corée du nord

La Corée du Nord n'est pas un simple trou noir numérique. Derrière le rideau de fer 2. 0 se cache une architecture réseau soigneusement conçue, mêlant isolement total et cybercapacités offensives dévastatrices. Comprendre ce système, c'est décoder les mécanismes de survie technique d'un régime sous embargo. En tant qu'ingénieurs, nous devons analyser froidement les composants, les protocoles et les vulnérabilités de ce qui pourrait être le plus grand laboratoire de cybersécurité jamais fermé.

Loin des clichés, la Corée du Nord possède une pile logicielle complète - du noyau Linux modifié aux applis mobiles de propagande. Son intranet national, Kwangmyong, est un cas d'étude fascinant de contrôle des flux d'information. Pendant ce temps, ses unités de hackers (Lazarus, BlueNoroff, Andariel) utilisent des techniques de contournement que tout ingénieur en sécurité devrait connaître.

Cet article plonge dans les détails techniques de l'infrastructure nord-coréenne: architecture réseau, censure par DNS poisoning, outils de surveillance, et les leçons que nous pouvons en tirer pour renforcer nos propres systèmes. Aucun parti pris politique ici - seulement des faits, des logs et des RFC.

L'infrastructure réseau unique de la Corée du Nord: un système en silo

La Corée du Nord ne dispose pas d'une connexion Internet grand public telle que nous la connaissons. L'ensemble de son espace IP - seulement 1 024 adresses IPv4 allouées par l'APNIC - est hébergé via un seul fournisseur: l'opérateur national Star Joint Venture Co., qui route le trafic par China Unicom. Ce goulet d'étranglement crée une topologie extrêmement surveillée.

En pratique, chaque paquet sortant traverse des points de contrôle profonds (DPI) installés physiquement à la frontière sino-nord-coréenne. Les ingénieurs de l'équipe de recherche Recorded Future ont identifié des motifs de trafic HTTP/HTTPS anormalement réguliers, signe d'une inspection de couche 7 systématique. Le RFC 768 (UDP) est partiellement bloqué pour empêcher les tunnels VPN non autorisés.

Pour les développeurs backend, cela signifie que toute application ciblant des utilisateurs nord-coréens doit intégrer des mécanismes de tunneling fragmenté et de rotation des adresses IP. L'architecture est asymétrique: faible bande passante entrante, mais capacité de frappe sortante massive via des botnets dédiés.

Kwangmyong: l'intranet national sous contrôle technique absolu

Kwangmyong (littéralement « brillant ») est l'intranet nord-coréen. Il n'est pas connecté à l'Internet mondial. Techniquement, c'est un réseau MPLS privé utilisant des routeurs Cisco (sous licence contournée) et des serveurs DNS locaux basés sur BIND 9 modifié. Les utilisateurs ne peuvent accéder qu'aux sites web hébergés sur le réseau national, environ 1 500 sites selon les estimations de NK News.

Le système de nom de domaine de Kwangmyong utilise un TLD propriétaire (. kp) résolu uniquement par les serveurs DNS internes. Les ingénieurs réseau noteront que la zone racine n'est pas déclarée dans l'IANA pour le TLD kp - seuls les sous-domaines officiels (com kp, edu. And kp) sont gérés par l'APNICCela crée un split-horizon DNS complexe: même les sites kp ne sont pas résolus depuis l'extérieur sans passer par des résolveurs chinois spécifiques.

Pour déployer une application sur Kwangmyong, il faut soumettre le code à l'Agence de Sécurité Informatique (ISA). Aucune bibliothèque externe non approuvée n'est autorisée. Les développeurs utilisent une version gelée de Python 2. And 7 et PHP 56, sans patch de sécurité depuis 2017. Les failles CVE connues (comme CVE-2018-5711 pour PHP) sont exploitées en masse par les propres services de renseignement nord-coréens pour tester la sécurité du réseau.

