Le groupe nord-coréen Konni détourne Google Find Hub et KakaoTalk pour effacer des téléphones et diffuser des logiciels malveillants en Corée du Sud

Comment des agents nord-coréens ont retourné des applications de confiance contre des Sud-Coréens

Des opérateurs cybernétiques soutenus par l’État nord-coréen ont mené une campagne coordonnée transformant des outils du quotidien en vecteurs d’attaque, selon des enquêteurs en criminalistique numérique sud-coréens. Le groupe, associé au cluster Konni, un réseau d’acteurs liés à Pyongyang, a dérobé des identifiants de comptes Google, pris à distance le contrôle de téléphones et de tablettes Android grâce au service Find Hub de Google, puis détourné des comptes KakaoTalk pour diffuser des logiciels malveillants au sein de réseaux de contacts réels. Les chercheurs décrivent cette opération comme le premier cas confirmé où un acteur lié à la Corée du Nord a compromis des comptes Google afin de contrôler à distance des appareils intelligents au moyen de fonctions de gestion intégrées.

Les analystes du Genians Security Center indiquent que les attaquants ont d’abord usurpé l’identité de fonctionnaires des impôts pour installer des logiciels malveillants. Après une période de surveillance discrète, les intrus se sont connectés aux comptes Google dérobés. Avec Find Hub, un outil de sécurité grand public qui permet aux propriétaires de localiser et de protéger les appareils perdus, ils ont suivi la position des téléphones et lancé des réinitialisations à distance aux paramètres d’usine. Ces effacements ont supprimé les données personnelles et temporairement neutralisé les alertes, ce qui a facilité le succès de l’étape suivante.

Les cibles ne pouvant plus recevoir d’appels ni de notifications, l’opération s’est reportée sur le client de bureau KakaoTalk, dont la session était toujours ouverte. En utilisant le nom des victimes et l’historique de leurs conversations de confiance, les attaquants ont envoyé à leurs contacts des fichiers malveillants déguisés en programmes de gestion du stress. Cette tactique a permis au logiciel malveillant de se propager en exploitant la confiance sociale et a retardé sa détection, car de nombreuses victimes étaient privées d’accès à leur compte ou occupées à récupérer leur téléphone.

Google a indiqué que cette activité reposait sur l’exploitation d’un accès valide à des comptes et de fonctions légitimes, et non d’une vulnérabilité d’Android ou de Find Hub. L’entreprise conseille aux utilisateurs d’activer la validation en deux étapes ou les clés d’accès et, pour les personnes particulièrement exposées, de s’inscrire au programme Protection Avancée.

Déroulement des attaques

L’opération s’est déroulée en plusieurs étapes combinant des leurres envoyés par e-mail, le vol de comptes, le contrôle d’appareils dans le cloud et le détournement d’une messagerie. Elle illustre la méthode dite « vivre de la terre » : les services intégrés et les applications de confiance deviennent les outils de l’attaquant. Deux incidents détaillés par les enquêteurs, notamment ceux des 5 et 15 septembre, montrent à quelle vitesse cette méthode peut diffuser des logiciels malveillants dans les cercles personnels et professionnels dès qu’un compte est compromis.

Étape 1 : hameçonnage ciblé et compromission initiale

L’intrusion a commencé par des messages ciblés usurpant l’identité du Service national des impôts sud-coréen. Les victimes ont été incitées à ouvrir des pièces jointes ou des programmes d’installation d’apparence légitime, notamment des fichiers présentés sous forme d’installateurs MSI signés. En réalité, ces fichiers lançaient des scripts qui établissaient une persistance et téléchargeaient des outils d’accès à distance. Les analystes ont observé plusieurs familles de logiciels malveillants donnant un contrôle complet des systèmes Windows, dont Lilith RAT, Remcos RAT, Quasar RAT et RftRAT, ainsi que des chargeurs basés sur AutoIt. Ces logiciels effectuaient des opérations de reconnaissance, récupéraient les identifiants enregistrés dans les navigateurs et surveillaient l’activité, préparant ainsi le terrain au vol de comptes.

