Crypto volées avec des deepfakes et malware macOS : le piratage nord‑coréen qui vide les wallets en simulant vos patrons
Une nouvelle campagne de cyberattaques, attribuée par les chercheurs de Mandiant à un groupe nord‑coréen identifié comme UNC1069, cible des entreprises fintech en visant directement leurs portefeuilles de cryptomonnaies. Ce qui distingue ces opérations, c’est l’usage combiné de deepfakes vidéo et d’une technique d’ingénierie sociale dite « ClickFix » pour inciter les victimes à exécuter une suite de commandes qui déploient une chaîne de malwares sur macOS. Voici le déroulé, les enjeux techniques et les bonnes pratiques pour se prémunir contre ce type d’attaque sophistiquée.
Comment l’attaque se déroule : de la confiance falsifiée à l’infection
La chaîne d’infection repose sur une mise en scène soigneuse. Les attaquants compromettent au préalable un compte Telegram appartenant à un dirigeant d’une fintech. Depuis ce compte, ils contactent des cibles en leur proposant un rendez‑vous via un lien Calendly pointant vers une fausse réunion Zoom. Lors de l’appel, les victimes visionnent un deepfake du PDG d’une autre société — une simulation audiovisuelle destinée à créer un sentiment de légitimité.
Au cours de la session, les attaquants provoquent un « faux » problème audio et proposent une « procédure de dépannage » : l’utilisateur est invité à exécuter des commandes publiées sur une page web. C’est la technique ClickFix : sous couvert d’une action technique banale, la victime déclenche le téléchargement et l’exécution d’un AppleScript. Celui‑ci lance le premier composant malveillant — WAVESHAPER — puis une cascade de chargeurs et backdoors qui s’installent sur la machine.
La chaîne de malwares analysée
Selon les relevés, seuls deux des sept composants (SUGARLOADER et WAVESHAPER) sont actuellement bien détectés par les principaux moteurs antivirus répertoriés sur VirusTotal, ce qui rend la campagne particulièrement dangereuse pour des environnements macOS non durcis.
Pourquoi les fintechs sont la cible privilégiée
Les fintechs gèrent des clés d’accès, des portefeuilles et des processus de transfert de fonds — autant de cibles à fort enjeu pour des acteurs motivés par le vol de cryptomonnaies. La valeur des actifs numériques et la difficulté parfois élevée de retracer et de récupérer des fonds volés font de ces entreprises des proies très rentables. Le niveau d’ingénierie sociale requis pour ces attaques (deepfake crédible, usage de comptes compromis) traduit une organisation avancée et des ressources notables derrière ces opérations.
Les signaux d’alerte à repérer
Mesures immédiates et préventives recommandées
Conséquences et enseignements
Cette campagne illustre la convergence entre deepfake, ingénierie sociale et malwares de nouvelle génération — une menace « tout‑en‑un » qui exploite la confiance humaine avant d’exploiter les failles techniques. Pour les entreprises manipulant des actifs numériques, la leçon est claire : la sécurité ne peut plus reposer uniquement sur des barrières techniques classiques. Il faut une combinaison de durcissement des postes, d’authentification robuste, de procédures opérationnelles rigoureuses et d’éducation continue des équipes pour réduire l’exposition aux scénarios où la confiance est falsifiée.
Actions prioritaires pour les dirigeants
La sophistication de la campagne UNC1069 montre que les attaques ciblées évoluent rapidement : elles combinent désormais falsification d’identité très convaincante et exploitation technique en chaîne. Pour s’en prémunir, les entreprises doivent adopter une posture défensive holistique — humaine, procédurale et technologique — plutôt que compter sur des protections isolées.
