Des pirates informatiques nord-coréens utilisent l’IA pour mener des attaques par hameçonnage contre l’armée sud-coréenne

Une touche d’IA dans les méthodes bien rodées de Kimsuky

Le groupe nord-coréen Kimsuky a utilisé l’intelligence artificielle pour donner à une campagne d’hameçonnage une apparence convaincante, avec des images de cartes d’identification d’employés de l’armée sud-coréenne, selon une analyse détaillée d’une entreprise sud-coréenne de cybersécurité. Les leurres invitaient les destinataires à examiner des modèles de cartes destinés au personnel civil, une demande qui pourrait sembler habituelle au sein d’une administration de la défense. Les images ressemblaient à de véritables badges, mais les enquêteurs affirment que ces visuels ont été créés par un modèle d’IA générative et accompagnés d’un logiciel malveillant capable de prendre le contrôle de l’ordinateur de la victime.

Les courriels usurpaient l’identité d’un organisme lié à la défense chargé de délivrer des cartes d’identification. Les attaquants ont tenté de rassurer les destinataires en joignant des images PNG ressemblant à des projets de cartes. La même chaîne de distribution dissimulait des fichiers qui activaient une porte dérobée dès que la cible interagissait avec le contenu. Les images ont probablement été créées en demandant à un système d’IA commercial de produire des maquettes à des fins de test plutôt que de véritables justificatifs, une technique susceptible de contourner les garde-fous automatisés.

L’adresse de l’expéditeur imitait également un domaine militaire de confiance. Les enquêteurs ont repéré de faux domaines comme .mli.kr, qui ressemblent au suffixe officiel de la défense sud-coréenne, .mil.kr, afin de tromper les destinataires attentifs aux indices familiers. Ces légères modifications sont une technique courante d’ingénierie sociale et passent facilement inaperçues lorsqu’on parcourt une boîte de réception bien remplie.

Détectée pour la première fois à la mi-juillet, la campagne a suivi de près une précédente activité au cours de laquelle le même groupe avait utilisé un leurre de type ClickFix et diffusé la même famille de logiciels malveillants. Les connaissances acquises lors de ces opérations semblent avoir été réutilisées, cette fois avec des visuels générés par l’IA pour rendre le scénario plus crédible. Parmi les cibles figuraient une organisation liée à l’armée ainsi que des chercheurs, des journalistes et des militants spécialisés sur la Corée du Nord.

Comment fonctionnait cette opération d’hameçonnage

Le prétexte était simple. Les destinataires recevaient un message leur demandant d’examiner rapidement des modèles de cartes d’identification. Une archive ZIP ou un lien de téléchargement contenait une image et un ou plusieurs scripts. Une fois ouverts, ces éléments déclenchaient une chaîne d’exécution qui connectait l’ordinateur à l’infrastructure des attaquants, téléchargeait des composants supplémentaires et établissait un contrôle à distance. L’image contribuait à faire passer la demande pour une simple vérification de maquette.

Contourner les garde-fous de l’IA par injection de prompt

La plupart des outils d’IA grand public refusent de créer des pièces d’identité officielles, car la copie de tels documents est illégale et facilite la fraude. Dans ce cas, les attaquants semblent avoir présenté leurs prompts comme des demandes de modèles destinés à une maquette interne. Cette approche peut conduire le modèle à interpréter la demande comme inoffensive. Il s’agit d’une forme d’injection de prompt ou de jailbreak, qui consiste à orienter un modèle en reformulant l’intention pour contourner ses règles.

Les analystes qui ont examiné l’une des fausses images ont indiqué qu’un détecteur de deepfakes lui attribuait une probabilité de 98 % d’avoir été générée par l’IA. Dans au moins un échantillon, les métadonnées de l’image faisaient référence à GPT 4o et à ChatGPT, ce qui laisse penser qu’un système de génération d’images d’OpenAI a été utilisé pendant les tests ou la production. Plus l’image ressemblait à un projet de badge ordinaire, plus un employé pressé était susceptible de juger la demande légitime.

