Les acteurs mena\u00e7ants li\u00e9s \u00e0 la Cor\u00e9e du Nord repr\u00e9sentent un tiers de toutes les activit\u00e9s de phishing ciblant le Br\u00e9sil depuis 2020, l’\u00e9mergence du pays en tant que puissance influente ayant attir\u00e9 l’attention des groupes de cyberespionnage.<\/p>\n
“Des acteurs soutenus par le gouvernement nord-cor\u00e9en ont cibl\u00e9 le gouvernement br\u00e9silien et les secteurs br\u00e9siliens de l’a\u00e9rospatiale, de la technologie et des services financiers”, ont d\u00e9clar\u00e9 les divisions Mandiant et Threat Analysis Group (TAG) de Google. dit<\/a> dans un rapport conjoint publi\u00e9 cette semaine.<\/p>\n “Tout comme leurs int\u00e9r\u00eats dans d’autres r\u00e9gions, les soci\u00e9t\u00e9s de cryptomonnaie et de technologie financi\u00e8re ont fait l’objet d’une attention particuli\u00e8re, et au moins trois groupes nord-cor\u00e9ens ont cibl\u00e9 les soci\u00e9t\u00e9s br\u00e9siliennes de cryptomonnaie et de technologie financi\u00e8re.”<\/p>\n Parmi ces groupes, l’un des plus importants est un acteur malveillant identifi\u00e9 sous le nom d’UNC4899 (alias Jade Sleet, PUKCHONG et TraderTraitor), qui a cibl\u00e9 les professionnels de la cryptomonnaie avec une application Python trojanis\u00e9e contenant des logiciels malveillants.<\/p>\n Les cha\u00eenes d\u2019attaque consistent \u00e0 atteindre des cibles potentielles via les r\u00e9seaux sociaux et \u00e0 envoyer un document PDF inoffensif contenant une description de poste pour une pr\u00e9tendue opportunit\u00e9 d\u2019emploi dans une soci\u00e9t\u00e9 de cryptomonnaie bien connue.<\/p>\n Si la cible exprime son int\u00e9r\u00eat pour l’offre d’emploi, l’acteur malveillant donne suite en envoyant un deuxi\u00e8me document PDF inoffensif contenant un questionnaire de comp\u00e9tences et des instructions pour effectuer une mission de codage en t\u00e9l\u00e9chargeant un projet depuis GitHub.<\/p>\n “Le projet \u00e9tait une application Python trojanis\u00e9e permettant de r\u00e9cup\u00e9rer les prix des cryptomonnaies, qui a \u00e9t\u00e9 modifi\u00e9e pour atteindre un domaine contr\u00f4l\u00e9 par un attaquant afin de r\u00e9cup\u00e9rer une charge utile de deuxi\u00e8me \u00e9tape si des conditions sp\u00e9cifiques \u00e9taient remplies”, ont d\u00e9clar\u00e9 les chercheurs de Mandiant et de TAG.<\/p>\n Ce n\u2019est pas la premi\u00e8re fois que l\u2019UNC4899, attribu\u00e9 au piratage JumpCloud de 2023, exploite cette approche. En juillet 2023, GitHub a mis en garde contre une attaque d\u2019ing\u00e9nierie sociale visant \u00e0 inciter les employ\u00e9s travaillant dans des soci\u00e9t\u00e9s de blockchain, de crypto-monnaie, de jeux d\u2019argent en ligne et de cybers\u00e9curit\u00e9 \u00e0 ex\u00e9cuter du code h\u00e9berg\u00e9 dans un r\u00e9f\u00e9rentiel GitHub \u00e0 l\u2019aide de faux packages NPM.<\/p>\n Les campagnes d’ing\u00e9nierie sociale sur le th\u00e8me de l’emploi sont un th\u00e8me r\u00e9current parmi les groupes de hackers nord-cor\u00e9ens, le g\u00e9ant de la technologie ayant \u00e9galement rep\u00e9r\u00e9 une campagne orchestr\u00e9e par un groupe qu’il suit sous le nom de PAEKTUSAN pour diffuser un malware t\u00e9l\u00e9chargeur C++ appel\u00e9 AGAMEMNON via des pi\u00e8ces jointes Microsoft Word int\u00e9gr\u00e9es dans des e-mails de phishing. .<\/p>\n “Par exemple, PAEKTUSAN a cr\u00e9\u00e9 un compte se faisant passer pour le directeur des ressources humaines d’une entreprise a\u00e9rospatiale br\u00e9silienne et l’a utilis\u00e9 pour envoyer des e-mails de phishing aux employ\u00e9s d’une deuxi\u00e8me entreprise a\u00e9rospatiale br\u00e9silienne”, ont not\u00e9 les chercheurs, ajoutant que les campagnes sont coh\u00e9rentes avec une activit\u00e9 de longue date. suivi comme Operation Dream Job.