DPRK : violations massives des sanctions ONU via cyberattaques et travailleurs IT clandestins

🌐 Contexte

Publié le 22 octobre 2025 par la Multilateral Sanctions Monitoring Team (MSMT), ce rapport regroupe les contributions de onze États participants (Australie, Canada, France, Allemagne, Italie, Japon, Pays-Bas, Nouvelle-Zélande, République de Corée, Royaume-Uni, États-Unis) ainsi que de partenaires privés (Chainalysis, Mandiant, Palo Alto Networks, DTEX, Upwork, Sekoia.io). Il couvre la période janvier 2024 – septembre 2025.

💰 Vols de cryptomonnaies

La RPDC a volé au moins 2,837 milliards USD en cryptomonnaies sur la période :

• 2024 : 1,191 milliard USD (environ 50 % de plus qu’en 2023)
• Janvier–septembre 2025 : 1,645 milliard USD, dont 1,46 milliard USD issus du seul hack de Bybit (février 2025), le plus grand vol de cryptomonnaies de l’histoire

Les principales victimes incluent DMM Bitcoin (308 M$, Japon), WazirX (235 M$, Inde), Bybit (1,46 Md$, EAU), Phemex (85 M$, Singapour), BTCTurk (55 M$), BingX (52 M$), Radiant Capital (50 M$).

🎯 Acteurs et TTPs

Les groupes APT impliqués sont :

• TraderTraitor (alias Jade Sleet, UNC4899) : attaques supply chain via Safe{Wallet}, Ginco, Liminal Custody ; responsable de ~2,58 Md$ volés
• CryptoCore (alias Sapphire Sleet, Alluring Pisces) : campagnes de spear phishing à grande échelle, ciblage de plus de 1 200 employés de sociétés crypto
• Citrine Sleet (alias AppleJeus, Gleaming Pisces) : distribution de logiciels crypto trojanisés, responsable du vol de 50 M$ chez Radiant Capital
• Andariel (alias Onyx Sleet, APT45) : ransomware contre hôpitaux US, espionnage DIB
• Moonstone Sleet : ransomware FakePenny, coopération avec le groupe RaaS Qilin
• Kimsuky (APT43), APT37 (ScarCruft), Temp.Hermit, Konni (TA406), TA408

Les TTPs récurrents incluent : spear phishing via LinkedIn/email, attaques supply chain, ingénierie sociale (faux recruteurs), malicious NPM packages, ClickFix, watering hole, exploitation de zero-days.

🧹 Blanchiment de cryptomonnaies

Le processus de blanchiment suit un schéma en 9 étapes : swap vers ETH/BTC/DAI → mixage → bridging → stockage → remixage → conversion TRX → swap USDT → transfert vers brokers OTC → conversion fiat via UnionPay chinois.

Outils utilisés : Tornado Cash, Wasabi Wallet, THORChain, eXch, Railgun, JoinMarket, Huione Group (Cambodge). Au moins 15 banques chinoises impliquées. Des brokers OTC identifiés : Ye Dinrong, Tan Yongzhi, Wang Yicong, Zhang Yujun, Wu Huihui, Cheng Hung Man.

👨‍💻 Travailleurs IT clandestins

Entre 1 000 et 2 000 travailleurs IT nord-coréens opèrent à l’étranger (principalement Chine : 1 000–1 500, Russie : 150–300, Laos : 20–40). La RPDC planifie l’envoi de 40 000 travailleurs supplémentaires en Russie. Revenus estimés : 350–800 millions USD en 2024.

Les délégations identifiées incluent : KMCTC (sous MAEI), Kyonghung IT (sous Office 39), Chonsurim (sous MND Bureau 53), Sangsin/SANS FAB (sous SANS), Ryugyong Technology Company (sous MID Bureau 75), Dalian Shepherd Boy Animation Studio, Shenyang GeumpungRi (sous Chinyong/MND Bureau 61).