Diffusion du logiciel malveillant et chaîne d’intrusion

Le mode de diffusion variait. Dans un cas observé, un fichier ZIP contenait un raccourci présenté comme un document ordinaire. Une fois lancé, celui-ci exécutait une commande PowerShell qui contactait un serveur distant, récupérait une porte dérobée et téléchargeait le PNG leurre de la carte d’identité. Dans un autre cas, un fichier batch nommé LhUdPC3G.bat s’exécutait avec l’image et lançait des activités malveillantes, notamment la mise en place d’une persistance et l’activation du vol de données et du contrôle à distance.

Il s’agissait de courriels d’hameçonnage ciblé, et les opérateurs avaient le souci du détail. Certaines archives étaient personnalisées avec le nom réel du destinataire, partiellement masqué, afin d’inspirer confiance et de l’inciter à ouvrir la pièce jointe. Les fausses images de cartes, le caractère familier de la demande et la quasi-identité du domaine de l’expéditeur se combinaient pour faire tomber la méfiance des destinataires.

Qui Kimsuky cible-t-il, et pourquoi ?

Depuis des années, les agences gouvernementales et les chercheurs privés suivent Kimsuky, qu’ils considèrent comme une unité nord-coréenne de collecte de renseignements. Le groupe serait chargé de recueillir des informations politiques, militaires et technologiques conformes aux priorités de l’État. Ses victimes sont souvent des agences gouvernementales, des institutions liées à la défense, des groupes de réflexion, des chercheurs universitaires, des journalistes et des organisations de défense des droits humains qui s’intéressent à la Corée du Nord.

En juin, des chercheurs ont documenté des courriels de type ClickFix qui incitaient les utilisateurs à cliquer sur un bouton pour résoudre un problème présumé. La campagne de juillet a repris le même logiciel malveillant et bon nombre des mêmes techniques, en y ajoutant des maquettes générées par l’IA pour rendre le leurre plus convaincant. Il ne s’agissait pas d’une campagne envoyée en masse, mais d’une opération minutieuse et ciblée visant à accéder à des réseaux et à des boîtes de réception précis.

L’attribution repose sur un ensemble d’indices techniques et contextuels, notamment des éléments de code malveillant partagés, la réutilisation d’infrastructures, des habitudes linguistiques et le choix des cibles. Ces indicateurs concordent avec des activités précédemment attribuées à Kimsuky. Cette méthode s’inscrit dans une mission de longue haleine visant à infiltrer les cercles politiques, à recueillir des données et à maintenir une présence dans les institutions qui suivent de près la Corée du Nord.

Usurper l’identité d’une unité chargée de délivrer des cartes d’identification exploite un processus administratif bien connu. Les documents d’identité donnent lieu à des échanges et à des validations collectives, impliquent souvent des discussions sur les polices de caractères, les photos et la mise en page, et sont investis d’une forme d’autorité. La demande de vérifier un modèle paraît donc ordinaire.

Un recours croissant à l’IA par les opérateurs nord-coréens

Cette opération d’hameçonnage s’inscrit dans une tendance plus large. En août, un grand développeur d’IA a annoncé avoir déjoué les activités d’agents nord-coréens qui utilisaient son modèle pour créer de fausses identités, postuler à des emplois à distance dans des entreprises technologiques américaines et même effectuer des tâches techniques après leur embauche. Le même rapport indiquait que les comptes liés à ces activités avaient été bannis et que l’entreprise avait amélioré ses systèmes de détection des usages malveillants.

Des notes de sécurité en Corée du Sud et aux États-Unis ont alerté sur le recours des acteurs nord-coréens aux outils d’IA pour rédiger des courriels fluides, élaborer des CV et des lettres de motivation, écrire du code et créer des profils avec des photos professionnelles. Ces capacités permettent à un petit opérateur d’agir avec le degré de finition d’une équipe beaucoup plus importante. Le seuil d’accès s’est abaissé. Une personne aux compétences techniques modestes peut désormais s’appuyer sur l’IA pour se guider, rédiger plus rapidement des modules de logiciels malveillants, traduire des contenus dans un coréen ou un anglais de qualité native et générer des visuels capables de tromper au premier coup d’œil.

