Pour attraper les hackers nord-coréens, ils ont créé un faux projet

Titre original : Smile, You're on Camera. Part 2: Hiring Lazarus APT's IT Workers in a Fake DeFi Startup
Source originale : ANY.RUN
Traduction : Qin Xiaofeng, Odaily Planet Daily

Note de l'éditeur : Les amis de la crypto souvent victimes de phishing ont probablement entendu parler du groupe de hackers nord-coréens, le Lazarus Group, dont certaines des « campagnes » les plus connues incluent, mais ne se limitent pas à : le vol de 1,5 milliard de dollars sur Bybit, l'attaque du pont Ronin Network / Axie Infinity (620 millions de dollars), les attaques liées à DMM Bitcoin / Ginco (308 millions de dollars), l'attaque du pont Harmony Horizon (100 millions de dollars), et l'attaque d'Atomic Wallet (100 millions de dollars).

La clé de ces attaques réussies réside dans l'ingénierie sociale ------ les hackers se déguisent souvent en candidats normaux, infiltrant les entreprises de crypto pendant des années, attendant leur heure.

Récemment, l'agence de sécurité ANY.RUN, en collaboration avec BCA LTD (une entreprise dédiée à l'intelligence sur les menaces et à la chasse) et NorthScan (un programme d'intelligence sur les menaces révélant l'infiltration des travailleurs informatiques nord-coréens), a uni ses forces pour frapper efficacement les agents hackers nord-coréens.

Les chercheurs ont créé une fausse startup DeFi et ont réussi à recruter des agents du groupe Lazarus nord-coréen, spécialisés dans l'infiltration humaine, connus sous le nom de « Famous Chollima », obtenant ainsi une perspective interne sur les actions des travailleurs informatiques nord-coréens. L'environnement sandbox d'ANY.RUN a montré en temps réel les comportements des agents, exposant leur boîte à outils en constante évolution, leurs flux de travail d'accès à distance, l'utilisation d'outils d'IA et l'infrastructure qui les soutient.

Cette enquête a dépassé le simple processus de recrutement, montrant en profondeur comment ces agents collaborent après leur embauche, comment ils obtiennent et utilisent les ressources de l'entreprise. Les résultats de l'étude montrent que les travailleurs informatiques nord-coréens représentent non seulement un risque de recrutement ; une fois qu'un agent s'infiltre dans une organisation, il peut légalement accéder au code, aux systèmes, à la propriété intellectuelle et aux processus commerciaux clés.

Voici le rapport coécrit par les trois parties, traduit par Odaily Planet Daily, Enjoy～

Introduction

En décembre dernier, nous avons documenté pour la première fois le cycle d'infiltration de « Famous Chollima ». De la recherche de complices pour les aider à entrer dans des entreprises occidentales, à la falsification de documents, au transport d'ordinateurs portables chez des intermédiaires, et même à l'utilisation d'outils d'IA pour une assistance et une traduction en temps réel pendant les entretiens, tout était sous contrôle.

Lors de cette enquête, nous nous sommes déguisés en intermédiaire prêt à passer des entretiens pour eux et à prêter des ordinateurs portables, en échange d'un pourcentage de leur salaire. L'élément clé était que ces ordinateurs portables étaient en réalité des environnements sandbox d'ANY.RUN, enregistrant chaque clic et chaque action. Cela nous a fourni une multitude de métriques, des heures d'enregistrements d'opérations informatiques et des images de contacts en face à face, réalisant une enquête sans précédent qui a fait la une de nombreux médias.

 > (Recruteur de « **Famous Chollima** », code « Flamme » Aaron)

Ce n'était pas une tâche facile, nécessitant des mois de travail acharné pour comprendre leurs détails tout en jouant le rôle de leur complice criminel. Et aujourd'hui, nous avons décidé d'aller plus loin.

