Des fausses offres crypto peuvent sembler inoffensives, mais elles servent parfois de porte d’entrée à des opérations d’infiltration. Dans une étude récente, des chercheurs en sécurité ont mis en place une fausse startup de cryptomonnaie, publié des annonces pour des postes de développeurs et recruté trois personnes qu’ils estiment être des opérateurs présumés d’origine nord-coréenne. L’objectif n’était pas d’exploiter des failles, mais d’observer—et de documenter—tout le parcours de recrutement, l’accès aux systèmes et les signaux fournis par les identités.
Voici ce qu’ils ont fait, ce qu’ils ont remarqué et quelles leçons peuvent en tirer les équipes RH et sécurité pour réduire les risques lors du recrutement, notamment sur des modèles “remote-first”.
Une fausse startup crypto pour observer le processus
Les chercheurs ont inventé une société de cryptomonnaie, construisant autour de l’idée un “debut de travail” complet : offres, onboarding et machines de travail. Le dispositif incluait des environnements virtuels fournis aux nouveaux arrivants, avec un enregistrement de l’activité sur chaque instance. Ainsi, tout ce qui se passait après la signature du contrat—y compris les actions techniques—pouvait être analysé.
Selon le rapport, les équipes n’ont pas cherché à déclencher une exploitation. Elles ont surtout voulu comprendre comment des personnes suspectées d’être liées à des opérations étrangères s’intègrent dans un processus RH classique, puis obtiennent de l’accès à un environnement de travail.
Des dossiers d’embauche qui “collent”, mais qui alertent
Le cœur de l’onboarding est souvent l’ensemble des documents demandés aux candidats. Ici, les trois profils présentés ont fourni des pièces qui, prises séparément, peuvent paraître crédibles, mais qui ont laissé des indices.
Le premier candidat a déclaré résider à Pasadena (Texas), tout en transmettant une pièce identitaire associée à la Californie, ainsi qu’un compte bancaire enregistré à New York. Les métadonnées d’une photo fournie ont, d’après les chercheurs, révélé un traitement avec Google Gemini. Le rapport mentionne aussi la présence d’un watermark SynthID, un marqueur invisible intégré par certains outils d’IA de Google pour authentifier ou tracer des images générées ou modifiées.
Le deuxième dossier contenait une licence du Texas, un numéro de sécurité sociale valide et un compte bancaire à Kansas City. Le troisième candidat a transmis une licence de New York appartenant à une autre personne. Concernant l’image associée, les chercheurs indiquent qu’il s’agissait d’une photo authentique d’un iPhone 15, mais avec des coordonnées GPS retirées, ce qui empêche de vérifier l’origine à partir des informations géographiques.
Pourquoi un “placement réussi” est un problème
Le rapport insiste sur un point souvent sous-estimé : lorsqu’un placement aboutit, l’accès suit. Un candidat “accepté” reçoit alors un compte employé réel, des droits d’accès à des systèmes internes et, dans un scénario typique, la capacité d’interagir avec des éléments comme des dépôts de code source ou des outils de travail.
Dans l’avis conjoint du 31 juillet, les chercheurs évoquent l’idée que des travailleurs IT rechercheraient des contrats avec l’intention de transférer leurs salaires vers des organismes liés à la Corée du Nord. Parmi les signaux d’alerte listés, figurent des documents “forgés ou modifiés” à l’aide de logiciels de retouche d’images.
Un cas lié à des antécédents d’identités volées
Cette opération s’inscrirait dans une continuité. Les chercheurs renvoient à une action précédente : une autre enquête avait déjà consisté à se faire passer pour un facilitateur “prêt à louer une identité”. Dans ce précédent scénario, les investigations, menées sur la fin 2025, avaient impliqué plusieurs entités (dont une annonce de The Hacker News concernant un article publié en décembre) et s’appuyaient sur des identités fournies à des placements dans de nombreuses entreprises aux États-Unis.
En parallèle, le Département de la Justice américain a condamné deux facilitateurs dans une affaire distincte. Cette affaire concernait des placements dans plus de 100 sociétés, sur la base d’au moins 80 identités volées, avec un impact financier estimé à plus de 5 millions de dollars pour la Corée du Nord.
Ballena Azul : l’infrastructure et l’approche de recrutement
Dans cette nouvelle séquence, les chercheurs ne se contentent pas de regarder une candidature “passive”. Ils deviennent l’employeur et créent une fausse entité DeFi appelée Ballena Azul. Un recruteur scrutant GitHub pour repérer des facilitateurs aurait livré le premier candidat développeur. Ce candidat aurait ensuite recommandé un proche, qui aurait à son tour recommandé un troisième individu.
Selon le rapport, aucune vulnérabilité n’a été exploitée : tous les profils auraient été introduits directement via le processus de recrutement, avec entretien, signature et accès à une machine virtuelle de travail.