<\/p>\n “Dans une campagne distincte, PAEKTUSAN s’est fait passer pour un recruteur d’une grande entreprise a\u00e9rospatiale am\u00e9ricaine et a contact\u00e9 des professionnels au Br\u00e9sil et dans d’autres r\u00e9gions par courrier \u00e9lectronique et sur les r\u00e9seaux sociaux au sujet d’opportunit\u00e9s d’emploi potentielles.”<\/p>\n Google a en outre d\u00e9clar\u00e9 avoir bloqu\u00e9 les tentatives d’un autre groupe nord-cor\u00e9en baptis\u00e9 PRONTO visant \u00e0 cibler les diplomates avec des leurres li\u00e9s \u00e0 la d\u00e9nucl\u00e9arisation et \u00e0 l’actualit\u00e9 pour les inciter \u00e0 visiter des pages de collecte d’informations d’identification ou \u00e0 fournir leurs informations de connexion afin de visualiser un suppos\u00e9 document PDF.<\/p>\n Cette \u00e9volution intervient quelques semaines apr\u00e8s que Microsoft a mis en lumi\u00e8re un acteur malveillant d’origine nord-cor\u00e9enne jusqu’alors non document\u00e9, nomm\u00e9 Moonstone Sleet, qui a cibl\u00e9 des individus et des organisations dans les secteurs des logiciels et des technologies de l’information, de l’\u00e9ducation et de la base industrielle de la d\u00e9fense avec des attaques de ransomware et d’espionnage. .<\/p>\n Parmi les tactiques remarquables de Moonstone Sleet figure la distribution de logiciels malveillants via des packages NPM contrefaits. publi\u00e9 sur le registre npm<\/a>, refl\u00e9tant celui de UNC4899. Cela dit, les packages associ\u00e9s aux deux clusters portent des styles et des structures de code distincts.<\/p>\n “Les packages de Jade Sleet, d\u00e9couverts tout au long de l’\u00e9t\u00e9 2023, ont \u00e9t\u00e9 con\u00e7us pour fonctionner par paires, chaque paire \u00e9tant publi\u00e9e par un compte utilisateur npm distinct pour distribuer leurs fonctionnalit\u00e9s malveillantes”, ont d\u00e9clar\u00e9 les chercheurs de Checkmarx, Tzachi Zornstein et Yehuda Gelb. dit<\/a>.<\/p>\n \u00ab En revanche, les packages publi\u00e9s fin 2023 et d\u00e9but 2024 ont adopt\u00e9 une approche de package unique plus rationalis\u00e9e qui ex\u00e9cuterait sa charge utile imm\u00e9diatement apr\u00e8s l’installation. Au deuxi\u00e8me trimestre 2024, les packages sont devenus plus complexes, les attaquants ajoutant de l’obscurcissement et ayant il cible \u00e9galement les syst\u00e8mes Linux.<\/p>\n Quelles que soient les diff\u00e9rences, cette tactique abuse de la confiance que les utilisateurs accordent aux r\u00e9f\u00e9rentiels open source, permettant aux acteurs de la menace d’atteindre un public plus large et augmentant la probabilit\u00e9 qu’un de leurs packages malveillants soit install\u00e9 par inadvertance par des d\u00e9veloppeurs involontaires.<\/p>\n La divulgation est importante, notamment parce qu’elle marque une expansion du m\u00e9canisme de distribution de logiciels malveillants de Moonstone Sleet, qui reposait auparavant sur la diffusion de faux packages NPM via LinkedIn et des sites Web ind\u00e9pendants.<\/p>\n Ces r\u00e9sultats font \u00e9galement suite \u00e0 la d\u00e9couverte d’une nouvelle campagne d’ing\u00e9nierie sociale entreprise par le groupe Kimsuky, li\u00e9 \u00e0 la Cor\u00e9e du Nord, dans laquelle il a usurp\u00e9 l’identit\u00e9 de l’agence de presse Reuters pour cibler des militants nord-cor\u00e9ens des droits de l’homme afin de diffuser des logiciels malveillants volant des informations sous couvert d’une demande d’interview, selon \u00e0 G\u00e9niens<\/a>.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/Des-pirates-nord-coreens-ciblent-la-Fintech-bresilienne-avec-des-tactiques.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n