Un groupe de hackers lié à la Corée du Nord est probablement à l’origine d’une cyberattaque contre les OGM (sources)
TOKYO — Une analyse réalisée par GMO Internet Group Inc. a révélé qu’un groupe de pirates informatiques lié à la Corée du Nord était probablement à l’origine de la cyberattaque contre l’entreprise le mois dernier, ont déclaré dimanche des sources proches du dossier, citant les caractéristiques du logiciel malveillant utilisé et d’autres traces laissées par les auteurs.
L’entreprise semble avoir déjà signalé l’affaire au gouvernement et va désormais se concentrer sur la détermination des circonstances complètes.
Kyodo News, en collaboration avec des experts en sécurité, a également découvert que cinq adresses IP utilisées pour accéder à un site Web revendiquant la responsabilité de l’attaque immédiatement après la mise en ligne du site correspondaient à celles utilisées précédemment par un groupe de pirates informatiques nord-coréen.
Le site Web contenait des traces liées à plusieurs pays, dont les États-Unis et le Japon, suggérant que le pirate informatique aurait pu tenter d’induire les enquêteurs en erreur par une opération sous fausse bannière, ont indiqué dimanche des sources de cybersécurité.
Une analyse distincte du site a révélé que son domaine avait été acquis auprès d’une société américaine le 1er septembre et que son serveur d’hébergement était fourni par la même société. Les heures de création de fichiers ont été définies sur le fuseau horaire américain, tandis que le système d’exploitation a été défini sur l’anglais.
Une partie d’un programme utilisé pour collecter les journaux des visiteurs contenait du texte japonais et présentait des caractéristiques suggérant qu’il avait été généré par l’intelligence artificielle. Les fichiers publiés sur le site ont été créés à l’aide d’un logiciel développé en Chine et largement utilisé dans ce pays.
Un site Internet permettant aux victimes de la cyberattaque OGM de partager des informations pourrait avoir été créé par l’attaquant, car sa structure Web présente de nombreuses similitudes avec celle du site utilisé pour revendiquer la responsabilité de l’attaque, a révélé samedi une analyse réalisée par des experts en sécurité.
L’attaquant a peut-être cherché à obtenir des informations auprès des victimes via le site Web « Forum de partage d’informations sur les victimes », ont indiqué les experts.
Le site Web a été enregistré le 19 octobre, deux jours avant que le fournisseur d’infrastructure Internet japonais ne rende publique la cyberattaque, selon l’analyse. Il a été confirmé que le site Web de partage d’informations serait disponible le 22 octobre.
Les deux sites Web ont une conception globale similaire et partagent des parties de leur code source, ce qui les rend « à peu près identiques », a déclaré l’un des experts.
La semaine dernière, la société a confirmé que les informations client liées à son service de trading de devises avaient été divulguées sans autorisation et utilisées dans des transactions frauduleuses.
Le pirate informatique a menacé de divulguer les informations des clients et de mener une attaque au ransomware. GMO n’a pas répondu à la demande et certaines informations sur les clients ont été divulguées mardi.
L’une des victimes a déclaré avoir reçu plusieurs courriels dans la nuit du 22 octobre d’une personne utilisant un nom à consonance russe prétendant être l’agresseur.
Pendant ce temps, GMO GlobalSign KK, la filiale d’authentification de la société, a déclaré que les informations personnelles d’au moins 45 000 personnes dans des entreprises clientes avaient été divulguées via son service de gestion des cartes d’identité des employés.