Jour un : reconnaissance et prise de contrôle du poste
La première journée ressemble à une étape “technique” de cadrage. Les trois opérateurs auraient démarré par une reconnaissance de leur environnement, en lançant des commandes telles que dxdiag, systeminfo et wmic, puis en examinant le pays d’où proviendrait la connexion.
Le premier opérateur aurait ensuite installé Chrome Remote Desktop et synchronisé son compte Google personnel avec l’environnement sandbox. Cela aurait permis le transfert d’éléments comme l’historique de navigation, les mots de passe enregistrés et certaines extensions. Le même utilisateur se serait ensuite connecté à GitHub depuis cette même machine.
Outils observés : changements entre épisodes et traces d’IA
Les chercheurs notent que le “stack” observé diffère de celui observé dans l’opération précédente. Ils mentionnent l’usage de 2fa.cn pour faire transiter les codes de double authentification entre opérateurs, alors que l’autre campagne aurait utilisé des services différents (authenticator.cc et otp.ee).
Les chercheurs observent aussi une présence d’outils liés à la messagerie : Outlook.com apparaissait là où, dans la précédente opération, on observait seulement Gmail.
Sur les navigateurs, plusieurs extensions orientées “aide à la candidature” et à l’entretien auraient été chargées, dont AIApply, Final Round AI et Simplify Copilot. D’après le rapport, un outil de sauvegarde de “prompts” pour ChatGPT était également présent.
Hébergement et réseaux : des traces qui se répètent
Le rapport place l’infrastructure associée sur des fournisseurs comme Vultr et Gorilla Servers. Il indique aussi que des nœuds de sortie d’un VPN particulier, AstrillVPN, étaient utilisés tout au long de la campagne.
Cette présence a été suivie par “Silent Push” dans d’autres contextes, ce qui renforce l’intérêt des équipes sécurité : lorsque certaines briques d’infrastructure reviennent, elles peuvent servir de signal de détection ou de durcissement de politiques.
Ce que recommandent les chercheurs
Au-delà de l’analyse, les chercheurs mettent l’accent sur des mesures concrètes. Leur recommandation principale : plutôt que de se contenter d’une vérification unique “au moment de l’embauche”, il faut envisager des contrôles identitaires périodiques. Pour les entreprises “remote-first”, ils suggèrent aussi une vérification en personne.
Ils recommandent enfin de former les recruteurs et d’appliquer des blocages ciblés, en particulier en limitant l’usage d’AstrillVPN.
L’avis du 31 juillet mentionne également des indices comportementaux : un même compte atteignable depuis de nombreuses adresses dans une fenêtre de temps courte, ainsi qu’un texte de profil pouvant ressembler à une traduction automatique.
Comment les signaux liés à l’IA doivent être interprétés
Le rapport sépare les constats relatifs aux métadonnées de traitement et ceux liés au watermark SynthID. Toutefois, il ne détaille pas la manière exacte dont le watermark aurait été détecté dans chaque cas.
Les chercheurs rappellent aussi un point utile : l’application Gemini peut vérifier la présence d’un watermark SynthID, mais elle ne détecte que le contenu créé ou modifié par des modèles IA de Google. Un résultat négatif ne suffit donc pas à exclure une modification par d’autres outils d’édition.
Attribution et limites de l’identification
Les chercheurs affirment relier la campagne à des opérateurs présumés de Corée du Nord, décrits comme “Famous Chollima”. Dans leur travail, ils mentionnent que CrowdStrike utilise ce nom pour une opération de travailleurs IT nord-coréens, tandis que l’équipe les classe sous un ensemble plus large sous l’égide Lazarus.
En revanche, les informations officielles disponibles au moment de l’article ne confirment pas l’attribution par un cluster fournisseur identifié : le rapport d’alerte des onze gouvernements ne nommerait pas explicitement un acteur de produit ou un groupe vendor. Les véritables identités derrière les trois personas ne sont donc pas connues, et la durée exacte de fonctionnement de la fausse entreprise n’est pas précisée.
Conclusion : renforcer le recrutement, pas seulement la défense technique
Cette enquête montre que les fausses offres crypto ne sont pas un simple scénario théorique. Elles illustrent comment des individus peuvent passer les étapes RH, obtenir un vrai compte et accéder à une machine de travail, tout en laissant des traces exploitables : incohérences de documents, métadonnées liées à l’IA, choix d’outils et réutilisation de certains services réseau.
Pour les organisations, la meilleure défense ne se limite pas aux contrôles techniques après l’accès. Elle commence plus tôt : vérifications identitaires plus fréquentes, processus d’onboarding mieux maîtrisés, formation des équipes recrutement et politiques réseau plus strictes. Autrement dit, la sécurité doit s’étendre du poste de travail jusqu’au bureau du recruteur.
Source: https://thehackernews.com/2026/08/researchers-built-fake-crypto-startup.html