Cette fois, nous ne nous sommes plus déguisés en intermédiaire, mais nous avons pris l'identité de fondateurs de Ballena Azul LTD. C'est une toute nouvelle entreprise de protocole DeFi, travaillant directement avec des baleines de crypto-monnaie inter-chaînes, à la recherche de développeurs pour construire sa plateforme. Ce sont des développeurs en qui nous pouvons confier d'énormes sommes d'argent ------ des montants si élevés qu'ils dépassent l'argent que vous et tous vos amis avez dans vos poches, tellement que vous ne pouvez même pas compter les virgules.

 > Site web de Ballena Azul LTD

Ce nouveau chapitre a tout pour plaire : un PDG trop confiant qui ne fait pas de vérification des antécédents des employés ; des développeurs faux avec des documents falsifiés ; des comptes de mules utilisés pour le blanchiment d'argent ; un journaliste déguisé en investisseur en capital-risque ; et un avocat italien qui finit par faire exploser la situation.

Allez, le spectacle a commencé !

Chapitre 1 : Les Chollimas

Commençons par une brève introduction de nos principaux adversaires. Famous Chollima est l'une des nombreuses branches du groupe Lazarus nord-coréen. Leur objectif est simple et direct : être embauchés par des entreprises occidentales.

Ils ciblent des postes à distance dans des secteurs à forte valeur d'information et de financement. La crypto-monnaie, la finance et la santé ont toujours été leurs cibles de choix, et leurs actions récentes se sont étendues à l'industrie pharmaceutique, au génie civil, à la construction et à d'autres domaines. Pour obtenir ces postes, ils s'appuient sur des identités falsifiées, des CV faux, des remplacements d'entretien, des assistants à distance et des développeurs fantômes, tous travaillant ensemble pour convaincre les entreprises que les personnes qu'elles embauchent sont bien celles qu'elles prétendent être.

 > (Agents nord-coréens capturés lors d'un entretien d'entreprise avec l'équipe Bitso Quetzal)

Contrairement aux intrusions traditionnelles, leur objectif n'est pas de s'emparer d'une organisation en quelques heures ou quelques jours, mais de devenir une partie intégrante de celle-ci. Une fois embauchés, ils peuvent bénéficier d'un accès continu pendant des mois, voire des années, aux systèmes internes, au code source, à la propriété intellectuelle et aux processus décisionnels de l'entreprise, tout en gagnant un salaire légal et en finissant par transférer des fonds au régime nord-coréen.

Cela fait de « Famous Chollima » une menace complètement différente. Les actions de logiciels malveillants peuvent avoir un impact incroyable en une nuit, mais ces actions elles-mêmes sont bruyantes et comportent des risques d'exposition significatifs. En revanche, le risque d'exposition des employés est relativement faible. Plus ils sont en confiance longtemps, plus ils ont d'opportunités de collecter des informations, d'influencer les décisions et de s'intégrer progressivement à l'organisation. Si suffisamment d'agents obtiennent des postes dans la même entreprise, ils peuvent finalement influencer les décisions d'ingénierie, les révisions de code, les demandes de tirage, les approbations ou d'autres processus basés sur la confiance, sans avoir besoin d'exploiter des vulnérabilités logicielles.

Conscients qu'ils recherchent activement de telles opportunités, nous avons décidé de leur en créer une.

### Chapitre 2 : L'entreprise

La réponse est Ballena Azul LTD.

À première vue, c'est l'entreprise dont « Famous Chollima » rêve : un protocole DeFi collaborant avec des baleines de crypto-monnaie à travers plusieurs blockchains, à la recherche de développeurs expérimentés pour aider à construire la plateforme.

Le protocole lui-même est simple. En combinant des NFT et d'autres mécanismes en chaîne, le portefeuille des baleines peut volontairement s'identifier et revendiquer la propriété. L'idée est de réduire la spéculation de marché inutile lors des mouvements de fonds importants, évitant ainsi les rumeurs de plateformes d'échange piratées, de portefeuilles volés, de scams de sortie, etc.

