BlueNoroff orchestre des attaques par fausses visioconférences : deepfakes IA et vol de portefeuilles en ligne de mire

Introduction

Le 24 juillet 2026, les chercheurs de JUMPSEC ont mis au jour une campagne dangereuse orchestrée par le groupe nord-coréen BlueNoroff, connu pour ses attaques ciblant le secteur des cryptomonnaies. La menace exploite de fausses invitations à des réunions Zoom ou Microsoft Teams, distribuées via des sessions Telegram compromises et des liens Calendly, afin de piéger des victimes de premier plan. L’opération combine ingénierie sociale avancée, vidéos deepfake générées par intelligence artificielle et un mécanisme d’auto-propagation : une fois un compte Telegram compromis, l’attaquant envoie l’appât aux contacts de confiance, élargissant ainsi sa portée. L’objectif final est d’identifier les portefeuilles de cryptomonnaies (comme MetaMask) et de dérober les fonds via un malware téléchargé au moyen de commandes ClickFix.

Analyse technique

L’attaque débute par un message Telegram provenant d’un contact déjà compromis, contenant un lien vers une page Calendly fixant un rendez-vous pour un appel vidéo. Le lien mène vers un faux portail d’attente imitant l’interface de Zoom ou Microsoft Teams. La victime y est invitée à autoriser l’accès à la webcam : le flux vidéo est détourné vers les opérateurs via le framework mediasoup WebRTC, tandis qu’un script catalogue les portefeuilles installés dans le navigateur (MetaMask et autres) par fingerprinting des extensions.

Pendant la fausse réunion, la victime voit une vidéo préenregistrée avec un visage généré par OpenAI ChatGPT, animé à partir des mouvements réels capturés sur des cibles antérieures. Après quelques instants, un message d’erreur apparaît signalant un « microphone défaillant », incitant la victime à exécuter une série de commandes ClickFix – généralement un script PowerShell sous Windows ou un script shell sous macOS – pour « résoudre le problème ».

Chaîne Windows : PowerShell télécharge un VBScript qui désactive Microsoft Defender, ajoute des chemins d’exclusion et vole les sessions Telegram depuis Chrome, Edge, Brave, Firefox, Opera et Vivaldi. Il transmet ensuite au serveur de commande les identifiants des extensions de portefeuille, permettant aux attaquants de cibler uniquement les utilisateurs disposant de portefeuilles de grande valeur.

Chaîne macOS : un script shell télécharge un faux programme d’installation ; une fois exécuté, un infostealer exfiltre via Telegram (canal « Aurora ») les clés du trousseau iCloud, les métadonnées système et les données sensibles stockées dans Chrome.

L’infrastructure abuse de noms de domaine ressemblant aux originaux (typosquatting de zoom.us, teams.microsoft.com) et s’appuie sur des services légitimes comme Telegram et Calendly pour rendre le filtrage plus difficile. Les chercheurs de Sekoia ont relié cette activité au cluster « ClickFake Interview », tandis que la signature opérationnelle de l’acteur « John » (@alchemy_john_mac) a été repérée en mai 2026 dans des groupes de discussion sur les smart contracts.

Impact

La gravité est élevée pour plusieurs raisons :

• Auto-propagation : les sessions Telegram volées sont utilisées pour envoyer de nouveaux appâts aux contacts de la victime, créant un cycle de compromission difficile à arrêter.
• Vol ciblé : la présélection basée sur les portefeuilles installés permet de cibler uniquement les cibles possédant des actifs numériques, maximisant le retour sur investissement.
• Exfiltration multidimensionnelle : en plus des portefeuilles, sont dérobés les identifiants, les métadonnées, l’historique du navigateur et, sous macOS, les clés du trousseau iCloud.
• Affaiblissement des défenses : la désactivation de Microsoft Defender et l’ajout d’exclusions assurent la persistance et facilitent le chargement de charges utiles supplémentaires.

Mitigation

À ce jour, il n’existe pas de contre-mesures officielles, mais le mode opératoire permet de déduire quelques pratiques essentielles :

• Vérification par double canal : si vous recevez une invitation à une visioconférence provenant d’un contact connu, contactez-le par un autre moyen (téléphone, email) avant de cliquer sur le lien.
• Permissions limitées : n’accordez jamais l’accès à la webcam ou au microphone à des sites auxquels vous ne faites pas entièrement confiance, surtout si vous y accédez via un lien dans une discussion.
• Pas de « copier-coller » de commandes : méfiez-vous des instructions vous demandant d’exécuter du code PowerShell ou des commandes de terminal pour résoudre un problème technique pendant un appel.
• Protégez Telegram : activez l’authentification à deux facteurs et, si possible, isolez les extensions de portefeuille dans un profil de navigateur distinct, sans y enregistrer les sessions de messagerie.
• Surveillance des terminaux : surveillez les exécutions suspectes de scripts VBS/shell, les modifications des paramètres de Windows Defender et les connexions vers des noms de domaine récemment enregistrés ou présentant des fautes de frappe (typosquatting).

FAQ

1. Comment reconnaître une invitation à une visioconférence malveillante ?
Les signaux incluent des liens reçus soudainement de contacts Telegram, surtout s’ils sont accompagnés de messages du type « nous devons parler d’un investissement ». Vérifiez toujours l’URL : les noms de domaine avec de légères variations (par exemple « zoomus » au lieu de « zoom.us ») sont un signal d’alarme. En cas de doute, contactez l’expéditeur par un canal alternatif.

2. Pourquoi les attaquants demandent-ils l’accès à la webcam ?
Pour deux raisons : la vidéo de la victime est transmise en temps réel aux opérateurs, qui l’archivent et la réutilisent pour créer des deepfakes montrés ensuite à d’autres victimes. De plus, l’autorisation permet au site d’activer les scripts qui profilent les portefeuilles directement depuis le navigateur.

3. Que se passe-t-il si j’exécute les commandes ClickFix qui me sont proposées ?
Un malware est téléchargé et exécuté, qui désactive Microsoft Defender (sous Windows) ou lance un infostealer (sous macOS). Dès lors, l’attaquant peut voler les sessions Telegram, les clés de portefeuille et les données personnelles, et utiliser le compte pour propager l’attaque à vos contacts. Si vous avez exécuté ces commandes, déconnectez immédiatement l’ordinateur du réseau, modifiez les mots de passe depuis un appareil sain et contactez un expert en sécurité.