Les facilitateurs opèrent en Ukraine (fermes de laptops, vente d’identités), Argentine (Antonia Doroganova, >20 M$ facilités), Pakistan (faux documents), États-Unis (Christina Marie Chapman, >17 M$, condamnée), Japon, Vietnam, EAU.

🏭 Ciblage de la base industrielle de défense

Temp.Hermit a compromis des serveurs d’authentification coréens via watering hole. Kimsuky a ciblé le secteur de la construction ROK via TrollAgent. Andariel a exfiltré des données de conception d’armes depuis des entreprises de défense ROK (mai 2024). APT37 a exploité des zero-days IE via des pop-up ads pour installer RokRAT. TraderTraitor a compromis le fabricant de drones chinois DJI.

📋 Type d’article

Rapport officiel multilatéral de surveillance des sanctions, à visée documentaire et opérationnelle pour les États membres de l’ONU et le secteur privé.

🧠 TTPs et IOCs détectés

Acteurs de menace

• TraderTraitor (state-sponsored) — orkl.eu · Malpedia
• CryptoCore (state-sponsored) — orkl.eu · Malpedia
• Citrine Sleet (state-sponsored) — orkl.eu · Malpedia · MITRE ATT&CK
• Lazarus Group (state-sponsored) — orkl.eu · Malpedia · MITRE ATT&CK
• Andariel (state-sponsored) — orkl.eu · Malpedia · MITRE ATT&CK
• Moonstone Sleet (state-sponsored) — orkl.eu · Malpedia · MITRE ATT&CK
• Kimsuky (state-sponsored) — orkl.eu · Malpedia · MITRE ATT&CK
• APT37 (state-sponsored) — orkl.eu · Malpedia · MITRE ATT&CK
• Temp.Hermit (state-sponsored) — orkl.eu · Malpedia · MITRE ATT&CK
• Konni (state-sponsored) — orkl.eu · Malpedia
• TA408 (state-sponsored) —
• Qilin (cybercriminal) —
• Play (cybercriminal) — orkl.eu · MITRE ATT&CK
• Stormous (cybercriminal) —

TTP

• T1566.001 — Phishing: Spearphishing Attachment (Initial Access)
• T1566.002 — Phishing: Spearphishing Link (Initial Access)
• T1195.002 — Supply Chain Compromise: Compromise Software Supply Chain (Initial Access)
• T1078 — Valid Accounts (Defense Evasion)
• T1059.007 — Command and Scripting Interpreter: JavaScript (Execution)
• T1059.002 — Command and Scripting Interpreter: AppleScript (Execution)
• T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
• T1204.002 — User Execution: Malicious File (Execution)
• T1204.001 — User Execution: Malicious Link (Execution)
• T1543 — Create or Modify System Process (Persistence)
• T1486 — Data Encrypted for Impact (Impact)
• T1657 — Financial Theft (Impact)
• T1041 — Exfiltration Over C2 Channel (Exfiltration)
• T1090 — Proxy (Command and Control)
• T1133 — External Remote Services (Persistence)
• T1189 — Drive-by Compromise (Initial Access)
• T1588.006 — Obtain Capabilities: Vulnerabilities (Resource Development)
• T1583.001 — Acquire Infrastructure: Domains (Resource Development)
• T1036 — Masquerading (Defense Evasion)
• T1552 — Unsecured Credentials (Credential Access)
• T1539 — Steal Web Session Cookie (Credential Access)
• T1560 — Archive Collected Data (Collection)
• T1113 — Screen Capture (Collection)
• T1005 — Data from Local System (Collection)
• T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
• T1219 — Remote Access Software (Command and Control)
• T1534 — Internal Spearphishing (Lateral Movement)
• T1021 — Remote Services (Lateral Movement)

