Attention aux utilisateurs de macOS : les pirates nord-coréens à l’affût

Dans une récente révélation, Elastic Security Labs a découvert une cyber-intrusion sophistiquée de pirates nord-coréens soupçonnés d’être associés au groupe Lazarus.

Cet incident, identifié comme REF7001, impliquait l’utilisation d’un nouveau malware macOS nommé Kandykorn, spécialement conçu pour cibler les ingénieurs blockchain impliqués dans les plateformes d’échange de cryptomonnaies.

Les pirates nord-coréens ciblent les ingénieurs en cryptographie avec des logiciels malveillants distribués par Discord

Elastic Security Labs a révélé une cyber-intrusion sophistiquée menée par des pirates informatiques nord-coréens soupçonnés d’être associés au célèbre groupe Lazarus. Cet incident, qui ciblait les ingénieurs blockchain impliqués dans les plateformes d’échange de cryptomonnaies, utilisait un programme Python trompeur se faisant passer pour un robot d’arbitrage de cryptomonnaies.

Ce qui distingue cette attaque, c’est sa méthode de distribution : les attaquants ont distribué le malware via un message privé sur un serveur Discord public, ce qui est atypique pour les tactiques d’intrusion macOS.

« La victime pensait qu’elle installait un robot d’arbitrage, un outil logiciel capable de profiter des différences de taux de cryptomonnaie entre les plateformes », ont expliqué les chercheurs d’Elastic Security Labs.

Après l’installation, le malware Kandykorn initie la communication avec un serveur de commande et de contrôle (C2), en utilisant RC4 crypté et en mettant en œuvre un mécanisme de prise de contact distinct. Au lieu de rechercher activement des commandes, il les attend patiemment. Cette méthode sophistiquée permet aux pirates de conserver discrètement le contrôle des systèmes compromis.

Les tactiques des logiciels malveillants de Kandykorn révèlent des liens avec le groupe Lazarus

Elastic Security Labs a fourni des informations précieuses sur les capacités de Kandykorn, démontrant sa maîtrise du téléchargement et du téléchargement de fichiers, de la manipulation de processus et de l’exécution de commandes système arbitraires. L’utilisation du chargement binaire réfléchissant, une technique d’exécution sans fichier associée au célèbre groupe Lazarus, est particulièrement préoccupante. Le groupe Lazarus est réputé pour son implication dans le vol de cryptomonnaies et son évasion des sanctions internationales.

De plus, il existe des preuves irréfutables reliant cette attaque au groupe Lazarus en Corée du Nord. La similitude des techniques, de l’infrastructure réseau, des certificats utilisés pour signer les logiciels malveillants et des méthodes personnalisées de détection des activités du groupe Lazarus indiquent toutes leur implication.

De plus, les transactions en chaîne ont révélé des liens entre les failles de sécurité chez Atomic Wallet, Alphapo, CoinsPaid, Stake.com et CoinEx. Ces connexions prouvent une fois de plus la participation du groupe Lazarus à ces exploits.

Lors d’un autre incident récent, le groupe Lazarus a tenté de compromettre les ordinateurs Apple exécutant macOS en incitant les utilisateurs à télécharger une application de trading de cryptomonnaies depuis GitHub. Une fois que les utilisateurs sans méfiance ont installé le logiciel et lui ont accordé un accès administratif, les attaquants ont obtenu une porte dérobée dans le système d’exploitation, permettant un accès à distance.

En approfondissant ces détails, Elastic Security Labs a mis en lumière les tactiques sophistiquées employées par le groupe Lazarus, soulignant l’importance de mesures de cybersécurité robustes pour se prémunir contre de telles menaces.

L’article Utilisateurs macOS, méfiez-vous : les pirates nord-coréens à l’affût apparaissent en premier sur CryptoPotato.