 > Ballena Azul LTD sur le marché NFT OpenSea

Tout doit sembler authentique et crédible. Un site web professionnel, une marque d'entreprise, des documents, une présence en ligne, et surtout, un produit qui a du sens. Nous ne le faisons pas dans l'espoir que les investisseurs croient, mais parce que nous prévoyons qu'ils vont (mordre).

 > (Les informations d'enregistrement de Ballena Azul LTD déjà disponibles au registre des entreprises britanniques aident à renforcer la légitimité de l'entreprise. Cette entité n'est pas liée à nos actions)

Je me fais passer pour Leonardo Nelson, co-fondateur de Ballena Azul LTD. Mon partenaire commercial Benito se joindra à notre réunion depuis l'Italie. Pendant ce temps, Heiner joue à nouveau le rôle d'Andy Jones, le développeur et assistant du premier épisode. Cette fois, il est le directeur technique de Ballena Azul, recommandé personnellement par Benito.

En ce qui concerne l'infrastructure, nous avons choisi le fournisseur le plus fiable : ANY.RUN. Maintenant, tout est prêt, il ne reste plus qu'à trouver des développeurs.

Heureusement, Andy connaît justement la personne idéale pour ce poste : Angelo Cruz, un recruteur externe de « Famous Chollima » désireux de se faire un nom.

Chapitre 3 : Les courtiers

Angelo Cruz a rencontré Andy sur GitHub. Ils ont commencé à discuter, et peu après, Cruz a convaincu Andy de collaborer, Andy agissant comme son assistant de confiance pour aider ses développeurs à trouver un emploi.

 > Commentaire d'Angelo sur GitHub à la recherche d'assistants

Andy a accepté et a rapidement présenté à Angelo Ballena Azul LTD (notre entreprise), la qualifiant d'excellente opportunité. Selon le plan, Ballena Azul LTD deviendrait un autre agneau à abattre. Après tout, nous faisons confiance au jugement d'Andy, et nous accueillons tous ceux qu'il choisit.

【Résumé (texte brut, peut être vide)】：

L'interview avec Famous Chollima (Regardez la vidéo sur YouTube)

Pour créer un faux sentiment de confiance, Andy a proposé de leur prêter la carte d'identité de son frère, mais cela n'a finalement pas été utilisé. Peu après, Angelo nous a présenté notre premier ingénieur : Angelo Espree (le spectacle commence).

Chapitre 4 : L'équipe

Angelo Espree est la première personne à accepter un poste chez Ballena Azul LTD, devenant ainsi le premier travailleur IT nord-coréen à rejoindre notre entreprise, et il est également la première personne de notre dossier d'enquête.

Avant l'entretien, Andy et Angelo ont convenu d'un discours simple : ils diraient au PDG (moi) que Benito connaissait déjà Angelo et qu'il avait personnellement garanti son intégration dans l'entreprise.

Ainsi, notre premier entretien a commencé. Angelo est un fan du Real Madrid, avec un bagage en mathématiques, et sera responsable du développement des contrats intelligents de l'entreprise.

L'entretien d'Angelo (Regardez la vidéo sur YouTube)

Au cours de l'entretien, nous avons demandé à Angelo de scanner un code QR pour confirmer sa présence. Il l'a fait, bien sûr, et est tombé dans le piège le plus classique. Ce code QR l'a discrètement redirigé vers notre Canary Token, enregistrant l'adresse IP du déclencheur, l'agent utilisateur, etc. À l'époque, cela semblait être une petite erreur. Mais plus tard, cela est devenu une preuve clé pour révéler un complot plus vaste. Pour l'instant, nous étions simplement contents d'avoir un nouvel ami.