IOC

• IPv4 : 66.29.141.228 — AbuseIPDB · VT · ThreatFox
• Domaines : atokyonews.com — VT · URLhaus · ThreatFox
• Domaines : detankwar.com — VT · URLhaus · ThreatFox
• Domaines : defitankzone.com — VT · URLhaus · ThreatFox
• Domaines : hiremployee.com — VT · URLhaus · ThreatFox
• Domaines : castleisland.businesstalks.site — VT · URLhaus · ThreatFox
• Domaines : support.businesstalks.site — VT · URLhaus · ThreatFox
• Domaines : us05web-zoom.xyz — VT · URLhaus · ThreatFox
• Domaines : us05web-zoom.cloud — VT · URLhaus · ThreatFox
• Domaines : support.regular-meet.site — VT · URLhaus · ThreatFox
• Domaines : support.general-meet.site — VT · URLhaus · ThreatFox
• Domaines : support.video-meets.online — VT · URLhaus · ThreatFox
• Domaines : support.team-meeting.net — VT · URLhaus · ThreatFox
• Domaines : web001-zoom.us — VT · URLhaus · ThreatFox
• Domaines : zoomsdk.us — VT · URLhaus · ThreatFox
• Domaines : secure-meeting.cloud — VT · URLhaus · ThreatFox
• Domaines : video-meeting.cloud — VT · URLhaus · ThreatFox
• Domaines : secure-meeting.site — VT · URLhaus · ThreatFox
• Domaines : secure-meeting.store — VT · URLhaus · ThreatFox
• Domaines : video-meeting.online — VT · URLhaus · ThreatFox
• Domaines : secure-meeting.xyz — VT · URLhaus · ThreatFox
• Domaines : zoom-client.xyz — VT · URLhaus · ThreatFox
• Domaines : communicationhub.us — VT · URLhaus · ThreatFox
• Domaines : webus05.us — VT · URLhaus · ThreatFox
• Domaines : bizmeet.org — VT · URLhaus · ThreatFox
• Domaines : bizmeet.pro — VT · URLhaus · ThreatFox
• URLs : https://atokyonews.com/CloudCheck.php?type=Update — URLhaus
• URLs : https://atokyonews.com/CloudCheck.php?type=News — URLhaus
• URLs : https://castleisland.businesstalks.site/join/vab-TxmY-mor — URLhaus
• URLs : https://support.businesstalks.site/troubleshoot-issue-235939 — URLhaus
• Emails : jasper.lewitton.official@gmail.com
• Emails : dodson43210@protonmail.com
• Emails : napoleonbgqo0977@gmail.com
• Emails : kevinsanaraujo@gmail.com
• Emails : daniel.castagnolii@gmail.com
• Emails : ashockvaradharajan@gmail.com
• Emails : yoannturp@gmail.com
• Emails : penygold342@gmail.com
• Emails : mitliza1@gmail.com
• Emails : julianseewald123@gmail.com
• Emails : stiegliz06@gmail.com
• Emails : kinchevaali@gmail.com
• Emails : sunsui2023@outlook.com
• Emails : kopytina111@outlook.com
• Emails : Akira.Ito0116@outlook.com
• Emails : Eddan_jiang@outlook.com
• Emails : elmakha224ar@outlook.com
• Emails : sebastian.93.e@hotmail.com
• Emails : nicolas.ju915@gmail.com
• Emails : sobaka1525@outlook.com
• Emails : Vanesapaula81@outlook.com
• Emails : joaopebasso12@outlook.fr
• Emails : Rodrigonahuelsanchez1998@outlook.com.ar
• Emails : nurtissera@outlook.com
• Emails : aitbaunty@outlook.com
• Emails : e56372626@gmail.com
• Emails : denis0316@outlook.com
• Emails : dreamstone111@outlook.com
• Emails : gabrielamartinsghera@yahoo.com
• Emails : aleecn@163.com
• Emails : stefaniezh7@gmail.com
• Emails : yisselmanrique@yahoo.com
• Emails : nmling_624@icloud.com
• Emails : 179546932@qq.com
• Emails : gfraticelli1@gmail.com
• Emails : gitstar333@hotmail.com
• Emails : kang19791110@hotmail.com
• Fichiers : coremedia.sh
• Fichiers : nvidiadrivers.zip
• Fichiers : update.vbs
• Fichiers : main.scpt
• Fichiers : Update.tmp
• Fichiers : Amber_OTC_RECEIPT.pdf
• Fichiers : Senior Frontend Developer JobS Description.pdf
• Fichiers : Question Sheet_Frontend (1).pdf
• Chemins : /Users/%Username%/Library/Atokyo/Update.tmp
• Chemins : /Users/%Username%/Library/Atokyo/Amber_OTC_RECEIPT.pdf
• bitcoin_addresses : bc1q64jk7kra50eezk0hk6nxfqe42yrq23cwcemdg6
• bitcoin_addresses : bc1qaejck84j2w7xl24m9y35p5rhqv0sy8fwq00g0j
• bitcoin_addresses : 1MW8Qjahh2YXovXpbhDcXAN8MEEL2Aun4n
• bitcoin_addresses : 1Gog6U87Ufved6ND9KruyNtjWwTKcV7Zyw
• bitcoin_addresses : 1Lem4GDPWjJNCtTTFby7oVVKv8sK4A4Pza
• bitcoin_addresses : 1AV3VxCj213AqNMNxFhkyvpg6MVxN4C1cu
• bitcoin_addresses : 14WSYAYvf6xSSiUDvpY1H7Qajaved4sP81
• bitcoin_addresses : 1MzC1ee87XLChJWJzKJGVi98ckAQedsGkP
• crypto_wallets : THjaAygUNkzoXufwEoKCzbUZHpsehL9rAZ
• crypto_wallets : TFzxRARRELBXvLtpKFayrzLPZmifhXNNLw
• crypto_wallets : 0xF9AdaC8658E08893fB4E91c1062e471eb11Cb6c7
• crypto_wallets : 0xCF3f54b780aC180Ed57F3227C96BCF9B2FD7415A
• crypto_wallets : 0x82CE61D10044CC0ea23215cc4B334Ff0937Af73C
• crypto_wallets : 0x4D2F75F1cF76C8689b4FDdCF4744A22943c6048C

