🌐 Contexte

Rapport de threat intelligence publié le 19 octobre 2026 par Silent Push, basé sur des recherches menées entre janvier et septembre 2026. Il documente un schéma actif de travailleurs IT nord-coréens infiltrant des institutions financières via des proxies humains recrutés sur Discord.

🎯 Schéma opérationnel

Un acteur identifié sous le pseudonyme “Tec Guru” (compte Discord tecguru113, Telegram @tecguru0618) recrute des citoyens américains, européens et latino-américains pour agir comme proxies dans des candidatures à des emplois à distance. Le proxy conserve 35% du salaire et transfère les 65% restants au travailleur nord-coréen via cryptomonnaies, virements bancaires ou processeurs de paiement tiers.

🛠️ Techniques d’évasion

  • Usurpation d’identité : utilisation d’identités légitimes volées ou louées pour passer les contrôles KYC et AML documentaires
  • Proxies résidentiels (RPaaS) : adresses IP résidentielles louées pour simuler une connexion locale
  • Laptop farms et KVM-over-IP : matériel physique installé dans des résidences domestiques, contrôlé à distance par le travailleur nord-coréen ; le DOJ a perquisitionné 29 laptop farms dans 16 États en juin 2025
  • Assistance en temps réel lors des entretiens : Google Meet, AnyDesk, TeamViewer, Chrome Remote Desktop, ChatGPT
  • VPN Astrill : recommandé par Tec Guru, couramment utilisé par les acteurs nord-coréens

🔍 Indicateur clé d’attribution

Silent Push a identifié une IP Starlink américaine (143.105.245[.]206, AS14593) dont le trafic origine de Pyongyang, démontrant l’usage de proxies résidentiels pour masquer la localisation réelle.

🏦 Exposition des institutions financières

Les institutions financières sont exposées à deux niveaux :

  1. En tant qu’employeurs : risque d’identité frauduleuse, exfiltration de données, risque de sanctions OFAC
  2. En tant que fournisseurs de comptes : les comptes proxy reçoivent des salaires légitimes puis redirigent les fonds via crypto, virements ou EMI

En juin 2025, le DOJ a saisi 29 comptes financiers utilisés pour blanchir des fonds issus de ces schémas.

🚩 Indicateurs de détection

  • IP domestique avec connexion upstream vers une zone sanctionnée
  • Haute densité d’hôtes sur une seule IP résidentielle
  • Refus persistant d’apparaître en vidéo, décalages audio anormaux
  • Employé qualifié incapable d’effectuer des tâches basiques
  • Demandes urgentes de redirection salariale vers une EMI ou compte tiers
  • Numéros VoIP avec indicatif +1, contact via Telegram

📄 Nature du document

Il s’agit d’une publication de recherche CTI produite par Silent Push, destinée aux équipes RH, fraude et cybersécurité des institutions financières, visant à documenter les méthodes d’infiltration nord-coréennes et les données applicatives exploitables pour la détection avant onboarding.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • North Korean IT Workers (state-sponsored) —

TTP

  • T1656 — Impersonation (Defense Evasion)
  • T1090.002 — Proxy: External Proxy (Command and Control)
  • T1090.004 — Proxy: Domain Fronting (Command and Control)
  • T1021.001 — Remote Services: Remote Desktop Protocol (Lateral Movement)
  • T1567 — Exfiltration Over Web Service (Exfiltration)
  • T1078 — Valid Accounts (Defense Evasion)
  • T1586.002 — Compromise Accounts: Email Accounts (Resource Development)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 5 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • AnyDesk (tool)
  • TeamViewer (tool)
  • Chrome Remote Desktop (tool)
  • Astrill VPN (tool)
  • ChatGPT (tool)

🟢 Indice de vérification factuelle : 71/100 (haute)

  • ✅ silentpush.com — source reconnue (liste interne) (20pts)
  • ✅ 23130 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 1 IOC(s) (6pts)
  • ⬜ 0/1 IOCs confirmés externellement (0pts)
  • ✅ 7 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : North Korean IT Workers (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.silentpush.com/white-papers-and-reports/proactively-defending-financial-institutions-against-north-korean-remote-it-workers/