Parmi les cibles figuraient des personnes travaillant avec des transfuges nord-coréens et des défenseurs des droits humains. Certains leurres étaient présentés comme des programmes utiles pour gérer le stress. En adaptant le message au rôle et aux préoccupations du destinataire, les attaquants augmentaient les chances que le fichier soit ouvert, ce qui leur permettait de prendre pied sur un ordinateur personnel.

Étape 2 : prise de contrôle de comptes et détournement de Find Hub

Une fois les logiciels malveillants installés, les opérateurs ont dérobé les identifiants de services tels que Google et Naver. À l’aide des identifiants Google volés, ils ont accédé à Find Hub. Ce service permet aux propriétaires d’appareils de consulter la dernière position connue d’un téléphone et de lui envoyer des commandes, comme faire sonner l’appareil ou le réinitialiser aux paramètres d’usine. Les intrus ont vérifié grâce à la géolocalisation que la cible n’utilisait pas activement son téléphone, puis ont déclenché sa réinitialisation à distance. Les enquêteurs ont également relevé des indices suggérant que, dans certains cas, les attaquants ont supprimé des e-mails d’alerte de sécurité et vidé la corbeille de la messagerie pour effacer leurs traces. Ils ont lancé plusieurs réinitialisations afin de compliquer la récupération et de réduire les éléments de preuve présents sur le téléphone.

Une fois l’appareil réinitialisé, son propriétaire ne pouvait plus consulter les nouvelles notifications, y compris les messages urgents de contacts s’inquiétant de fichiers inhabituels. L’effacement a également supprimé des indices susceptibles de révéler l’intrusion, laissant aux attaquants le temps de passer à l’étape suivante depuis un autre appareil, toujours connecté aux comptes de la victime.

Étape 3 : KakaoTalk, mégaphone des logiciels malveillants

KakaoTalk est quasiment omniprésent en Corée du Sud, et de nombreux utilisateurs gardent une session ouverte sur leur ordinateur. Après la réinitialisation du téléphone, les attaquants sont passés au client KakaoTalk pour PC de la victime afin de diffuser rapidement des fichiers malveillants. Les messages étaient envoyés sous le vrai nom de la victime et avec sa photo de profil, souvent accompagnés d’une courte note et d’une pièce jointe. Les destinataires qui faisaient confiance à l’expéditeur ouvraient le fichier, qui installait un logiciel malveillant et augmentait le nombre de machines compromises. Dans un cas, des messages ont été envoyés à plus de 30 contacts en quelques minutes. Dans un autre, une diffusion simultanée à grande échelle a été lancée depuis un autre compte compromis, dix jours plus tard.

Qui se cache derrière la campagne ?

Cette activité est attribuée au cluster Konni, un réseau de cyberespionnage lié à la Corée du Nord et recoupant des groupes couramment désignés sous les noms de Kimsuky et APT37. Les différents éditeurs de solutions de sécurité emploient des noms distincts pour désigner les mêmes opérateurs ou des acteurs étroitement liés, notamment Earth Imp, Opal Sleet, Osmium, TA406 et Vedalia. Ces équipes partagent des infrastructures et des outils dans le cadre de campagnes visant les administrations sud-coréennes, les établissements d’enseignement, les médias, la société civile et les communautés liées aux cryptomonnaies.

Les opérateurs nord-coréens ciblent depuis longtemps les appareils mobiles. Des chercheurs ont par exemple documenté des logiciels espions Android se faisant passer pour des utilitaires ou des applications de sécurité, capables d’enregistrer du son, de capturer l’écran et d’exfiltrer des fichiers. Ce qui distingue la campagne actuelle, c’est qu’elle détourne la gestion des appareils fondée sur les comptes pour effacer les téléphones, avant de passer immédiatement à une session de messagerie sur ordinateur afin de poursuivre la diffusion. Cette combinaison témoigne d’une coordination avancée entre plusieurs plateformes, plutôt que de l’action isolée d’un seul logiciel malveillant.

