Les pirates nord-coréens ciblent les travailleurs du secteur de la cryptographie avec de faux entretiens d’embauche et un nouveau logiciel malveillant

Une nouvelle campagne de piratage nord-coréenne cible les professionnels de la cryptographie avec de fausses offres d’emploi pour diffuser de puissants logiciels malveillants. L’objectif : voler des données sensibles et accéder à distance aux systèmes des victimes.

Le logiciel malveillant, PylangGhost, peut s’emparer des informations de connexion de plus de 80 extensions de navigateur, y compris les principaux portefeuilles de crypto-monnaie et les gestionnaires de mots de passe. Jusqu’à présent, la plupart des victimes sont des développeurs de blockchain et des travailleurs du secteur des cryptomonnaies en Inde.

Fausses interviews, vrais dégâts

Les attaquants se font passer pour des recruteurs de sociétés de crypto-monnaies bien connues comme Coinbase, Uniswap et Robinhood. Ils contactent les victimes potentielles par le biais de plateformes d’emploi et d’e-mails, en leur proposant de faux postes pour les attirer. Après quelques échanges de base, les “recruteurs” envoient des liens vers de faux tests de compétences hébergés sur des sites web qui semblent légitimes.

Une fois que le candidat a passé le test, les pirates lui demandent d’activer sa webcam et son microphone pour un prétendu entretien vidéo. C’est là que les choses deviennent dangereuses. Les pirates disent aux victimes qu’elles doivent installer une mise à jour du pilote vidéo pour que l’entretien fonctionne correctement. Mais ce qu’ils téléchargent en réalité, c’est PylangGhost, un cheval de Troie d’accès à distance basé sur Python.

Le logiciel malveillant donne aux pirates le contrôle total de la machine infectée. Il peut voler des fichiers, suivre l’activité et renvoyer les informations de connexion aux serveurs de commande des attaquants. Mots de passe, clés de portefeuille, cookies. Tout est à prendre.

Face à l’augmentation des menaces de ce type, de plus en plus de personnes commencent à utiliser les meilleurs portefeuilles de crypto-monnaies décentralisés pour stocker leurs actifs hors ligne ou dans des systèmes non conservateurs. Ces portefeuilles permettent aux utilisateurs de contrôler totalement leurs clés, ce qui les met à l’abri des violations à distance comme celle-ci.

Nouveau nom, vieilles ficelles

Le groupe de pirates informatiques à l’origine de cette campagne porte le nom de “Famous Chollima”, bien qu’il soit également connu dans les milieux de la cybercriminalité sous le nom de “Wagemole”. Il a des liens avec d’autres cyber-groupes nord-coréens comme Lazarus, qui a une longue histoire de ciblage de projets cryptographiques et de vol d’actifs numériques, comme l’attaque contre Sony Pictures en 2014.

Cisco Talos, une société de recherche en sécurité de premier plan, a été la première à identifier PylangGhost. Selon son rapport, ce logiciel malveillant est un cousin du précédent cheval de Troie GolangGhost. Alors que GolangGhost s’attaquait principalement aux systèmes macOS, cette nouvelle version cible les machines Windows.

Les outils et les méthodes peuvent évoluer, mais l’approche n’est pas nouvelle. Des acteurs nord-coréens ont déjà utilisé de faux emplois et de fausses entreprises pour implanter des logiciels malveillants. Fin 2024, les autorités américaines ont saisi un domaine lié à une entreprise fictive, BlockNovas LLC, qui était utilisée dans un type d’attaque similaire. Cette affaire impliquait également de faux entretiens, des courriels d’hameçonnage et des documents contenant des logiciels malveillants.

Le champ d’application ne cesse de s’étendre

Le logiciel malveillant ne se contente pas de s’attaquer aux données du navigateur. Il peut effectuer des captures d’écran, gérer des fichiers, recueillir des informations sur le système et conserver un accès à long terme à l’appareil de la victime. Selon les chercheurs, cela permet aux attaquants non seulement de voler de l’argent, mais aussi de recueillir des informations sur les entreprises de cryptographie et leur fonctionnement interne.

Les escrocs pourraient utiliser ces informations lors d’attaques futures ou pour aider à placer d’autres faux candidats dans de vraies entreprises. En fait, en mai, la bourse de cryptomonnaies Kraken a déclaré avoir surpris un agent nord-coréen qui postulait à un emploi dans le secteur de la technologie. L’agent a échoué aux contrôles d’identité lors du processus d’embauche, mais l’affaire a montré jusqu’où ces campagnes peuvent aller.

Les autorités sud-coréennes, japonaises et américaines ont confirmé que des groupes soutenus par la Corée du Nord ont volé plus de 650 millions de dollars en crypto-monnaie au cours du seul premier semestre 2024. Selon les experts, ce chiffre pourrait augmenter considérablement à mesure que ces escroqueries à la fausse embauche se répandent.

Appel à des contrôles renforcés dans le cyberespace

Les experts en sécurité affirment qu’il est essentiel de mettre un terme à ces attaques. En Inde, où sont basées la plupart des dernières victimes, les leaders des secteurs de la technologie et de la sécurité demandent instamment que des mesures soient prises.

Dileep Kumar H V, directeur du Digital South Trust, a déclaré que le gouvernement devrait rendre les audits de cybersécurité obligatoires pour les entreprises de blockchain. Il a également appelé à une meilleure surveillance des faux sites d’emploi et à une coordination plus forte avec les agences mondiales.

Le CERT-In, la principale cyber-agence du pays, a été invité à diffuser des alertes publiques, tandis que les législateurs ont été invités à renforcer la loi sur les technologies de l’information afin d’aider les procureurs à poursuivre les délits transfrontaliers.

Il est clair que l’objectif n’est pas seulement le vol, mais l’accès lui-même. Ces pirates tentent de s’introduire dans l’espace cryptographique par l’intermédiaire des personnes qui le construisent et le gèrent. Et si les entreprises et les travailleurs ne restent pas vigilants, ils trouveront d’autres moyens d’entrer.

Rester intelligent, rester en sécurité

La défense la plus sûre à l’heure actuelle est la prise de conscience. Ne vous fiez pas aux offres d’emploi qui sortent de nulle part. N’installez jamais de logiciel pendant un entretien et vérifiez toujours les sites que vous devez visiter. L’essor du secteur de la cryptographie s’accompagne d’une augmentation des risques qui y sont liés.

Clause de non-responsabilité : Toute information contenue dans ce communiqué de presse ou ce billet sponsorisé ne constitue pas un conseil en investissement. Themarketperiodical et tous ses auteurs ne soutiennent pas, et ne soutiendront pas, les informations sur les entreprises ou les individus figurant sur cette page. Les lecteurs sont encouragés à effectuer leurs propres recherches et à prendre des mesures en fonction de leurs propres conclusions et non pas en fonction du contenu de ce communiqué de presse ou de ce billet sponsorisé. Themarketperiodical.com n’est et ne sera pas responsable de tout dommage ou perte causé directement ou indirectement par l’utilisation de tout contenu, produit ou service mentionné dans ce communiqué de presse ou article sponsorisé.