Lazarus Group Hack Crypto Developers, créant des dérivations dans les référentiels NPM

Lazarus Group, pirates de Corée du Nord, a créé une nouvelle campagne, ciblant les développeurs de crypto via des référentiels NPM. Ils ont introduit 6 référentiels, qui plairait aux développeurs de cryptographie et a ajouté des logiciels malveillants, pour créer des dérivations, des projets infiltrés et voler des informations d’identification. 

Le groupe de piratage utiliserait Beavertail, un package de logiciels malveillants, pour exécuter un fichier caché sur le système cible. Le malware volerait ensuite des informations d’identification en accédant aux fichiers du navigateur et en recherchant des fichiers liés aux portefeuilles de crypto-monnaie comme Exodus. Les données volées seraient ensuite envoyées à un centre de commande et de contrôle afin que les pirates puissent accéder facilement aux fichiers sensibles.

«Attribution de cette attaque», a écrit Kirill Boychenko, analyste d’ancienneté de Socket, «définitivement à Lazarus ou un copycat sophistiqué reste difficile, car l’attribution absolue est intrinsèquement difficile. Cependant, les tactiques, techniques et procédures (TTP) observées dans cette attaque de NPM s’alignent étroitement avec les opérations connues de Lazarus, largement documentées par des chercheurs de Unit42, Esesentire, Datadog, Phylum et autres depuis 2022 « .

Les référentiels NPM étaient basés sur des bibliothèques réelles, mais ont utilisé la typosquat et l’orthographe similaire pour imiter les packages populaires et faire tourner les développeurs pour les installer. Les forfaits malveillants ont été téléchargés plus de 300 fois, montrant la portée de l’attaque. 

Les six forfaits malveillants incluent:

IS-Buffer-Validator – imite la bibliothèque IS-Buffer, vole des informations d’identification.

Yoojae-Validator – faux validateur, vole des données sensibles.

Événement-handle-package – fait semblant d’être un outil de gestion des événements, mais installe une porte arrière pour l’accès à distance.

Array-Empty-Validator – Collecte le navigateur et les informations d’identification du système.

React-Event-Dépendance – fait semblant d’être une utilité React, mais compromet les environnements de développement.

AUTH-VALIDATEUR – VOLS Login et informations d’identification de l’API.

«Le groupe APT», a écrit Boychenko, «créé et maintenu des référentiels GitHub pour cinq des forfaits malveillants, prêtant une apparition de légitimité open source et augmentant la probabilité que le code nocif soit intégré aux flux de travail des développeurs».

Le malware a été conçu pour collecter des informations système, telles que le système d’exploitation, les répertoires système et le nom d’hôte, le déploiement de cette attaque à des centaines d’utilisateurs de NPM. 

« Il itère systématiquement via les profils de navigateur », a écrit Boychenko, « pour localiser et extraire des fichiers sensibles tels que les données de connexion de Chrome, Brave et Firefox, ainsi que des archives de trousseau sur macOS. Notamment, le malware cible également les portefeuilles de crypto-monnaie, extrait spécifiquement id.json de Solana et Exodus.wallet d’Exodus ».

Cette attaque fait partie de la stratégie plus large du groupe Lazare pour perturber les chaînes d’approvisionnement. Le logiciel malveillant NPM leur permet de cibler les développeurs, une partie vitale de la chaîne d’approvisionnement mondiale et de s’intégrer à l’intérieur des systèmes, des environnements de développement et des adresses cryptographiques pour poursuivre leurs attaques. Des méthodes similaires ont été utilisées pour cibler les packages PIP de GitHub et Python. 

«Surveillance continue des changements de dépendance inhabituels», a écrit Boychenko, «peut exposer des mises à jour malveillantes tout en bloquant les connexions sortantes aux critères de terminaison C2 connus empêche l’exfiltration des données. Le sandboxing code non fiable dans des environnements contrôlés et le déploiement de la protection des points de terminaison peuvent détecter un système de fichiers suspect ou des activités de réseau ». 

Boychenko soulève un point critique parce que les développeurs, en raison de délais serrés, utilisent souvent de nombreuses bibliothèques sans les vérifier complètement. La crypto-monnaie, étant décentralisée, permet aux développeurs de collaborer sur de vastes distances, mais augmente également le vecteur d’attaque des projets open source.

Selon le rapport des Nations Unies 2024, les pirates nord-coréens étaient responsables de 35% des vols de crypto-monnaie, pour un montant de crypto perdues. Les pirates représentent une nouvelle menace de sécurité, étant des acteurs de l’État, car ils peuvent utiliser leur richesse accumulée pour financer les programmes d’armes nucléaires et les améliorations de missiles balistiques.