La Corée du Nord piège les devs crypto via VS Code

La veille cybersécurité permanente est devenue une nécessité opérationnelle pour les équipes de sécurité, permettant d'anticiper les nouvelles menaces, de prioriser les actions de remédiation et d'adapter les stratégies de défense en temps réel. L'actualité de la cybersécurité est marquée par une accélération sans précédent des menaces, des vulnérabilités et des incidents affectant organisations et particuliers à l'échelle mondiale. Les équipes de sécurité doivent maintenir une veille permanente pour anticiper les risques émergents, appliquer les correctifs critiques et adapter leurs stratégies de défense. Cette analyse décrypte les derniers événements marquants du paysage cyber et leurs implications concrètes pour la protection de vos systèmes d'information. À travers l'analyse de La Corée du Nord piège les devs crypto via VS Code, nous vous proposons un décryptage complet des enjeux et des solutions à mettre en œuvre.

VS Code transformé en vecteur d'infection par un APT nord-coréen

Des chercheurs ont documenté le 23 mars 2026 une nouvelle tactique du groupe APT nord-coréen « Contagious Interview » (alias WaterPlum). Les attaquants exploitent la fonctionnalité tasks.json de Visual Studio Code, qui permet d'exécuter automatiquement des scripts à l'ouverture d'un dossier lorsque l'option runOn: folderOpen est activée. La victime reçoit un dépôt de code apparemment légitime via LinkedIn — dans le cadre d'un faux processus de recrutement — et l'infection se déclenche dès l'ouverture du projet dans VS Code, sans aucune action supplémentaire.

Le malware déployé, baptisé StoatWaffle, est un cheval de Troie d'accès distant (RAT) modulaire basé sur Node.js. Ses capacités incluent le vol des identifiants enregistrés dans les navigateurs, l'extraction du trousseau iCloud sous macOS, et l'exécution de commandes arbitraires à distance. Pour contourner les solutions de sécurité, les charges malveillantes sont téléchargées depuis des domaines Vercel ou des GitHub Gist — des services légitimes rarement bloqués par les proxies d'entreprise. Microsoft a corrigé la vulnérabilité dans VS Code v1.109, publiée en janvier 2026, en désactivant par défaut l'option task.allowAutomaticTasks.

Ce groupe nord-coréen est actif depuis 2023 dans des campagnes ciblant l'écosystème Web3. L'objectif est double : le vol direct de cryptomonnaies et l'espionnage industriel sur les projets blockchain en développement. Le recours à de faux recruteurs LinkedIn reste l'un des vecteurs d'ingénierie sociale les plus efficaces contre les profils techniques seniors.

Pourquoi les développeurs Web3 sont particulièrement exposés

VS Code est utilisé par plus de 70% des développeurs dans le monde — compromettre cet outil offre un accès particulièrement précieux aux secrets de code, aux tokens d'API et aux environnements de déploiement. Pour les équipes crypto/Web3, où un seul développeur compromis peut donner accès à des portefeuilles multi-signatures ou à des smart contracts en production, les conséquences peuvent être catastrophiques. Ce groupe nord-coréen a déjà été impliqué dans le vol de centaines de millions de dollars en cryptomonnaies ces deux dernières années.

Ce qu'il faut retenir

• Mettre à jour VS Code vers la version 1.109 ou supérieure immédiatement si ce n'est pas encore fait.
• Ne jamais ouvrir un dépôt reçu d'un inconnu sans auditer d'abord le contenu de .vscode/tasks.json et .vscode/launch.json.
• Tout projet de test technique envoyé via un recrutement LinkedIn doit être traité comme potentiellement hostile, surtout dans le secteur crypto.

Conclusion

Face à l'évolution constante des menaces, une posture de sécurité proactive est indispensable. Les techniques et recommandations présentées dans cet article constituent des fondations solides pour renforcer la résilience de votre infrastructure.