Pourquoi le détournement de Find Hub marque un tournant

Depuis des années, les groupes liés à la Corée du Nord associent logiciels malveillants personnalisés, identifiants volés et outils légitimes. Le détournement de Find Hub accroît les risques, car une fonction de sécurité destinée au grand public devient un outil d’effacement à distance et de diversion. Une réinitialisation neutralise un téléphone, efface des traces de données espionnées et réduit au silence les avertissements transmis par d’autres canaux au moment où ils sont les plus importants. Les attaquants peuvent alors exploiter une session ouverte sur ordinateur pour diffuser rapidement des fichiers malveillants.

Cette méthode complique également la réponse aux incidents. Certaines données de télémétrie et preuves qui se trouveraient sur le téléphone disparaissent lors de la réinitialisation. Les éléments pertinents sont répartis entre l’appareil, le compte cloud et le client de bureau. Pour reconstituer toute la séquence, les équipes de défense doivent collecter des données provenant de ces trois sources. Les analystes de Genians ont qualifié cette méthode de tournant dans les opérations avancées liées à la Corée du Nord.

Dans un rapport consacré à l’affaire, le Genians Security Center a écrit :

Cette combinaison de neutralisation d’appareils et de propagation par les comptes est sans précédent parmi les scénarios d’APT étatiques connus à ce jour.

Les conséquences pour les victimes et le coût humain

Les intrus n’ont pas choisi leurs cibles au hasard. Selon les enquêteurs, le téléphone d’un conseiller psychologique accompagnant des étudiants transfuges nord-coréens a été réinitialisé le 5 septembre. Peu après, son compte KakaoTalk a servi à envoyer à ses clients un fichier présenté comme un programme de gestion du stress. Plusieurs destinataires l’ayant ouvert, leurs appareils ont été infectés. Le choix de la messagerie et du contenu du message jouait sur la confiance et les préoccupations des destinataires.

Dix jours plus tard, un militant des droits humains spécialisé dans les questions nord-coréennes a vécu une situation similaire. Son appareil Android a été réinitialisé à distance via Find Hub, puis son compte KakaoTalk a envoyé des fichiers malveillants à 36 connaissances. Dans les deux cas, les téléphones des victimes ne pouvaient recevoir ni appels ni alertes pendant les premières heures cruciales, retardant les avertissements de contacts qui soupçonnaient un problème.

Pour certaines victimes, l’effacement a supprimé des photos, des documents, des contacts et des fichiers professionnels. Les enquêteurs ont également trouvé sur des PC infectés des modules malveillants capables de contrôler la webcam et le microphone, ce qui fait craindre que les caméras aient été utilisées pour vérifier la présence physique des victimes avant le lancement des réinitialisations. Les personnes travaillant avec des transfuges et des organisations de la société civile en Corée du Sud sont déjà exposées à des risques particuliers. Cette campagne montre comment les usages numériques du quotidien peuvent être retournés contre elles, avec des conséquences personnelles et professionnelles.

Réactions d’experts et des autorités

La police sud-coréenne a ouvert des enquêtes sur les deux incidents de septembre. Les analystes estiment que le code et les techniques correspondent à des méthodes précédemment attribuées à des groupes liés à la Corée du Nord. Les enquêteurs ont appelé les personnes susceptibles d’être ciblées, notamment les conseillers et les militants, à vérifier minutieusement leurs environnements informatiques, sur ordinateur comme sur mobile, afin de repérer toute compromission de compte.

Les équipes de sécurité soulignent que les attaquants n’ont pas eu besoin d’exploiter une faille de programmation d’Android ou de Find Hub. Il leur a suffi de disposer d’identifiants valides et d’accéder à des applications de confiance. Les chercheurs recommandent aux fournisseurs de services d’ajouter des étapes de vérification en temps réel pour les actions sensibles, telles que les réinitialisations à distance, et aux messageries de renforcer les avertissements ou de retarder les envois lorsqu’un client de bureau tente d’envoyer des fichiers exécutables à de nombreux contacts en peu de temps.

