Le groupe Lazarus nord-coréen a encore frappé, cette fois en combinant l’une de ses plus anciennes ruses avec l’un de ses outils les plus récents. Selon un nouveau rapport, le groupe de piratage soutenu par un État a utilisé de fausses offres d’emploi ainsi qu’une vulnérabilité zero-day Windows jusqu’alors inconnue pour infiltrer des organisations de la défense et de l’aérospatiale. Cette campagne est un nouveau chapitre de l’opération Dream Job, une opération d’espionnage de longue haleine qui affecte le secteur de la défense depuis des années, mais cette dernière vague montre que le groupe est prêt à sacrifier de précieux exploits non divulgués pour arriver à ses fins.
Comment fonctionne l’arnaque aux fausses offres d’emploi
Cette attaque suit un schéma familier pour quiconque a déjà suivi l’activité de Lazarus. Une personne se faisant passer pour un recruteur contacte un employé d’une entreprise de la défense ou de l’aérospatiale, en lui proposant une opportunité d’emploi dans une entreprise que la cible reconnaîtrait. L’approche semble légitime car elle imite une véritable démarche de recrutement : des messages professionnels, un poste plausible et suffisamment de détails pour ne pas éveiller immédiatement les soupçons.
Il ne s’agit pas d’une tactique nouvelle. Comme nous l’évoquions dans notre précédent article sur l’opération Dream Job frappant des entreprises de la défense et de l’aérospatiale, les attaquants passent des années à perfectionner ces leurres pour donner aux fausses opportunités une apparence réelle. Ce qui distingue cette dernière campagne, c’est la charge utile qui attend au bout de la conversation. Dès qu’une cible engage la conversation, les attaquants envoient un fichier ou un lien qui exploite une faille zero-day Windows, une vulnérabilité inconnue de Microsoft et non corrigée au moment de l’attaque. Cela signifie que les logiciels de sécurité classiques ne disposaient d’aucune signature pour la détecter, et que le système de la cible pouvait être compromis sans signe d’alerte évident.
L’angle de la faille zero-day Windows
Les vulnérabilités zero-day sont précieuses précisément parce qu’elles sont inconnues. Un attaquant qui en possède une peut contourner les défenses corrigées qui bloqueraient normalement un exploit connu. L’utilisation d’une zero-day par Lazarus témoigne ici d’un niveau de ressources et de sophistication technique compatible avec un soutien étatique, et cela fait écho à un schéma que les chercheurs en sécurité ont déjà observé. L’année dernière encore, Microsoft a dû corriger une autre faille zero-day Windows déjà exploitée dans la nature pour installer un logiciel malveillant lié à Lazarus, comme nous le détaillions dans notre article sur le correctif de Microsoft pour une faille de rootkit liée à Lazarus. Que cette nouvelle vulnérabilité ait déjà été corrigée ou non, la leçon de fond reste la même : se reposer uniquement sur le cycle de mises à jour mensuel de Microsoft laisse une fenêtre d’exposition que des attaquants déterminés sont impatients d’exploiter.
Pourquoi c’est important au-delà des sous-traitants de la défense
Il est tentant de considérer cette histoire comme ne concernant que les personnes travaillant dans la défense et l’aérospatiale, mais les implications pour la vie privée vont bien plus loin. Lazarus cible des individus, pas seulement des institutions. L’employé qui reçoit la fausse offre d’emploi est souvent choisi en raison de ses accès, de ses contacts ou des données sensibles présentes sur son appareil, et non parce qu’il a fait quelque chose de mal. Une fois compromise, cette seule machine peut devenir un point d’ancrage vers un réseau plus vaste, exposant des communications personnelles, des identifiants et potentiellement des informations classifiées ou exclusives.
Cette campagne souligne également une tendance plus large : l’ingénierie sociale reste l’un des moyens les plus efficaces de contourner même des infrastructures de sécurité bien financées. Aucun pare-feu ni outil de protection des terminaux ne peut compenser pleinement un message convaincant qui persuade une personne d’ouvrir un fichier. La faille zero-day a rendu cette attaque particulière plus dangereuse, mais le point d’entrée initial était, comme toujours, la confiance humaine.
Ce que cela signifie pour vous
La plupart des lecteurs ne recevront jamais de message de hameçonnage de Lazarus, mais les tactiques employées ici sont de plus en plus courantes dans des escroqueries moins sophistiquées également. Faux recruteurs, arnaques à l’emploi et pièces jointes malveillantes déguisées en lettres d’offre ou en tests de programmation sont devenus monnaie courante sur des plateformes comme LinkedIn et par e-mail. Si vous travaillez dans un secteur sensible, défense, aérospatiale, technologie ou recherche, traitez les sollicitations professionnelles non sollicitées avec le même scepticisme que vous appliqueriez à une facture suspecte ou à une notification de prix trop beau pour être vrai.
Au-delà de la prudence individuelle, cet incident rappelle qu’il est important de maintenir à jour votre système d’exploitation et vos logiciels de sécurité, même si une faille zero-day ne peut par définition pas être corrigée à l’avance. Une fois qu’une vulnérabilité de ce type devient publique, les éditeurs réagissent généralement rapidement pour publier un correctif, et retarder cette mise à jour vous expose à des attaquants qui procèdent à la rétro-ingénierie de la faille à partir du correctif lui-même.
Mesures concrètes à retenir
Vérifiez les sollicitations de recruteurs de manière indépendante avant de cliquer sur un lien ou de télécharger une pièce jointe, idéalement en contactant directement l’entreprise par ses canaux officiels. Évitez d’ouvrir des fichiers inattendus, même s’ils semblent être des descriptions de poste ou des tests d’évaluation, sans les analyser au préalable. Maintenez Windows et tous vos logiciels à jour dès que des correctifs sont disponibles, car les failles zero-day sont souvent rapidement suivies d’une exploitation plus large une fois que les détails fuient. Et si vous travaillez dans un secteur à forte valeur comme la défense ou l’aérospatiale, signalez les offres d’emploi suspectes à l’équipe de sécurité de votre organisation plutôt que de les gérer seul. Les fausses offres d’emploi et l’exploitation d’une faille zero-day Windows par Lazarus montrent que même les professionnels expérimentés peuvent être ciblés avec des leurres très convaincants, mais une bonne dose de scepticisme et une bonne hygiène de sécurité restent votre meilleure défense.
