L’acteur de la menace li\u00e9 \u00e0 la Cor\u00e9e du Nord connu sous le nom de Neige fondue de pierre de lune <\/b>a continu\u00e9 \u00e0 envoyer des packages npm malveillants vers le registre des packages JavaScript dans le but d’infecter les syst\u00e8mes Windows, soulignant ainsi la nature persistante de leurs campagnes.<\/p>\n
Les colis en question, API Harthat<\/a> et hachage-harthat<\/a>ont \u00e9t\u00e9 publi\u00e9es le 7 juillet 2024, selon Datadog Security Labs. Les deux biblioth\u00e8ques n’ont attir\u00e9 aucun t\u00e9l\u00e9chargement et ont \u00e9t\u00e9 rapidement retir\u00e9es apr\u00e8s une courte p\u00e9riode.<\/p>\n La branche s\u00e9curit\u00e9 de l’entreprise de surveillance cloud traque l’acteur de la menace sous le nom de Stressed Pungsan, qui pr\u00e9sente des chevauchements avec un groupe d’activit\u00e9s malveillantes nord-cor\u00e9en r\u00e9cemment d\u00e9couvert, baptis\u00e9 Moonstone Sleet.<\/p>\n “Bien que le nom ressemble au Casque<\/a> npm package (un utilitaire de d\u00e9veloppement Ethereum), son contenu n’indique aucune intention de le typosquatter”, ont d\u00e9clar\u00e9 les chercheurs de Datadog Sebastian Obregoso et Zack Allen dit<\/a>. “Le package malveillant r\u00e9utilise le code d’un r\u00e9f\u00e9rentiel GitHub bien connu appel\u00e9 configuration de n\u0153ud<\/a> avec plus de 6 000 \u00e9toiles et 500 forks, connus dans npm sous le nom de config.” <\/p>\n Les cha\u00eenes d’attaque orchestr\u00e9es par le collectif adverse sont connues pour diffuser de faux fichiers d’archive ZIP via LinkedIn sous un faux nom d’entreprise ou des sites Web ind\u00e9pendants, incitant les cibles potentielles \u00e0 ex\u00e9cuter des charges utiles qui invoquent un package npm dans le cadre d’une suppos\u00e9e \u00e9valuation des comp\u00e9tences techniques.<\/p>\n \u00ab Une fois charg\u00e9, le package malveillant utilisait curl pour se connecter \u00e0 une adresse IP contr\u00f4l\u00e9e par un acteur et d\u00e9poser des charges utiles malveillantes suppl\u00e9mentaires comme SplitLoader \u00bb, a not\u00e9 Microsoft en mai 2024. \u00ab Lors d’un autre incident, Moonstone Sleet a livr\u00e9 un chargeur npm malveillant qui a conduit au vol d’informations d’identification de LSASS. \u00bb<\/p>\n Des d\u00e9couvertes ult\u00e9rieures de Checkmarx ont r\u00e9v\u00e9l\u00e9 que Moonstone Sleet avait \u00e9galement tent\u00e9 de diffuser ses packages via le registre npm.<\/p>\n Les packages nouvellement d\u00e9couverts sont con\u00e7us pour ex\u00e9cuter un script de pr\u00e9-installation sp\u00e9cifi\u00e9 dans le fichier package.json, qui, \u00e0 son tour, v\u00e9rifie s’il s’ex\u00e9cute sur un syst\u00e8me Windows (\u00ab Windows_NT \u00bb), apr\u00e8s quoi il contacte un serveur externe (\u00ab 142.111.77 \u00bb).[.]196″) pour t\u00e9l\u00e9charger un fichier DLL qui se charge lat\u00e9ralement \u00e0 l’aide de binaire rundll32.exe<\/a>.<\/p>\n La DLL malveillante, quant \u00e0 elle, n’effectue aucune action malveillante, ce qui sugg\u00e8re soit un essai de son infrastructure de livraison de charge utile, soit qu’elle a \u00e9t\u00e9 pouss\u00e9e par inadvertance vers le registre avant d’y int\u00e9grer du code malveillant.<\/p>\n Cette \u00e9volution intervient alors que le Centre national de cybers\u00e9curit\u00e9 de Cor\u00e9e du Sud (NCSC) averti<\/a> des cyberattaques lanc\u00e9es par des groupes de menaces nord-cor\u00e9ens connus sous le nom d’Andariel et de Kimsuky pour diffuser des familles de logiciels malveillants tels que Dora RAT et TrollAgent (alias Troll Stealer) dans le cadre de campagnes d’intrusion visant les secteurs de la construction et des machines dans le pays.<\/p>\n La s\u00e9quence d’attaque Dora RAT est remarquable dans la mesure o\u00f9 les pirates d’Andariel ont exploit\u00e9 les vuln\u00e9rabilit\u00e9s du m\u00e9canisme de mise \u00e0 jour d’un logiciel VPN domestique pour propager le malware.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Les-pirates-informatiques-nord-coreens-Moonstone-Sleet-diffusent-des-packages-JS.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n