Comment protéger vos comptes Google et KakaoTalk

Cette campagne reposait sur des identifiants volés, des sessions persistantes sur ordinateur et des fonctions auxquelles les utilisateurs font habituellement confiance. Les mesures suivantes réduisent les risques et compliquent le détournement de comptes :

• Activez la validation en deux étapes sur votre compte Google. Privilégiez les clés d’accès ou une clé de sécurité. Les personnes davantage exposées, comme les militants et les journalistes, devraient s’inscrire au programme Protection Avancée de Google.
• Ouvrez les paramètres de votre compte Google et lancez le Check-up Sécurité. Supprimez les appareils et les sessions que vous ne reconnaissez pas. Révoquez les accès accordés à des tiers qui vous sont inconnus. Vérifiez votre numéro de téléphone et votre adresse e-mail de récupération.
• Consultez les paramètres de Find Hub ou de Localiser mon appareil pour afficher la liste des appareils associés à votre compte. Assurez-vous de reconnaître chacun d’eux. Vérifiez qu’ils sont protégés par un code PIN robuste et que leur réinitialisation à distance exige une authentification.
• Vérifiez la sécurité de votre messagerie. Recherchez dans Gmail des filtres, des règles de transfert ou des accès délégués suspects. Les attaquants ajoutent parfois des règles pour masquer les alertes.
• Évitez d’enregistrer vos mots de passe dans le navigateur sur des PC partagés ou non gérés. Utilisez un gestionnaire de mots de passe réputé, protégé par un mot de passe principal ou une clé de sécurité.
• Maintenez Android, Windows, macOS et KakaoTalk à jour. Vérifiez dans les paramètres de KakaoTalk quels PC sont connectés à votre compte et déconnectez ceux que vous ne reconnaissez pas.
• Méfiez-vous des fichiers ou des programmes d’installation d’applications non sollicités, même s’ils proviennent de contacts de confiance. Avant d’ouvrir un fichier, appelez son expéditeur par un autre moyen pour vérifier son authenticité.
• Conservez des sauvegardes hors ligne de vos photos et documents importants. Une réinitialisation ne touchera pas à une sauvegarde externe déconnectée lorsqu’elle n’est pas utilisée.
• Activez les alertes de connexion et lisez-les attentivement. Si vous recevez une alerte suspecte, ne cliquez pas sur ses liens. Accédez plutôt directement aux paramètres de votre compte depuis une nouvelle session de navigateur et vérifiez l’activité.

Mesures immédiates si vous pensez avoir été ciblé

• Depuis un appareil sain que vous contrôlez, modifiez vos mots de passe Google et KakaoTalk. Activez ensuite la validation en deux étapes ou les clés d’accès.
• Ouvrez votre compte Google, consultez les événements de sécurité récents et déconnectez toutes les autres sessions. Révoquez les jetons d’accès aux applications que vous ne reconnaissez pas.
• Dans Gmail, supprimez les filtres ou les règles de transfert suspects. Dans KakaoTalk, déconnectez de force tous les PC et autorisez à nouveau uniquement ceux que vous utilisez.
• Si votre téléphone a été réinitialisé, considérez-le comme un appareil neuf. Avant de restaurer vos données, modifiez les mots de passe de vos comptes et vérifiez les informations de récupération. Ne restaurez vos données qu’à partir de sauvegardes fiables.
• Prévenez vos contacts que des messages malveillants ont pu être envoyés depuis votre compte. Demandez-leur de ne pas ouvrir les fichiers reçus et d’effectuer une analyse de sécurité.
• Dans la mesure du possible, préservez les éléments de preuve. N’effacez pas votre PC. Faites des captures d’écran des journaux d’activité suspects, puis contactez l’unité locale de lutte contre la cybercriminalité ou une équipe de sécurité de confiance.