En tant qu'amis, nous avons expliqué que Ballena Azul est un environnement entièrement basé sur la confiance, et que nous avions l'intention de recruter uniquement des personnes dignes de confiance. Angelo avait déjà un candidat en tête : son ami Jack Anderson (un par un, il a commencé à recommander d'autres membres de groupes de hackers).

Jack était visiblement plus silencieux, et son anglais n'était pas très fluide. Tout au long de l'entretien, nous avons remarqué qu'il jetait souvent un coup d'œil hors de l'écran, comme s'il regardait un outil de traduction en temps réel fonctionnant sur un autre moniteur - c'était aussi l'un des outils standards de "Famous Chollima". Tout comme Angelo, Jack avait également étudié les mathématiques, soutenait le Real Madrid, et avait un visage impassible. Malgré cela, il a réussi à nous convaincre, et nous l'avons accueilli dans Ballena Azul LTD en tant que développeur front-end.

L'entretien de Jack (Regardez la vidéo sur YouTube)

Les choses s'enchaînent, dans ce domaine, chacun a besoin d'une personne de confiance. Jack a recommandé Lucas Theo, un développeur back-end expérimenté. Nous l'avons interviewé. Il comprenait les exigences du poste, montrait un vif intérêt pour celui-ci, et a même commencé à nous parler de son chien Lulú, de son voyage de noces aux Philippines et de son amour pour la randonnée. Nous n'avions aucune raison de douter de lui.

Ainsi, nous l'avons également accueilli dans la grande famille de Ballena Azul.

L'entretien de Lucas (Regardez la vidéo sur YouTube)

À ce stade, ils formaient l'équipe parfaite pour réaliser un coup d'État spectaculaire. Et de notre côté, nous avions une salle pleine de "Chevaux de course", attendant d'être apprivoisés.

Mais vous savez, tout bon mensonge a besoin de documents pour le prouver ------ une quantité considérable de documents.

Chapitre 5 : Les imposteurs

Il est temps de signer des contrats pour consolider notre alliance. Mais en tant que PDG expérimenté, je dois effectuer une simple vérification des antécédents des nouveaux employés. Demander des pièces d'identité devrait suffire, non ? J'ai également demandé leurs adresses, leurs portefeuilles de cryptomonnaie et leurs informations bancaires ------ un processus d'intégration standard.

Jack a envoyé un permis de conduire du Texas (il prétendait y vivre), ainsi qu'un numéro de sécurité sociale valide et un compte bancaire de Lead Bank à Kansas City.

Le faux permis de conduire de Lazarus Jack

Angelo était beaucoup plus audacieux. Il prétendait vivre à Pasadena, au Texas, mais a envoyé un permis de conduire de Californie, ainsi qu'un compte de Citibank à New York.

Le permis de conduire d'Angelo

La partie la plus intéressante se cache dans les métadonnées. Plusieurs entrées EXIF montrent que l'image a été traitée par Google Gemini et contient un filigrane SynthID. Combiné avec des incohérences visuelles évidentes, la falsification était presque évidente, tandis qu'il était complètement inconscient.

Les métadonnées du permis de conduire d'Angelo

Si cela était déjà audacieux, Lucas a encore fait mieux.

Il n'a pas envoyé de documents à son nom, mais a partagé un permis de conduire de New York appartenant à Pui Chin Teoh, ainsi qu'un compte Wise. Contrairement aux documents d'Angelo, les métadonnées indiquent qu'il s'agit d'une vraie photo prise avec un iPhone 15.

Malheureusement pour nous, les coordonnées GPS avaient été supprimées. Nous soupçonnons que Pui Chin est une personne réelle, qui a peut-être pris une photo de son permis de conduire pour des raisons de KYC ou similaires, et que cette photo a ensuite été divulguée, finissant entre les mains de Lucas.

Les métadonnées du permis de conduire de Lucas

À ce stade, nous avions accès à des identités falsifiées, des numéros de sécurité sociale volés, des comptes de mules utilisés pour le blanchiment d'argent, des refuges potentiels pour les complices, et des portefeuilles de cryptomonnaie avec un historique de transactions.

