Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9couvert<\/a> une variante mise \u00e0 jour d’un logiciel malveillant voleur connu que des attaquants affili\u00e9s \u00e0 la R\u00e9publique populaire d\u00e9mocratique de Cor\u00e9e (RPDC) ont diffus\u00e9 dans le cadre de pr\u00e9c\u00e9dentes campagnes de cyberespionnage ciblant les demandeurs d’emploi.<\/p>\n L’artefact en question est un fichier d’image disque Apple macOS (DMG) nomm\u00e9 \u00ab MiroTalk.dmg \u00bb qui imite le service d’appel vid\u00e9o l\u00e9gitime<\/a> du m\u00eame nom, mais, en r\u00e9alit\u00e9, sert de canal pour fournir une version native de BeaverTail, selon le chercheur en s\u00e9curit\u00e9 Patrick Wardle dit<\/a>.<\/p>\n BeaverTail fait r\u00e9f\u00e9rence \u00e0 un malware de vol de code JavaScript qui a \u00e9t\u00e9 document\u00e9 pour la premi\u00e8re fois par l’unit\u00e9 42 de Palo Alto Networks en novembre 2023 dans le cadre d’une campagne baptis\u00e9e Contagious Interview qui vise \u00e0 infecter les d\u00e9veloppeurs de logiciels avec des logiciels malveillants via un pr\u00e9tendu processus d’entretien d’embauche. Securonix suit la m\u00eame activit\u00e9 sous le nom de DEV#POPPER.<\/p>\n En plus de siphonner des informations sensibles \u00e0 partir des navigateurs Web et des portefeuilles cryptographiques, le malware est capable de fournir des charges utiles suppl\u00e9mentaires comme InvisibleFerret, une porte d\u00e9rob\u00e9e Python responsable du t\u00e9l\u00e9chargement d’AnyDesk pour un acc\u00e8s \u00e0 distance persistant.<\/p>\n Bien que BeaverTail ait \u00e9t\u00e9 distribu\u00e9 via de faux packages npm h\u00e9berg\u00e9s sur GitHub et le registre de packages npm, les derni\u00e8res d\u00e9couvertes marquent un changement dans le vecteur de distribution.<\/p>\n \u00ab Si je devais deviner, les pirates informatiques de la RPDC ont probablement approch\u00e9 leurs victimes potentielles, leur demandant de participer \u00e0 une r\u00e9union d’embauche, en t\u00e9l\u00e9chargeant et en ex\u00e9cutant la version infect\u00e9e de MiroTalk h\u00e9berg\u00e9e sur mirotalk.[.]”net”, a d\u00e9clar\u00e9 Wardle.<\/p>\n Une analyse du fichier DMG non sign\u00e9 r\u00e9v\u00e8le qu’il facilite le vol de donn\u00e9es \u00e0 partir de navigateurs Web tels que Google Chrome, Brave et Opera, de portefeuilles de cryptomonnaie et du trousseau iCloud. De plus, il est con\u00e7u pour t\u00e9l\u00e9charger et ex\u00e9cuter des scripts Python suppl\u00e9mentaires \u00e0 partir d’un serveur distant (c’est-\u00e0-dire InvisibleFerret).<\/p>\n \u00ab Les pirates informatiques nord-cor\u00e9ens sont une bande rus\u00e9e et tr\u00e8s habile \u00e0 pirater des cibles macOS, m\u00eame si leur technique repose souvent sur l’ing\u00e9nierie sociale (et donc, d’un point de vue technique, elle est plut\u00f4t peu impressionnante) \u00bb, a d\u00e9clar\u00e9 Wardle.<\/p>\n La divulgation intervient alors que Phylum d\u00e9couvert<\/a> un nouveau package npm malveillant nomm\u00e9 call-blockflow qui est pratiquement identique au package l\u00e9gitime call-bind mais qui int\u00e8gre des fonctionnalit\u00e9s complexes pour t\u00e9l\u00e9charger un fichier binaire distant tout en d\u00e9ployant des efforts minutieux pour passer sous le radar.<\/p>\n \u00ab Dans cette attaque, bien que le package call-bind n’ait pas \u00e9t\u00e9 compromis, le package call-blockflow militaris\u00e9 copie toute la confiance et la l\u00e9gitimit\u00e9 de l’original pour renforcer le succ\u00e8s de l’attaque \u00bb, a-t-il d\u00e9clar\u00e9 dans un communiqu\u00e9 partag\u00e9 avec The Hacker News.<\/p>\n Le paquet, soup\u00e7onn\u00e9 d’\u00eatre l’\u0153uvre du groupe Lazarus li\u00e9 \u00e0 la Cor\u00e9e du Nord et rendu in\u00e9dit environ une heure et demie plus tard apr\u00e8s avoir \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9 sur npm, a attir\u00e9 un total de 18 t\u00e9l\u00e9chargements<\/a>Les preuves sugg\u00e8rent que l\u2019activit\u00e9, comprenant plus de trois douzaines de packages malveillants, se d\u00e9roule par vagues depuis septembre 2023.<\/p>\n \u00ab Ces packages, une fois install\u00e9s, t\u00e9l\u00e9chargeraient un fichier distant, le d\u00e9crypteraient, ex\u00e9cuteraient une fonction export\u00e9e \u00e0 partir de celui-ci, puis couvriraient m\u00e9ticuleusement leurs traces en supprimant et en renommant les fichiers \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement en logiciels. dit<\/a>. \u00ab Cela a laiss\u00e9 le r\u00e9pertoire du package dans un \u00e9tat apparemment b\u00e9nin apr\u00e8s l’installation. \u00bb<\/p>\n Cette alerte fait \u00e9galement suite \u00e0 un avis du JPCERT\/CC, mettant en garde contre des cyberattaques orchestr\u00e9es par l’acteur nord-cor\u00e9en Kimsuky visant des organisations japonaises.<\/p>\n Le processus d’infection commence par des messages de phishing se faisant passer pour des organisations de s\u00e9curit\u00e9 et diplomatiques, et contient un ex\u00e9cutable malveillant qui, une fois ouvert, conduit au t\u00e9l\u00e9chargement d’un script Visual Basic (VBS), qui, \u00e0 son tour, r\u00e9cup\u00e8re un script PowerShell pour r\u00e9colter les informations sur les comptes d’utilisateurs, le syst\u00e8me et le r\u00e9seau, ainsi que pour \u00e9num\u00e9rer les fichiers et les processus.<\/p>\n Les informations collect\u00e9es sont ensuite exfiltr\u00e9es vers un serveur de commande et de contr\u00f4le (C2), qui r\u00e9pond avec un deuxi\u00e8me fichier VBS qui est ensuite ex\u00e9cut\u00e9 pour r\u00e9cup\u00e9rer et ex\u00e9cuter un enregistreur de frappe bas\u00e9 sur PowerShell nomm\u00e9 InfoKey.<\/p>\n \u00ab Bien qu’il y ait eu peu de rapports d’activit\u00e9s d’attaques de Kimsuky ciblant des organisations au Japon, il est possible que le Japon soit \u00e9galement activement cibl\u00e9 \u00bb, a d\u00e9clar\u00e9 JPCERT\/CC. dit<\/a>.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Des-pirates-informatiques-nord-coreens-mettent-a-jour-le-malware-BeaverTail.png\")
<\/a><\/center><\/section>\n