Cette recherche fournit l’une des analyses les plus complètes à ce jour de l’opération « Korean Leaks », combinant des informations issues du Data Leak Site de Qilin, de recherches OSINT et de données du dark web.
L’analyse de Bitdefender montre que Qilin a intégré des messages politiques et propagandistes dans ses notes de rançon - une tactique très inhabituelle pour un groupe financier - afin de présenter ces fuites sous forme de révélations de corruption et ce, afin d’éroder la confiance dans le système financier sud-coréen.
Qilin a ensuite tenté d’effacer ces communications, probablement à la demande d’affiliés, en nettoyant son Data Leak Site.
D’autres éléments laissent penser que Moonstone Sleet, un APT lié à la Corée du Nord et affilié connu de Qilin, pourrait avoir participé, brouillant davantage la frontière entre cybercriminalité financière et activité alignée sur un État.
Princpaux enseignements :
Bitdefender a analysé une campagne ciblée visant le secteur financier sud-coréen — principalement des sociétés de gestion d’actifs - au travers d’un fournisseur de services managés (MSP) compromis, qui fournissait des services informatiques à plusieurs victimes.
La campagne est attribuée au groupe Qilin Ransomware-as-a-Service (RaaS), avec une possible collaboration de Moonstone Sleet, un acteur lié à l’État nord-coréen.
Qilin, habituellement motivé par des objectifs financiers, a introduit des messages politiques et de propagande, présentant les fuites comme révélant une « corruption » dans l’industrie financière sud-coréenne — un changement notable par rapport aux narratifs classiques du ransomware.
L’attaque a exploité une compromission de la chaîne d’approvisionnement, plutôt qu’un ciblage direct, soulignant la vulnérabilité des prestataires tiers comme porte d’entrée pour des opérations ransomware à grande échelle.
Bitdefender estime que cette campagne représente un modèle hybride de coopération entre acteurs étatiques et criminels, mêlant économie du ransomware et objectifs géopolitiques.