Les analystes des conflits numériques dans la péninsule ont constaté une hausse des attaques contre les institutions sud-coréennes. En 2023, des sources publiques ont fait état de plusieurs millions de tentatives quotidiennes contre les systèmes gouvernementaux, dont beaucoup étaient attribuées à des activités nord-coréennes. Des rapports distincts des Nations unies et des études du secteur ont lié des unités nord-coréennes à d’importants vols de cryptomonnaies destinés à financer des programmes stratégiques. Les campagnes d’hameçonnage ciblé, les fraudes à l’embauche assistées par l’IA et les vols financiers relèvent d’une même stratégie visant à recueillir des renseignements et à générer des revenus malgré les sanctions.

La Chine et d’autres acteurs liés à des États expérimentent également l’IA générative, mais le sujet est ici l’adoption rapide de ces outils par les unités nord-coréennes, tant pour l’espionnage que pour le financement illicite. La frontière entre une trousse d’hameçonnage et un studio de création assisté par l’IA s’est estompée. Ce qui nécessitait autrefois des équipes de graphistes, de traducteurs et de développeurs peut désormais être assemblé à l’aide de prompts et d’une poignée d’outils open source.

Pourquoi l’IA rend l’ingénierie sociale plus convaincante

L’IA générative excelle à produire rapidement des contenus soignés. Dans le cadre d’une opération d’hameçonnage, les images, les textes et le code peuvent ainsi être adaptés à un public cible avec un minimum d’efforts. Une maquette convaincante de badge ou un papier à en-tête aux couleurs d’une institution désarme la méfiance du lecteur. Un modèle capable de rédiger dans un coréen administratif soutenu, d’employer les bons acronymes et de conserver un ton respectueux produit des messages qui semblent authentiques.

Les modèles de langage servent aussi d’assistants de rédaction infatigables. Ils corrigent la grammaire, reproduisent le style d’une institution et maintiennent un ton homogène d’un courriel à l’autre. Les attaquants peuvent demander plusieurs variantes d’un même message en fonction des fonctions visées. Un modèle peut produire un brouillon ressemblant à une notification ordinaire destinée à un responsable des ressources humaines, puis un autre qui prend la forme d’une note technique pour un responsable informatique.

Sur le plan technique, les assistants de programmation aident les opérateurs moins expérimentés à assembler des scripts et des charges utiles. Les modèles expliquent les erreurs, suggèrent des corrections et produisent des exemples fonctionnels. Détournés de leur usage, ils accélèrent le développement de logiciels malveillants et en réduisent la difficulté d’apprentissage. Ajoutez à cela la génération et la traduction de textes : un seul opérateur peut mener des campagnes multilingues qui auraient nécessité une équipe il y a encore quelques années.

La création d’identités constitue l’autre volet. Les modèles peuvent aider à inventer des parcours professionnels, à mettre en forme des CV et à rédiger des lettres de motivation adaptées aux offres d’emploi. Les outils d’image créent des photos de profil qui résistent à un examen rapide. Ensemble, ces capacités facilitent les fraudes au président et les infiltrations de longue durée, du moins jusqu’à ce que les défenses humaines et techniques rattrapent leur retard.

Défense, détection et réponses politiques

La Corée du Sud a actualisé sa Stratégie nationale de cybersécurité en mettant l’accent sur la coopération internationale, l’adoption de technologies de pointe et le renforcement des défenses. Le plan prévoit une détection fondée sur l’IA pour la surveillance en temps réel, un partage accru d’informations avec les partenaires et un renforcement de la résilience des infrastructures critiques. Séoul a également renforcé sa coordination avec les États-Unis et le Japon afin d’harmoniser les politiques et de mener des exercices conjoints axés sur la réponse aux incidents.

Les organisations peuvent atténuer les attaques reposant sur des domaines trompeurs et des images truquées en combinant procédures, formation et technologies. Tout commence par la vérification. Les demandes concernant des justificatifs ou des documents d’identité doivent suivre un processus documenté, avec notamment une prise de contact par un canal secondaire avec un responsable connu. Le personnel doit apprendre à vérifier les domaines lettre par lettre et à survoler les liens avant de cliquer.