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 31 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• BeaverTail (stealer)
• InvisibleFerret (backdoor)
• GolangGhost (backdoor)
• FrostyFerret (stealer)
• INLETDRIFT (backdoor)
• TrollAgent (rat)
• RokRAT (rat)
• Dtrack (rat)
• Maui (ransomware)
• FakePenny (ransomware)
• Play (ransomware)
• Qilin (ransomware)
• WannaCry (ransomware)
• AppleJeus (other)
• DeTankWar (other)

---

🟢 Indice de vérification factuelle : 70/100 (haute)

• ⬜ github.com — source non référencée (0pts)
• ✅ 278381 chars — texte complet (fulltext extrait) (15pts)
• ✅ 91 IOCs (IPs/domaines/CVEs) (10pts)
• ✅ 3/7 IOCs confirmés (AbuseIPDB, ThreatFox, URLhaus, VirusTotal) (15pts)
• ✅ 28 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ✅ acteur(s) identifié(s) : TraderTraitor, CryptoCore, Citrine Sleet (5pts)
• ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

• atokyonews.com (domain) → VT (18/92 détections)
• detankwar.com (domain) → VT (14/92 détections)
• defitankzone.com (domain) → VT (11/92 détections)

---

🔗 Source originale : https://github.com/blackorbird/APT_REPORT/blob/master/International%20Strategic/Korea/The%20DPRK%E2%80%99s%20Violation%20and%20Evasion%20of%20UN%20Sanctions%20through%20Cyber%20and%20Information%20Technology%20Worker%20Activities.pdf