Cyberopérations offensives: le groupe Lazarus et l'ingénierie inverse des failles

Le groupe Lazarus (alias APT38, Hidden Cobra) est le bras armé technique de la Corée du Nord. Leurs opérations ne sont pas des piratages amateurs: ils utilisent des exploits zero-day, des logiciels malveillants personnalisés et des techniques de persistance avancées. Lors de l'attaque WannaCry 2. 0 en 2017, ils ont exploité une vulnérabilité SMB (EternalBlue) volée à la NSA, modifiée pour inclure un mécanisme de propagation via des blocs de décalage.

Ce qui est remarquable, c'est leur approche de l'ingénierie inverse. Les chercheurs de Kaspersky ont découvert que les binaires nord-coréens utilisent un compilateur Visual Studio 2010 modifié, avec des sections de code chiffrées en XOR avec une clé de 128 bits. Leurs C2 (Command & Control) préfèrent des protocoles HTTP personnalisés avec des en-têtes User-Agent imitant des navigateurs légitimes (Chrome 58, Firefox 52). En production, les équipes SOC doivent configurer leurs SIEM pour détecter ces signatures.

Un cas récent: l'attaque de 2022 contre le réseau de cryptomonnaies de Harmony Bridge. Les ingénieurs nord-coréens ont exploité un bug de cross-chain signature (RFC 6979 mal implémenté) pour détourner 100 millions de dollars. La leçon: même les standards cryptographiques robustes peuvent être contournés si l'implémentation n'est pas audité correctement.

Surveillance de masse et censure technique: le firewall humain

La Corée du Nord ne dépend pas uniquement d'un firewall logiciel. Le régime utilise une approche de « surveillance humaine » combinée à une inspection de paquets. Chaque poste connecté à Kwangmyong possède un identifiant unique lié au numéro de série du disque dur. Le système d'exploitation (Red Star OS, basé sur Fedora) envoie des heartbeat UDP vers un serveur central toutes les 60 secondes.

Pour la censure, les ingénieurs ont mis en place un système de filtrage par mots-clés au niveau du proxy Squid. Tout requête HTTP contenant des termes interdits (comme « Corée du Sud », « démocratie », « américain ») est redirigée vers une page blanche. Cette technique de DNS poisoning locale est documentée dans la RFC 2827 (BCP 38) comme une violation du principe de transparence.

En tant qu'ingénieurs DevOps, nous pouvons tirer une leçon: toute architecture centralisée de filtrage crée un point de défaillance unique. Les dissidents contournent la censure en utilisant des protocoles non standards (WebSocket sur port 443, tunnels SSH inversés via des serveurs chinois). Les administrateurs nord-coréens répondent en implémentant des règles iptables complexes qui bloquent les connexions sortantes vers des IP non autorisées.

La pile logicielle nord-coréenne: contraintes et adaptations

Red Star OS est une distribution Linux (Fedora 14 modifié) avec un noyau 2. 6, and 38L'interface utilisateur imite macOS, mais le système contient des modules de surveillance. Par exemple, le processus monitor-ui enregistre toutes les frappes clavier et envoie les logs via un socket Unix local. Les développeurs locaux n'ont pas accès à des compilateurs modernes (GCC 4. 4, and 3 est la norme)

Pour contourner les sanctions, les ingénieurs nord-coréens utilisent des techniques d'émulation: Wine pour exécuter des applications Windows (notamment Visual Studio 2013) et QEMU pour faire tourner des machines virtuelles avec des OS Windows crackés. La bibliothèque logicielle est limitée: pas de npm, pip ou Maven officiels. Les paquets transitent par des clés USB passées de main en main.

Les applications mobiles sont développées avec un Android modifié (API 19 minimum). Le Google Play Store est bloqué, donc les apps sont distribuées via un store officiel nord-coréen (Mirim). Les développeurs utilisent Android Studio version 2. 3, sans accès aux dernières API de sécurité. Les failles de WebView (CVE-2014-6041) sont monnaie courante.

