Les pirates nord-coréens ciblent les meilleures sociétés de crypto avec des logiciels malveillants cachés dans des applications d’emploi

Un groupe de piratage nord-coréen cible les travailleurs cryptographiques avec un malware à base de python déguisé dans le cadre d’un faux processus de demande d’emploi, ont déclaré les chercheurs de Cisco Talos plus tôt cette semaine.

La plupart des victimes semblent être basées en Inde, selon les signaux open-source, et semblent être des personnes ayant une expérience antérieure dans la blockchain et le crypto-monnaie. Compromis, le risque plus large reste clair: que ces efforts tentent d’accéder aux sociétés que ces personnes pourraient éventuellement se joindre.

Le malware, appelé PylangGhost, est une nouvelle variante des mêmes fonctionnalités de GolangGhost, et les deux fonctionnalités sont simplement réécrits à Python pour mieux cibler les systèmes de fenêtres.

Les systèmes Linux ne semblent pas affectés. L’acteur de menace derrière la campagne, connu sous le nom de célèbre Chollima, est actif depuis la mi-2024 et serait un groupe aligné par DPRC. tests.”

Once a target fills in basic information and answers technical questions, they’re prompted to install fake video drivers by pasting a command into their terminal, which quietly downloads and launches the Python-based RAT.

The payload is hidden in a ZIP file that includes the renamed Python interpreter (nvidia.py), a Visual Basic script to unpack the archive, and six core modules responsible for La persistance, l’empreinte digitale du système, le transfert de fichiers, l’accès à la coque à distance et le vol de données du navigateur

Le rat tire les informations d’identification de connexion, les cookies de session et les données de portefeuille à partir de plus de 80 extensions, y compris la métamasque, le phantom, le tronlink et le mot de passe-mot. Les données des paquets HTTP cryptés RC4.

Les paquets HTTP cryptés RC4 sont des données envoyées sur Internet qui sont brouillées à l’aide d’une méthode de chiffrement obsolète appelée RC4. Même si la connexion elle-même n’est pas sécurisée (HTTP), les données à l’intérieur sont cryptées, mais pas très bien, car RC4 est obsolète et facilement brisé selon les normes d’aujourd’hui.

En dépit d’être une réécriture, la structure et le nomment des conventions de pylangghost miroir de Golangghost presque exactement, suggérant que les deux étaient probablement autorisés par le même opérateur, a déclaré Cisco. Des pirates nord-coréens ciblant les développeurs de crypto avec des entreprises de coquille américaines