Dans le tour d'horizon de cette semaine, le CTI examine deux campagnes distinctes menées par des acteurs malveillants nord-coréens se faisant passer pour des demandeurs d'emploi et des recruteurs. Voici maintenant les dernières informations concernant le bot Telegram malveillant connu sous le nom de « Telekopye » et ses opérateurs. Enfin, le CTI examine comment des acteurs malveillants liés à la Corée du Nord ont récemment mené deux campagnes de grande envergure visant macOS, notamment « RustBucket » et « KandyKorn ».
1. Les pirates informatiques se font passer pour des demandeurs d'emploi et des recruteurs
Des chercheurs établissent un lien entre les acteurs malveillants nord-coréens de l' (s'ouvre dans un nouvel onglet) et deux campagnes dans lesquelles ils se font passer à la fois pour des demandeurs d'emploi et des recruteurs afin de diffuser des logiciels malveillants.
Voici un aperçu plus détaillé de ces deux campagnes.
La première campagne : « Contagious Interview »
Dans le cadre de cette première campagne, baptisée « » (Entretien contagieux) (s'ouvre dans un nouvel onglet), des cybercriminels se font passer pour des recruteurs et incitent des développeurs de logiciels à installer des logiciels malveillants au cours du processus d'entretien. Palo Alto a détecté des activités suspectes liées à cette campagne remontant dès mars 2023, l’infrastructure de celle-ci ayant été mise en place dès décembre 2022.
D’après les noms des logiciels malveillants associés à cette campagne, les chercheurs estiment que l’auteur de la menace a tendance à se faire passer pour des entreprises légitimes spécialisées dans l’intelligence artificielle, les cryptomonnaies et les NFT, ou encore pour des agences de recrutement.
Une fois le contact établi, l'auteur de la menace invite la victime à participer à un entretien en ligne. Au cours de l'entretien, ils tentent de convaincre la victime de télécharger et d'installer un paquet NPM malveillant hébergé sur GitHub, qui est probablement présenté comme un logiciel devant faire l'objet d'un examen ou d'une analyse dans le cadre de l'entretien. Ce fichier contient du code JavaScript malveillant et infectera l'ordinateur de la victime avec un logiciel malveillant de type « porte dérobée ». Ce paquet NPM malveillant contient du code JavaScript destiné à un logiciel malveillant récemment découvert, baptisé BeaverTail.
- Le logiciel malveillant BeaverTail est à la fois un voleur d'informations et un chargeur. Il cible les portefeuilles de cryptomonnaies et les informations de carte bancaire stockées dans le navigateur Web. Il récupérera et exécutera également la phase suivante du logiciel malveillant, connue sous le nom d'InvisibleFerret.
Ce logiciel malveillant nécessite une intervention manuelle pour s'exécuter, car il dépend de l'environnement Node.js, ce qui lui permet d'échapper à la détection. Une fois installé sous Windows, Linux ou macOS, il recueillera des informations de base sur le système et recherchera les extensions de navigateur associées à des portefeuilles de cryptomonnaies.
- Le logiciel malveillant InvisibleFerret est récupéré et exécuté par les paquets NPM BeaverTail. Il s'agit d'un logiciel malveillant Python multiplateforme capable d'effectuer une identification de l'appareil, un contrôle à distance, l'enregistrement des frappes clavier, l'exfiltration de données, le vol de données dans les navigateurs et le téléchargement du client AnyDesk.
La deuxième campagne : Wagemole
Dans le cadre de cette deuxième campagne, les auteurs de ces attaques cherchent à obtenir un emploi non autorisé au sein d'organisations à des fins lucratives et d'espionnage. Cette campagne, baptisée « Wagemole », aurait débuté dès août 2022.
Les chercheurs se sont alors tournés vers l'infrastructure GitHub liée à la campagne « Contagious Interview » et ont découvert un dépôt GitHub totalement différent, associé à un autre compte. Ce compte contenait des fichiers comprenant notamment des CV présentant de fausses identités, des questions et réponses fréquemment posées lors d'entretiens d'embauche, des modèles de présentation personnelle, des copies d'offres d'emploi dans le secteur informatique provenant d'entreprises américaines, une copie numérisée d'une carte de résident permanent américaine volée, ainsi qu'une liste de coordonnées de vendeurs non identifiés.
