Recrutement IT : comment Lazarus piège et pille les développeurs

Le secteur technologique assiste à une évolution majeure des méthodes de piratage étatique. Plutôt que de forcer les portes des entreprises, les cyber-espions nord-coréens de Lazarus préfèrent désormais passer par la petite porte : celle du recrutement. Comme le révèle BleepingComputer, cette nouvelle vague d’attaques, baptisée Graphalgo, cible spécifiquement les développeurs travaillant sur les langages Python et JavaScript. L’objectif est double : infiltrer des infrastructures critiques et dérober des fonds en cryptomonnaies en exploitant la confiance naturelle entre un candidat et un recruteur potentiel.

Veltrix Capital : l’art de créer un employeur imaginaire par Lazarus

Pour piéger leurs victimes, les attaquants de Lazarus ne se contentent pas d’un simple e-mail. Ils bâtissent de véritables entreprises fantômes. L’exemple le plus frappant est celui de Veltrix Capital. Selon les recherches de ReversingLabs, cette firme disposait d’un site web complet présentant une vision et une mission crédibles, bien qu’aucune identité de dirigeant n’y figurait. Les pirates sont allés jusqu’à créer des pages sur LinkedIn et des annonces sur Reddit pour diffuser leurs offres. Pour un développeur en quête de nouveaux défis, tout semble professionnel et légitime, du discours commercial jusqu’aux premiers échanges avec des recruteurs dont le comportement imite à la perfection celui de vrais chasseurs de têtes.

Le cœur du piège repose sur un test technique, une étape standard dans le recrutement informatique. Le candidat reçoit un lien vers un projet sur GitHub, une plateforme de partage de code. On lui demande alors de « faire tourner le projet, le déboguer et l’améliorer ». C’est à cet instant précis que la cyberattaque se déclenche. En lançant l’installation, le développeur télécharge sans le savoir des « dépendances » empoisonnées. Ce sont des morceaux de code supplémentaires nécessaires au projet, mais ici, ils contiennent un virus. Les pirates utilisent des noms très proches de bibliothèques réelles, comme « graphnetworkx », pour que le candidat ne remarque aucune anomalie visuelle dans les fichiers de configuration qu’il parcourt.

Un code empoisonné caché dans les outils du quotidien

La force de cette campagne de Lazarus réside dans l’utilisation de serveurs de confiance. Les pirates hébergent leurs virus sur npm et PyPI, les deux plus grands répertoires mondiaux de code pour JavaScript et Python. Ils ont ainsi publié 192 paquets malveillants. Pour ne pas éveiller les soupçons, ils pratiquent l’art de la patience. Un outil nommé « bigmathutils » est resté totalement inoffensif durant un mois entier sur ces plateformes. Ce n’est qu’après avoir été téléchargé par 10000 utilisateurs que les attaquants ont publié la version 1.1.0, laquelle contenait la charge virale. Une fois le code malveillant activé, les pirates ont marqué le programme comme obsolète pour disparaître des radars aussi vite qu’ils étaient apparus.

Techniquement, l’attaque installe un « cheval de Troie à accès distant », ou RAT. Ce logiciel espion donne aux pirates le contrôle total de l’ordinateur de la victime. Dans le détail, le RAT est capable de scanner tous les programmes en cours d’exécution et d’exécuter n’importe quel ordre envoyé par les attaquants depuis leurs propres serveurs. Ces serveurs utilisent un système de « jetons de protection » pour s’assurer que seuls les pirates peuvent communiquer avec le virus, verrouillant ainsi l’accès aux experts en sécurité qui tenteraient d’analyser le trafic. Les pirates peuvent alors fouiller les dossiers personnels, copier des fichiers ou installer d’autres logiciels malveillants selon leurs besoins.

MetaMask : la cible ultime derrière l’écran

Le groupe Lazarus ne cache pas ses ambitions financières. Le virus installé sur l’ordinateur du développeur effectue une vérification très spécifique : il regarde si l’extension MetaMask est installée sur le navigateur internet. MetaMask est l’un des outils les plus populaires pour gérer des portefeuilles de cryptomonnaies. Si le virus le trouve, les pirates savent qu’ils ont une opportunité de vol direct. Ils peuvent alors tenter de récupérer les clés d’accès ou d’intercepter des transactions pour vider les comptes numériques de leur victime. Cette traque visuelle des portefeuilles virtuels est la signature technique du régime nord-coréen, qui cherche par tous les moyens à contourner les sanctions internationales pour financer ses activités.

Les preuves de l’implication de Lazarus et de la Corée du Nord sont nombreuses et précises. Au-delà des méthodes de recrutement déjà utilisées par le passé, les experts ont relevé que les modifications de code sur GitHub étaient effectuées sur le fuseau horaire GMT+9, qui correspond exactement à celui de Pyongyang. Pour les développeurs qui ont eu le malheur d’installer ces projets de test, la seule solution est radicale. Il ne suffit pas de supprimer le dossier du test technique. Il est impératif de formater l’ordinateur, de réinstaller le système et de changer tous les mots de passe de tous les comptes personnels et professionnels, car le virus a pu copier l’intégralité de leurs accès numériques durant sa période d’activité.