Le groupe de piratage lié à la Corée du Nord, BlueNoroff, utilise de fausses réunions Zoom et Microsoft Teams pour profiler les utilisateurs de crypto-monnaie avant de diffuser des logiciels malveillants.
Résumé
- BlueNoroff analyse les portefeuilles des navigateurs avant de décider quelles fausses cibles de réunion devraient recevoir sa charge utile de malware.
- Les comptes Telegram piratés aident les attaquants à contacter des pairs de confiance du secteur et à étendre la campagne jusqu'aux victimes.
- Le kit de phishing prend en charge Windows et macOS, volant les clés du navigateur, les données système et les sessions Telegram.
La société de cybersécurité JUMPSEC a déclaré avoir récupéré et analysé le code source d'un kit de phishing actif après que ses opérateurs ont exposé des cartes sources JavaScript sur une infrastructure en direct. Les fichiers montraient des leurres Zoom et Teams distincts, des outils d'analyse de portefeuille, des contrôles de l'opérateur et des chemins de diffusion de logiciels malveillants pour Windows et macOS.
L’attaque commence souvent via un compte Telegram auquel la cible fait déjà confiance. Les pirates prennent le contrôle des comptes appartenant à des contacts cryptographiques, puis envoient une invitation Calendly qui mène à un domaine de réunion similaire. JUMPSEC a décrit le système comme un pipeline de victimes reproductible, car une session Telegram volée peut aider les attaquants à contacter le groupe de cibles suivant.
BlueNoroff vérifie les portefeuilles cryptographiques avant d'envoyer des logiciels malveillants
La page de phishing commence à analyser le navigateur lorsqu'un utilisateur entre dans la fausse réunion. Il recherche les connexions du portefeuille Ethereum via EIP-6963 et les anciennes méthodes de navigateur. Il vérifie également les portefeuilles non EVM, y compris les outils Solana. Les résultats parviennent à un panneau opérateur sans alerter la victime. Cela permet aux attaquants d’identifier les portefeuilles et de choisir des cibles de plus grande valeur avant de passer à l’étape suivante.
Sous Windows, l'implant répertorie également les identifiants d'extension dans les variantes Chrome, Edge, Brave, Opera, Vivaldi et Firefox. Les opérateurs peuvent comparer ces identifiants avec des extensions de portefeuille connues telles que MetaMask. JUMPSEC a appelé cela un système qui profile les portefeuilles « avant la diffusion de logiciels malveillants ». La méthode diffère des vastes campagnes de phishing dans la mesure où les attaquants collectent des données de portefeuille avant de décider jusqu'où pousser l'intrusion.
Les faux appels Zoom et Teams renforcent la confiance
Les victimes voient d’abord une page de réunion convaincante qui demande leur nom et l’accès à la webcam. Le site envoie ensuite le flux de la caméra au panneau de contrôle de l'attaquant. Une fois la victime rejoint, l’écran affiche « en attente d’autres participants ». Un opérateur peut entrer avec une vidéo préparée, envoyer des messages tels que « votre micro ne fonctionne pas » et déclencher une fausse invite « Zoom SDK Update ».
JUMPSEC a constaté que la vidéo affichée du participant n'était pas en direct. Les attaquants ont combiné des tirs à la tête générés par l’IA avec des mouvements corporels capturés lors de réunions précédentes. Ils pourraient alors montrer une personne d’apparence familière en utilisant un compte Telegram appartenant à un contact réel. La version Teams comprenait des réactions emoji, des paramètres de l'appareil, des effets d'arrière-plan et des vérifications de portefeuille plus larges, ce qui la rend plus raffinée que le kit Zoom. Le code source contenait également une option Google Meet inachevée. JUMPSEC a déclaré que Zoom et Teams conviennent à l'attrait car tous deux utilisent des clients de bureau, ce qui rend plus crédible une mise à jour logicielle urgente.
Les logiciels malveillants ciblent à la fois Windows et macOS
Sous Windows, la commande ClickFix copiée exécute un petit chargeur PowerShell. Il télécharge un VBScript, ajoute une exclusion Microsoft Defender et redémarre Defender pour que la modification prenne effet. L'implant rassemble les détails du système, vérifie les navigateurs pour les extensions de portefeuille et recherche les fichiers Telegram Web. Il peut également recevoir des charges utiles ultérieures des opérateurs, bien que JUMPSEC n'ait pas récupéré tous les fichiers de la phase finale.
Le chemin macOS télécharge un faux programme d'installation de Zoom ou Teams pendant qu'un voleur s'exécute en arrière-plan. Les chercheurs ont trouvé des versions qui collectaient des informations système et des clés principales Chrome à partir du trousseau d'Apple. Le malware envoyait des données via un robot Telegram et pouvait télécharger une autre charge utile. JUMPSEC a retracé quatre variantes de macOS entre le 22 avril et le 15 juillet, montrant que les opérateurs n'ont cessé de modifier la boîte à outils au cours de la campagne.
La campagne s'appuie sur des escroqueries antérieures lors de réunions cryptographiques
Les résultats élargissent les recherches antérieures sur les fausses réunions de BlueNoroff. En avril, Arctic Wolf a signalé plus de 80 domaines Zoom et Teams similaires et identifié 100 cibles supplémentaires dont les médias apparaissaient sur l'infrastructure des attaquants. Il a indiqué que 80 % des cibles identifiées travaillaient dans les secteurs de la cryptographie, de la finance blockchain ou d’investissements connexes, tandis que les fondateurs et directeurs généraux représentaient 45 %.
Les attaquants nord-coréens avaient déjà utilisé des comptes Telegram compromis, des invitations à des réunions falsifiées et de fausses mises à jour logicielles pour cibler les dirigeants de la cryptographie. Un autre rapport de crypto.news décrit une campagne macOS connexe qui demandait aux victimes d'exécuter des commandes lors de faux appels. Une couverture antérieure du malware NimDoor associait également de fausses mises à jour de Zoom à des tentatives de vol d'informations d'identification du navigateur, de données de portefeuille et de fichiers Telegram.
Le dernier kit donne aux opérateurs un contrôle direct sur le rythme de chaque réunion et sur l'invite des logiciels malveillants. JUMPSEC a conseillé aux organisations de traiter avec précaution les liens de réunion provenant de comptes de confiance, car le compte de l'expéditeur peut déjà être compromis. Les équipes crypto peuvent vérifier les invitations inhabituelles via un autre canal, éviter les commandes ou les mises à jour présentées lors des appels, révoquer les sessions Telegram exposées et isoler tout appareil ayant exécuté le script demandé. Les équipes doivent également examiner l'activité PowerShell, les exclusions Defender, l'accès au trousseau et les nouvelles connexions Telegram après tout appel suspect. Une réinitialisation du mot de passe à elle seule ne peut pas supprimer les sessions volées ou les logiciels malveillants déjà exécutés sur l'appareil sur les systèmes concernés.