Mesures à prendre dès maintenant par les organisations

Les organisations dont le personnel se trouve en Corée du Sud ou qui travaillent sur des sujets liés à la Corée du Nord doivent partir du principe qu’elles constituent des cibles attractives. Un programme ciblé associant sécurité des identités et surveillance des terminaux réduira les risques et accélérera la réponse aux incidents.

• Exigez l’authentification multifacteur pour tous les comptes Google Workspace et ceux des fournisseurs d’identité. Adoptez des méthodes résistantes à l’hameçonnage, comme les clés d’accès ou les clés de sécurité matérielles.
• Renforcez la sécurité des navigateurs et désactivez l’enregistrement automatique des mots de passe dans les environnements non gérés. Fournissez au personnel un gestionnaire de mots de passe professionnel.
• Déployez une solution de détection et de réponse sur les terminaux, avec des règles fondées sur les comportements pour repérer les lanceurs AutoIt, l’utilisation abusive de scripts MSI et les familles de RAT connues, notamment Lilith RAT, Remcos RAT, Quasar RAT et RftRAT.
• Dans la mesure du possible, bloquez ou mettez en quarantaine les pièces jointes exécutables et les installateurs MSI provenant d’expéditeurs externes, au niveau des passerelles de messagerie et de courrier électronique.
• Surveillez les journaux d’audit du cloud pour détecter les actions suspectes, notamment les réinitialisations à distance et les vérifications répétées de localisation via les services de gestion d’appareils associés aux comptes des utilisateurs.
• Organisez régulièrement des simulations d’hameçonnage adaptées aux leurres locaux, comme les avis des services fiscaux. Proposez des formations au moment opportun aux employés chargés de missions sensibles auprès de transfuges et de militants.
• Établissez une procédure d’intervention rapide en cas de prise de contrôle de compte couvrant les comptes Google, les clients de bureau KakaoTalk et les réinitialisations d’appareils mobiles. Exercez-vous à l’appliquer lors de simulations sur table.
• Créez un canal permettant aux contacts de signaler les messages et fichiers suspects semblant provenir de votre personnel. Traitez ces signalements en priorité.

En bref

• Les enquêteurs relient une nouvelle campagne visant des Sud-Coréens au cluster Konni, lié à la Corée du Nord.
• Les attaquants ont dérobé des identifiants Google, utilisé Find Hub pour suivre et réinitialiser aux paramètres d’usine des appareils Android, puis détourné des sessions de bureau KakaoTalk afin de diffuser des logiciels malveillants aux contacts des victimes.
• Parmi les victimes figurent un conseiller accompagnant des étudiants transfuges nord-coréens et un militant des droits humains. Des messages malveillants ont été envoyés à plus de 30 contacts dans un cas et à 36 dans l’autre.
• L’opération a eu recours à de l’hameçonnage ciblé usurpant l’identité du Service national des impôts, à des installateurs MSI signés, à des scripts AutoIt et à des outils d’accès à distance, dont Lilith RAT, Remcos RAT, Quasar RAT et RftRAT.
• Les chercheurs parlent du premier cas confirmé où un acteur lié à la Corée du Nord a utilisé des comptes Google compromis pour envoyer à distance des commandes aux appareils via Find Hub.
• Google affirme que cette activité a détourné des fonctions légitimes des comptes et exploité des identifiants volés, sans tirer parti d’une faille d’Android ou de Find Hub, et recommande d’utiliser la validation en deux étapes ou des clés d’accès.
• La police sud-coréenne enquête et les équipes de sécurité recommandent de renforcer la protection des identités et des appareils, ainsi que de vérifier soigneusement les fichiers reçus par messagerie.
• Les utilisateurs particulièrement exposés devraient s’inscrire au programme Protection Avancée, vérifier les appareils connectés à leurs comptes Google et KakaoTalk et conserver des sauvegardes hors ligne pour limiter les dégâts en cas de réinitialisation.