Les mesures techniques contribuent à bloquer l’exécution. Les passerelles de messagerie devraient mettre en quarantaine les messages contenant des archives imbriquées et bloquer les pièces jointes à risque, comme les fichiers de raccourci, les images ISO et les scripts. Désactivez ou limitez PowerShell lorsque c’est possible et utilisez des listes d’autorisation d’applications pour empêcher l’exécution de programmes non approuvés. Les outils de détection et de réponse sur les terminaux peuvent repérer les commandes PowerShell malveillantes et les connexions sortantes inhabituelles. La surveillance réseau peut signaler toute nouvelle connexion à des domaines inconnus peu après l’ouverture d’un courriel.

Les procédures de recrutement et de vérification des fournisseurs prennent une place croissante dans la cyberdéfense. Les processus de recrutement à distance devraient prévoir des contrôles d’identité rigoureux, avec vidéo en direct, vérification par un tiers de confiance et validation indépendante des références. Les systèmes qui traitent des données sensibles doivent appliquer le principe du moindre privilège et une vérification continue. Des audits réguliers peuvent détecter des anomalies, comme des connexions depuis des lieux inhabituels ou des activités en dehors des horaires attendus.

Les garde-fous juridiques et éthiques de l’IA

Cet incident met en lumière une tension liée à l’adoption de l’IA. Les entreprises tirent profit de la possibilité pour leurs employés d’utiliser l’IA afin de rédiger des documents, d’écrire du code et de traiter des images. Cette même facilité d’accès peut être détournée par des adversaires. Les développeurs d’IA ont mis en place des dispositifs de sécurité qui refusent les contenus dangereux et surveillent les abus, mais les attaquants tentent de les contourner au moyen de prompts astucieux. La communauté de la défense a réagi en partageant des indicateurs d’abus, en supprimant les comptes concernés et en affinant le comportement des modèles pour les rendre plus résistants aux manipulations.

Les choix en matière de politiques et d’achats ont leur importance. Les agences et les prestataires devraient exiger des fournisseurs de systèmes d’IA des journaux d’audit, des canaux de signalement des abus et des mises à jour renforçant la sécurité des modèles. Des règles internes claires sur l’utilisation de l’IA peuvent éviter la création accidentelle de contenus à risque. Les équipes de sécurité devraient tester les modèles à l’aide de prompts de jailbreak courants et proposer des solutions sûres ainsi que des procédures préapprouvées pour les besoins professionnels, comme la conception de documents ou la révision de code.

À retenir

• Kimsuky a utilisé des images de cartes d’identification militaires sud-coréennes générées par l’IA comme leurres dans une campagne d’hameçonnage ciblé menée en juillet.
• Les courriels demandaient aux destinataires d’examiner des modèles de cartes et provenaient d’un domaine qui imitait le suffixe officiel .mil.kr avec .mli.kr.
• Les enquêteurs ont trouvé, dans au moins une image, des métadonnées faisant référence à GPT 4o et à ChatGPT ; un détecteur a estimé à 98 % la probabilité qu’une image truquée ait été générée par l’IA.
• La chaîne de diffusion comprenait des archives ZIP et des scripts qui exécutaient des commandes PowerShell, installaient une porte dérobée et téléchargeaient un PNG leurre.
• Parmi les cibles figuraient une organisation liée à l’armée, des chercheurs, des journalistes et des militants des droits humains spécialisés sur la Corée du Nord.
• La campagne a réutilisé un logiciel malveillant observé en juin dans une activité de type ClickFix attribuée au même groupe.
• Selon le récent rapport d’un grand fournisseur d’IA, des opérateurs nord-coréens ont également utilisé des outils d’IA pour créer de fausses identités et décrocher des emplois à distance.
• Les mesures de défense comprennent la vérification rigoureuse des demandes liées à l’identité, des contrôles de messagerie et des terminaux bloquant les types de fichiers et les scripts à risque, ainsi que des vérifications approfondies lors des recrutements à distance.