utilisation d’IP Messenger pour les discussions internes et le recours intensif à Google Translate, consistant souvent à rédiger des messages en anglais puis à les retraduire en coréen pour en vérifier l’exactitude, donne un aperçu de leur mode de fonctionnement et de communication.
- Une organisation structurée et multifonctionnelle : cet écosystème est composé de recruteurs, d’intermédiaires, d’informaticiens, … chacun ayant des responsabilités bien définies pour trouver des emplois et rester en poste.
- Une motivation avant tout financière : bien que certaines équipes se soient livrées à des vols de données ou à d’autres activités malveillantes, l’objectif principal est de générer des revenus réguliers grâce à l’emploi à distance.
- Des opérations réparties entre plusieurs entités nord-coréennes : les activités ne relèvent pas d’une seule unité gouvernementale, mais semblent réparties entre divers organismes d’État, structures du parti et sociétés écrans, rendant la menace diffuse et difficile à contenir.
« Les informaticiens nord-coréens exploitent les failles dans les processus de recrutement et de vérification d’identité d’une manière que de nombreuses entreprises sous-estiment encore. Ce rapport met en lumière la manière leurs modus operandi et propose des conseils pratiques pour aider les équipes de sécurité à les détecter et à les stopper. » a déclaré Josh Chung, strategic cyber threat analyst chez IBM X-Force.
Stratégies d’atténuation
Le rapport propose également des stratégies concrètes que les entreprises peuvent mettre en œuvre avant et après le recrutement, notamment : une vérification rigoureuse de l’identité, l’examen minutieux des incohérences dans les CV et les entretiens, la vigilance face aux signes de manipulation par IA ou de candidatures par procuration, et la priorité aux interactions en personne lorsque cela est possible. Une fois les employés intégrés, il est recommandé de surveiller les comportements atypiques, l’utilisation suspecte de VPN ou d’outils d’accès à distance, ainsi que la présence de logiciels associés à la RPDC, tout en maintenant des échanges réguliers en direct avec les collaborateurs à distance.