Chaque faux CV figurant dans le dépôt GitHub comportait un numéro de téléphone américain différent permettant de contacter la personne concernée ; certains comprenaient également des liens vers un profil LinkedIn et/ou du contenu GitHub régulièrement mis à jour, avec un historique d'activité très complet. Les demandeurs d'emploi malhonnêtes disposent de plusieurs comptes de messagerie électronique, sur des sites de freelance, dans des référentiels de code source et sur des plateformes d'agences de recrutement.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
La campagne « Contagious Interview » s’inscrit dans la lignée de nombreuses autres menées par des acteurs malveillants liés à la Corée du Nord, qui se font passer pour des recruteurs et tentent d’infecter les demandeurs d’emploi avec des logiciels malveillants. Cette dernière campagne semble toutefois inverser les rôles : les acteurs malveillants tentent ici de postuler et d’accepter des offres d’emploi au sein de diverses entreprises. Cette campagne est moins axée sur les aspects techniques ; elle vise plutôt à former les auteurs de menaces aux principes fondamentaux de l'utilisation de faux CV et de la manière de répondre aux questions d'entretien afin de décrocher un emploi légitime et de mener des activités liées à l'espionnage. Les fausses identités constituent un sujet de préoccupation croissant sur des plateformes telles que LinkedIn, car il est très facile de se créer une fausse identité pour travailler à distance.
2. Le bot Telegram « Telekopye » permet de mener des opérations de hameçonnage à grande échelle
De nouveaux détails sont disponibles concernant « » Telekopye (s'ouvre dans un nouvel onglet), un bot Telegram malveillant que les cybercriminels utilisent pour créer des e-mails de hameçonnage, des sites web, des SMS et bien plus encore.
Les cybercriminels à l'origine de cette opération, dont le nom de code est « Neanderthals » (s'ouvre dans un nouvel onglet), mènent cette opération sous le couvert d'une entreprise légitime dotée d'une structure hiérarchique dans laquelle les membres assument divers rôles.
Comment les Néandertaliens s'intègrent-ils à un groupe ?
Telekopye recrute de nouveaux Néandertaliens par le biais d'annonces diffusées sur divers canaux, notamment des forums clandestins. Ces annonces sont très directes et précisent que le but de cette embauche est d'escroquer les utilisateurs des sites de vente en ligne.
Les candidats à la sélection des Néandertaliens doivent remplir un formulaire de candidature en précisant où ils ont entendu parler de Telekopye et quelle est leur expérience. Une fois sa demande approuvée, le Néandertalien peut commencer à utiliser Telekopye et rejoindre deux canaux : d'une part, un canal de discussion de groupe où il peut communiquer avec les autres utilisateurs et consulter les règles et les manuels, et d'autre part, un canal distinct où sont conservés les historiques des transactions.
Types d'escroqueries « Telekopye »
Il existe trois principaux scénarios d'escroquerie mis en œuvre par Telekopye : l'escroquerie du vendeur, l'escroquerie de l'acheteur et l'escroquerie au remboursement.
- d'arnaque au vendeur : dans cette arnaque, le « Néandertalien » se fait passer pour un vendeur et tente de piéger les utilisateurs afin qu'ils achètent et paient un article inexistant. L'utilisateur reçoit un lien vers un site web de hameçonnage créé par Telekopye. Ce lien imite une page de paiement de la plateforme de vente en ligne légitime, mais vous demande vos identifiants de banque en ligne, les détails de votre carte bancaire ou d'autres informations sensibles.
- d'escroquerie à l'acheteur : ici, le « néandertalien » se fait passer pour l'acheteur. Ils manifesteront de l'intérêt pour un article mis en vente et prétendront l'avoir déjà payé. Le « Néandertalien » envoie au vendeur des e-mails ou des SMS générés par Telekopye, contenant un lien vers un site de hameçonnage sur lequel il est indiqué qu’il faut cliquer pour que le vendeur puisse recevoir son argent de la part de la plateforme. Le reste de cette arnaque est très similaire à celle du vendeur.
- d'escroquerie au remboursement : le « Néandertalien » va créer une situation dans laquelle le vendeur s'attend à recevoir un remboursement. Ils enverront ensuite un e-mail de hameçonnage contenant un lien vers un autre site de hameçonnage qui sert le même objectif que les escroqueries précédentes. Soit le « Néandertalien » enverra cet e-mail à des vendeurs qu’il n’a pas contactés auparavant, en comptant sur leur cupidité pour qu’ils perçoivent le remboursement, soit il combinera cette technique avec le scénario d’escroquerie visant les vendeurs. Dans ce dernier cas, lorsque l'acheteur affirme ne pas avoir reçu l'article qu'il a acheté, le « Néandertalien » lui envoie des e-mails de hameçonnage sous prétexte de remboursement afin de l'escroquer une deuxième fois.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Comme le souligne ESET, les escroqueries sur les places de marché en ligne ne sont pas près de disparaître. Cette opération repose en grande partie sur la capacité d’un « Néandertalien » à gagner la confiance de sa victime avant de tenter d’acheter, de vendre ou de rembourser des articles. Cette organisation très professionnelle de l’opération est intéressante, car ils ne recrutent que des personnes véritablement qualifiées pour ce poste, capables d’établir une relation de confiance avec les victimes dans différentes langues.