Il était donc enfin temps de faire travailler cette équipe de stars. Nous n'étions pas encore prêts avec les ordinateurs portables à expédier, mais ce n'était pas un problème. Nous leur avons dit que notre fournisseur avait configuré des bureaux virtuels pour nous, et qu'ils pouvaient commencer à travailler immédiatement. Ce fournisseur était ANY.RUN.

Chapitre 6 : La mission nord-coréenne

Capturer des images et des enregistrements de tout ce qui se passe à l'intérieur des machines est tout aussi important que d'enregistrer des images en face à face, les deux fournissant des fragments différents du même puzzle. ANY.RUN nous permet d'enregistrer chaque fichier ouvert dans le système, chaque connexion réseau, et presque chaque clic, sans qu'aucun octet ne puisse échapper à notre surveillance en temps réel. Ces instances étaient spécialement conçues pour cette opération, fonctionnant comme un véritable VDI pendant des heures.

Nous avons lancé trois instances indépendantes, attribuant à chaque développeur son propre environnement, il était temps d'observer leur travail.

Le premier jour, Angelo et l'équipe ont utilisé presque les mêmes méthodes que les autres hackers nord-coréens pour explorer leurs machines. Ils ont d'abord exécuté dxdiag (outil de diagnostic DirectX), systeminfo et wmic pour obtenir des détails sur le système, puis ont vérifié leur position géographique en accédant à un site IP légitime (cette fois-ci, c'était IP8).

Tout semblait normal, alors Angelo s'est senti suffisamment en sécurité pour se connecter à son compte Google, installer Google Remote Desktop (comme nous l'avons vu dans le premier épisode), et synchroniser son compte avec la machine.

Oui, synchroniser son compte.

Une erreur d'une valeur de plusieurs millions

Pour ceux qui ne sont pas familiers avec le fonctionnement de la synchronisation des comptes Google, cela signifie que toutes les informations stockées de l'utilisateur seront disponibles sur cet appareil, y compris l'historique de navigation, l'historique de recherche, les mots de passe enregistrés et les extensions installées. À cause d'un simple clic accidentel, toutes ses informations étaient à notre portée. Dans les enquêtes précédentes, cela nous a permis d'identifier l'ensemble des outils de "Famous Chollima", y compris les outils d'IA qu'ils ont utilisés lors de leur recherche d'emploi.

Cependant, il semblait qu'il ne s'en rendait pas compte, continuant simplement à se connecter à son compte GitHub, tout semblait normal.

L'équipe avançait rapidement sur plusieurs fronts, mais cela ne signifiait pas qu'ils faisaient les choses correctement.

Jack s'efforçait de créer un front-end qui ne ressemble pas à un code Vibe, qui soit différent de la moitié des sites sur Internet, tandis qu'Angelo et Lucas luttaient avec le back-end et les contrats intelligents.

Ils recherchent des connaissances de base sur Google, comme comment construire des contrats intelligents évolutifs, importent un portefeuille MetaMask existant, puis peinent à rassembler quelques cryptomonnaies à partir d'un robinet de test. Une fois, ils ont même collé l'URL du réseau de test dans la barre d'adresse du portefeuille, se plaignant à ChatGPT que « maintenant, ils ont tous besoin d'argent réel ».

Angelo utilisant ChatGPT

Ensuite, ils continuent de travailler dans leur dépôt de code, n'ayant pas réussi à obtenir des jetons de n'importe quel robinet, ils ne peuvent maintenant développer qu'avec des actifs totalement fictifs. À ce moment-là, nous doutons sérieusement que ce soit une bonne décision commerciale. Les résultats financiers du prochain trimestre de Ballena Azul ne semblent pas prometteurs.

Peut-être que c'est juste une mauvaise journée, tout le monde en a quelques-unes. Alors, nous avons décidé d'aggraver un peu la situation.