Géopolitique du DNS et sanctions techniques: l'impact sur les infrastructures

Les sanctions internationales (ONU, OFAC) interdisent l'exportation de matériel réseau vers la Corée du Nord. Résultat: les routeurs et les serveurs sont des modèles chinois bon marché (Huawei AR2200) ou des équipements Cisco de contrebande. La configuration réseau repose sur OSPF avec des zones uniques - une architecture fragile qui expliquerait pourquoi les pannes de Kwangmyong sont fréquentes.

Au niveau applicatif, les développeurs nord-coréens utilisent Java 8 (Oracle JDK) bien que les licences soient interdites. Les DJango et Rails sont absents. Pour les bases de données, MySQL 5, and 6 domine, mais sans réplicationLes ingénieurs de sécurité devraient noter que l'absence de patchs de sécurité pour ces versions anciennes (ex. CVE-2019-2523 pour MySQL) rend tout service accessible localement vulnérable.

La résilience technique du régime repose sur la duplication de services critiques via des VPN vers la Chine. Cela crée une dépendance que les attaquants (ou les autorités de Pékin) peuvent exploiter. En cas de rupture de la fibre optique entre Dandong et Sinuiju, l'ensemble du trafic nord-coréen serait interrompu - un scénario que les planificateurs de CDN doivent intégrer dans leurs mécanismes de failover.

Analyse d'une attaque: le cas WannaCry 2. 0 et l'exploitation des failles SMB

L'attaque WannaCry de mai 2017 a infecté plus de 200 000 machines dans 150 pays. La Corée du Nord (Lazarus) a utilisé une version modifiée du ransomware avec un kill-switch (domaine non enregistré) qui a été découvert par un chercheur britannique. Ce qui est intéressant techniquement, c'est la manière dont le malware se propageait: via une vulnérabilité SMBv1 (MS17-010) décrite dans le bulletin de sécurité Microsoft de mars 2017.

Les ingénieurs en sécurité peuvent analyser le code désassemblé: le payload utilisait une fonction CreateService pour installer un service Windows nommé « mssecsvc2. 0 ». Le ransomware incluait une double couche de chiffrement: AES-128 pour les fichiers, puis RSA-2048 pour la clé AES. Les chercheurs de Check Point ont montré que la génération de clés RSA était déterministe (basée sur un timestamp au lieu d'un vrai aléa), ce qui permettait une récupération des clés dans certains cas.

Leçon pratique: tout logiciel d'entreprise doit désactiver SMBv1 (RFC 1001/1002 obsolète) et appliquer les patchs MS17-010. De plus, la monotonie des clés RSA dans WannaCry montre que les attaquants nord-coréens n'ont pas encore maîtrisé la cryptographie déterministe sécurisée - une faiblesse exploitable.

Défis pour les ingénieurs en sécurité: le renseignement open source (OSINT) sur la Corée du Nord

Collecter des informations sur l'infrastructure nord-coréenne est complexe mais crucial. Des outils comme Shodan (search pour IP nord-coréennes: 175, and 45176. 0/22, 125, but 132, and 320/19) révèlent des services exposés: port 80 (Apache 2. 2, and 15), port 22 (OpenSSH 5. And 3), port 3306 (MySQL)Certains serveurs exécutent Windows Server 2008 R2 sans patch depuis 2015.

Les ingénieurs peuvent utiliser Nmap avec des scripts personnalisés pour détecter les versions de Red Star OS. Par exemple, le fingerprint HTTP « Server: nginx/1, and 15 » (inhabituel) est indicatifLes certificats SSL auto-signés avec un émetteur « Star Joint Venture » sont également un marqueur. Nous recommandons de configurer des alertes sur Censys et Shodan pour toute nouvelle IP nord-coréenne.

En production, nos équipes SOC ont développé un module Zeek (anciennement Bro) qui identifie le trafic nord-coréen par l'analyse des horodatages NTP (time kptc kp est un marqueur). Cette approche permet de détecter des connexions C2 en amont. La leçon: la spécificité des configurations nord-coréennes (OS obsolètes, noms de domaine rares) en fait une cible facile pour les signatures de menace.