3. Des acteurs malveillants liés à la RPDC ciblent macOS dans le cadre de deux campagnes
Des acteurs malveillants liés à la Corée du Nord ont mené, depuis le début de l'année, deux campagnes de « » de grande envergure visant les utilisateurs de macOS (s'ouvre dans un nouvel onglet) , notamment les campagnes RustBucket et KandyKorn. Les auteurs de ces attaques semblent désormais combiner des éléments issus de ces deux opérations.
À propos de RustBucket et KandyKorn
La campagne « RustBucket » originale a fait son apparition pour la première fois dans « avril 2023 », en utilisant un logiciel malveillant de deuxième phase appelé « SwiftLoader ». Ce logiciel malveillant se présentait, en apparence, comme un lecteur de fichiers PDF permettant de visualiser un document servant d'appât, qui était envoyé aux cibles. Il était chargé de récupérer et d'exécuter une étape supplémentaire du logiciel malveillant écrit en Rust.
La campagne KandyKorn constituait une opération en plusieurs étapes bien plus élaborée. Cette attaque visait les ingénieurs spécialisés dans la blockchain d'une plateforme d'échange de cryptomonnaies et utilisait des scripts Python pour implanter un logiciel malveillant qui prenait le contrôle de l'application Discord installée sur l'ordinateur de la victime. Il a également diffusé un cheval de Troie d'accès à distance (RAT) de type « porte dérobée » appelé KandyKorn.
Une étude publiée fin octobre 2023 a détaillé une campagne menée par des acteurs malveillants liés à la RPDC (s'ouvre dans un nouvel onglet) , qui comportait une attaque en cinq étapes. L'attaque a débuté par une manœuvre d'ingénierie sociale visant à inciter les utilisateurs de Discord à télécharger une application Python malveillante déguisée en bot d'arbitrage de cryptomonnaies. Cette application Python a été fournie sous la forme d'un fichier intitulé « Cross-Platform Bridges.zip » et comprenait plusieurs scripts Python inoffensifs.
Activité récente de RustBucket
À première vue, la campagne « RustBucket » semble être une campagne tout à fait différente. L'attaque impliquait dans un premier temps un applet AppleScript de première étape et un ensemble d'applications basé sur Swift, intitulé « Internal PDF Viewer.app », qui utilisait des fichiers PDF spécialement créés pour déverrouiller un code permettant de télécharger une charge utile écrite en Rust. Plusieurs autres variantes de RustBucket ont été observées en milieu réel depuis la première campagne RustBucket, ainsi que plusieurs variantes du stager basé sur Swift, qui ont été collectivement baptisées « SwiftLoader ».
Le lien entre SwiftLoader et KandyKorn
Plusieurs versions de SwiftLoader ont été observées en circulation. L'une des versions est diffusée dans un fichier appât intitulé « crypto-assets and their risks for financial stability[.]app[.]zip ». L'application est signée et certifiée par Apple, son identifiant de bundle est « com.EdoneViewer » et son exécutable principal est « EdoneViewer ». Cette version de SwiftLoader présente certains points communs intéressants avec l'opération KandyKorn.
L'analyse du fichier exécutable principal, EdoneViewer, montre qu'il contient une URL codée en dur. Le logiciel malveillant se connectera à un domaine spécifique et déposera un fichier exécutable caché dans le répertoire /users/shared/.pw. Le script Python « KandyKorn » a accédé à sa phase suivante en récupérant un logiciel malveillant hébergé sur un domaine similaire, puis a déposé des fichiers cachés à un emplacement similaire. De même, une variante du RAT KandyKorn a été découverte, portant le même nom de fichier qu'un fichier SwiftLoader extrait de son C2.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'analyse de Sentinel One établit des liens entre deux campagnes déjà signalées, menées par des acteurs malveillants proches de la Corée du Nord. Leurs conclusions révèlent que ces acteurs malveillants partagent probablement des droppers « RustBucket » et des charges utiles « KandyKorn ». Bien que leur analyse ne révèle pas beaucoup de nouvelles techniques, tactiques et procédures (TTP), elle met en évidence à quel point il est courant que les acteurs malveillants partagent des logiciels malveillants, ce qui leur permet d'améliorer leur niveau de maturité global.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , pour lancer une discussion. Pour en savoir plus, consultez nos derniers résumés d’informations sur les cybermenaces publiés sur .