Auparavant, nous avions introduit des pannes humaines et des interruptions de réseau pour ralentir les agents, puis les avions immédiatement de « casser » l'ordinateur portable que nous leur avions prêté. Cette fois, nous avons conservé les interruptions de réseau sélectives tout en faisant disparaître aléatoirement le curseur de la souris.

(Angelo déboguant l'interruption de réseau sélective)

Chaque fois qu'ils se plaignent, nous leur disons qu'un de nos techniciens de support IT se connectera pour résoudre le problème.

Ce qui s'est passé ensuite rappelle de manière inattendue ce qu'Aaron a fait à Andy dans le premier épisode, sauf que cette fois, cela se passe entre Angelo et l'un de nos « techniciens de support IT » : discuter via le bloc-notes.

Es-tu là ? (Regardez la vidéo sur YouTube)

Leur conversation de vibecoding se poursuit, et maintenant ils s'efforcent de résoudre un problème d'installation de NPM tout en faisant face à des interruptions de réseau occasionnelles, tout en alternant entre les résultats de ChatGPT dans Remix et Visual Studio, espérant que tout ira bien.

Déboguer un problème Node.js avec ChatGPT

Ils sont occupés, en sous-effectif, manquant de compétences, et la date limite de la première semaine approche, c'est le moment idéal pour invoquer un ancien méchant de cette série : « l'enfer des CAPTCHA ».

(Angelo piégé dans un cycle infini de CAPTCHA)

Après quelques minutes à gérer des CAPTCHA, une panne de réseau « force la destruction du VDI », et tout le progrès non sauvegardé disparaît instantanément.

Les jours passent, les chevaux de course se précipitent dans l'écurie, laissant derrière eux non seulement du code erroné, mais aussi une multitude de traces : des nœuds de sortie AstrillVPN dispersés dans le monde, des journaux de chat, des conversations avec des agents IA, des adresses de portefeuille, et des heures d'enregistrements vidéo.

(Construire un rêve)

Mais plus intéressant encore, ils ont exposé quelque chose de plus intrigant, pris sur le fait : les serveurs d'agents utilisés comme proxy et tremplin pour accéder au VDI.

Cette découverte est précieuse, car leurs serveurs ont souvent une longue durée de vie, sont souvent réutilisés et peuvent parfois héberger plusieurs familles de logiciels malveillants, reflétant l'évolution de leurs actions au fil du temps, et accumulant de nombreuses étiquettes dans le domaine du renseignement sur les menaces à la fin de leur cycle de vie.

L'un des serveurs était de ce type, mais les deux autres serveurs ont été à peine découverts, marqués simplement comme « scanner » (« cet hôte effectue une analyse de port ») et — de manière assez étrange — « honeypot ».

Cependant, au fil des jours, non seulement notre collecte de renseignements augmente, mais Ballena Azul LTD se développe également. Elle a grandi au point d'attirer l'attention de quelqu'un, un investisseur en capital-risque souhaitant rencontrer l'équipe de la prochaine licorne cryptographique.

Chapitre 7 : L'investisseur

M. Aelin Ashriver travaille pour Definitive Communications (abrégé en Def-Comm) et a manifesté de l'intérêt pour financer nos rêves. Nous avons effectué plusieurs « répétitions » avec l'équipe, répétant notre salut d'équipe : « Bonjour, Def Comm, nous sommes Ballena Azul LTD ! » Lorsque le grand jour est finalement arrivé, tout s'est bien passé.

Au cours de la réunion, M. Ashriver nous a demandé si nous étions intéressés par une certaine couverture médiatique, mentionnant qu'il pouvait nous aider, affirmant même avoir des liens étroits avec Cointelegraph.

En réalité, M. Ashriver est Yohan Yun, correspondant coréen de Cointelegraph, et a toujours été notre complice. Et vous, cher lecteur, pensiez que notre retournement de situation était terminé.

Definitive Communications a décidé d'investir dans Ballena Azul LTD, vous pouvez presque voir les symboles du dollar marqués sur leur rétine. Ils semblaient avoir goûté à la richesse qui afflue. Obtenir l'un des premiers postes dans une startup signifie généralement obtenir une position de confiance, et ils peuvent presque sentir la clé privée du portefeuille froid au bout de leurs sabots.

Nous sommes au sommet. Mais tout ce qui monte... doit redescendre. Ainsi, notre chute a commencé.

Chapitre 8 : L'avocat

J'ai dit que nous avions encore plus de retournements. Croyez-moi, ce n'est pas le dernier.

Jusqu'à présent, Heiner (Andy) et moi (Leonardo Nelson) travaillons chaque jour avec Jack, Angelo et Lucas. Mais si vous avez prêté attention, il y a un autre nom dans cette équation : M. Benito, mon cofondateur (interprété par notre ami Alejo). Il était occupé à travailler et à vivre à Milan, nous faisant confiance pour bien gérer les choses pendant son absence. Cependant, à son retour, il a découvert que nous avions transformé la maison en écurie, et il était très mécontent.

Les multiples vies de M. Anderson (Regardez la vidéo sur YouTube)

Le premier à fuir fut Angelo, complètement terrifié. Jack a mis plus de temps à comprendre ce qui se passait (principalement grâce à un outil de traduction en temps réel). Benito a profité de cela, lançant une blague après l'autre sur « Matrix » ( « Je vais être aussi franc que possible, M. Anderson », « M. Anderson, vivez-vous une double vie ? »). Une fois que Jack a enfin compris la situation, il est également parti.

Mais ce n'était pas fini. Notre canal Telegram est devenu un champ de bataille entre moi — le PDG trahi — et Andy — l'employé ayant une attitude assez lâche envers le droit du travail.

Je l'ai accusé (Andy) d'avoir amené des « travailleurs illégaux », tout en prétendant ne pas comprendre ce qui se passait réellement, lui disant que cela me causerait des problèmes.

Il a répliqué qu'il avait constitué l'équipe rapidement sous une pression énorme, et que je ne lui payais pas assez pour accomplir cette tâche. Il avait fait de son mieux dans les conditions existantes.

La dispute a duré un moment, jusqu'à ce que je décide non seulement de mettre fin à notre collaboration, mais aussi à notre amitié, lui disant que s'il avait quelque chose à dire, il pouvait le faire par l'intermédiaire de mon assistant ou de Benito.

Dans un geste humain que je respecte sincèrement (je suis sérieux), Angelo a contacté Andy en privé pour lui demander s'il allait bien et exprimer des regrets pour ce qui s'était passé entre nous.

Nous n'avons plus jamais eu de nouvelles des autres membres de l'équipe, qui ignorent toujours qu'ils étaient les cibles d'une opération d'espionnage inversé.

Épilogue I : Encore et encore

Si notre deuxième saison ne peut pas inclure un personnage mystérieusement disparu de la première saison, qu'est-ce qui en vaut la peine ?

Lorsque nous avons constitué l'équipe, nous étions déjà trop impliqués pour faire marche arrière, alors nous avons fait ce que d'autres feraient dans cette situation : avancer, et recruter notre cinquième Beatles. Mais celui-ci est un vieil ami que vous et nous connaissons. Écoutez par vous-même, vous reconnaîtrez probablement cette voix.

Tu es encore en vie ! (Regardez la vidéo sur YouTube)

Aaron Schulz (le hacker nord-coréen de la dernière enquête) fait son retour héroïque et exprime son désir de rejoindre Ballena Azul LTD, mais finalement, nous avons des divergences irréconciliables : il n'a pas pu fournir une pièce d'identité avec photo, « il faut attendre au moins un mois jusqu'à ce que nous puissions envoyer le premier salaire ». Donc, il n'est finalement apparu que brièvement, mais nous sommes heureux de savoir qu'il va bien.

Épilogue II : Sirop contre la toux

Et une autre surprise amusante. Que feriez-vous si votre logiciel de traduction en temps réel tombait soudainement en panne lors de la réunion quotidienne ?

Cela est arrivé à Jack, juste pendant l'une de nos réunions quotidiennes. Nous avons remarqué qu'à mesure que son tour de parole approchait, il devenait de plus en plus nerveux dans un coin de la réunion, et nous avons immédiatement compris qu'il y avait un problème de son côté, probablement avec son outil de traduction en temps réel.

Il a donc réagi à la situation comme un homme : en faisant semblant de tousser.

Sirop contre la toux (Regarder la vidéo sur YouTube)

Il était déjà prêt à faire semblant de s'évanouir si nécessaire, donc cette fois, nous avons fait semblant de ne rien voir.

Eh bien, c'était notre dernière surprise, anecdote ou vidéo étrange.

Avant de conclure cet épisode, faisons un petit retour en arrière. Rappelez-vous, même si ces gars sont amusants, ils représentent toujours une menace pour notre entreprise et nos actifs. Peut-être pas volontairement, peut-être pas par choix, mais ils constituent effectivement une menace.

Alors, analysons leur dernière boîte à outils, mettons à jour ce que nous avons vu et les changements depuis notre dernier affrontement en décembre dernier.

Nouvelle boîte à outils et infrastructure de Famous Chollima

Cette liste ne contient que les outils que nous avons observés dans ce nouveau chapitre, et elle peut varier avec le temps ou entre différents groupes d'agents.

· AnyDesk, Google Remote Desktop : logiciels de bureau à distance.

· AstrillVPN : service VPN.

· Extensions de navigateur : Saved Prompts for GPT, Simplify Copilot, AIApply, Final Round AI.

· ChatGPT : écriture et codage. Ils en dépendent fortement pour poser des questions sur des choses qu'ils ne comprennent pas, et même pour accomplir des tâches de travail au lieu de nous demander.

· Google Gemini : modification d'images, en particulier falsification de documents.

· 2fa.cn : partage de codes de vérification à deux facteurs entre agents. Nous avons remarqué qu'ils n'utilisent plus authenticator.cc ou otp.ee, que nous avions vus lors de précédents affrontements.

· Cursor, Visual Studio Code et Remix : codage.

· MetaMask, Bitget Wallet : portefeuilles de cryptomonnaies.

· ip8.com : vérification de leur adresse IP de sortie.

· Outlook.com : auparavant, nous avions seulement observé qu'ils utilisaient Gmail lors de ces affrontements.

· Outils système : dxdiag, systeminfo, wmic.

· VPS : Vultr, Gorilla Servers.

Cette opération se termine ici. Malheureusement, il est temps de dire au revoir ! Un dernier rappel à toutes les entreprises, bien qu'il n'y ait pas de solution parfaite, les stratégies classiques restent applicables :

· Effectuez des vérifications de fond et du KYC. Si vous êtes une entreprise axée sur le travail à distance, faites-le régulièrement et incluez une vérification en personne.

· Formez vos recruteurs à identifier les signaux d'alerte. Ils sont la première ligne de défense pour protéger votre entreprise.

· Bloquez immédiatement AstrillVPN, ainsi que tous les services qui refusent de se conformer aux demandes de retrait ou d'application de la loi.

· Si vous repérez des membres de Famous Chollima, faites-les vraiment « célèbres » en enregistrant leurs visages et en les partageant avec les services de renseignement. Vous aiderez à sensibiliser et pourriez empêcher une entreprise non informée d'embaucher des espions ou même de faire face à des sanctions.

Doutez toujours

Ne faites confiance à personne

N'oubliez pas de sourire, vous êtes à l'écran

> Lien vers l'article original