L’acteur de menace nord-cor\u00e9en connue sous le nom de groupe Lazare a \u00e9t\u00e9 li\u00e9 \u00e0 un implant JavaScript auparavant sans papiers nomm\u00e9 Marstech1 dans le cadre d’attaques cibl\u00e9es limit\u00e9es contre les d\u00e9veloppeurs.<\/p>\n
L’op\u00e9ration active a \u00e9t\u00e9 surnomm\u00e9e Marstech Mayhem par SecurityScoreCard, le logiciel malveillant livr\u00e9 au moyen d’un r\u00e9f\u00e9rentiel open source h\u00e9berg\u00e9 sur GitHub associ\u00e9 \u00e0 un profil nomm\u00e9 “Successfriend”. Le profil, actif depuis juillet 2024, n’est plus accessible sur la plate-forme d’h\u00e9bergement de code.<\/p>\n
L’implant est con\u00e7u pour collecter les informations du syst\u00e8me et peut \u00eatre int\u00e9gr\u00e9 dans les sites Web et les packages NPM, posant un risque de cha\u00eene d’approvisionnement. Les preuves montrent que les logiciels malveillants ont \u00e9merg\u00e9 fin d\u00e9cembre 2024. L’attaque a amass\u00e9 233 victimes confirm\u00e9es aux \u00c9tats-Unis, en Europe et en Asie.<\/p>\n
![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/Le-groupe-Lazarus-deploie-limplant-Javascript-Marstech1-dans-des-attaques.png\")
<\/a><\/center><\/div>\n“Le profil a mentionn\u00e9 la blockchain des comp\u00e9tences en ligne et d’apprentissage Web qui s’aligne sur les int\u00e9r\u00eats de Lazarus”, SecurityScorecard dit<\/a>. “L’acteur de menace commetait \u00e0 la fois des charges utiles pr\u00e9-obstru\u00e9es et obscurcies vers divers r\u00e9f\u00e9rentiels GitHub.”<\/p>\n Dans une tournure int\u00e9ressante, l’implant pr\u00e9sent dans le r\u00e9f\u00e9rentiel GitHub s’est r\u00e9v\u00e9l\u00e9 diff\u00e9rent de la version servie directement du serveur de commande et de contr\u00f4le (C2) \u00e0 74.119.194[.]129: 3000 \/ j \/ Marstech1, indiquant qu’il peut \u00eatre soumis \u00e0 un d\u00e9veloppement actif.<\/p>\n Sa principale responsabilit\u00e9 est de rechercher dans les r\u00e9pertoires de navigateur \u00e0 base de chrome dans divers syst\u00e8mes d’exploitation et de modifier les param\u00e8tres li\u00e9s \u00e0 l’extension, en particulier ceux li\u00e9s au portefeuille de crypto-monnaie Metamask. Il est \u00e9galement capable de t\u00e9l\u00e9charger des charges utiles suppl\u00e9mentaires \u00e0 partir du m\u00eame serveur sur le port 3001.<\/p>\n Certains des autres portefeuilles cibl\u00e9s par les logiciels malveillants incluent l’exode et l’atomique sur Windows, Linux et MacOS. Les donn\u00e9es captur\u00e9es sont ensuite exfiltr\u00e9es au point de terminaison C2 “74.119.194[.]129: 3000 \/ T\u00e9l\u00e9chargements. “<\/p>\n “L’introduction de l’implant marstech1, avec ses techniques d’obscuscations en couches – de l’aplatissement de flux de contr\u00f4le et de renommage dynamique variable en Javascript au d\u00e9cryptage XOR en plusieurs \u00e9tapes en Python – souligne l’approche sophistiqu\u00e9e de l’acteur de menace pour \u00e9chapper \u00e0 une analyse statique et dynamique”, la soci\u00e9t\u00e9 ” dit.<\/p>\n La divulgation intervient alors que l’avenir enregistr\u00e9 a r\u00e9v\u00e9l\u00e9 qu’au moins trois organisations dans l’espace de crypto-monnaie plus large, une soci\u00e9t\u00e9 de march\u00e9, un casino en ligne et une soci\u00e9t\u00e9 de d\u00e9veloppement de logiciels ont \u00e9t\u00e9 cibl\u00e9es dans le cadre de la campagne d’interview contagieuse entre octobre et novembre 2024.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 suit le cluster sous le nom de Purplebravo, indiquant le Travailleurs informatiques nord-cor\u00e9ens<\/a> Derri\u00e8re le programme d’emploi frauduleux se trouvent \u00e0 l’origine de la menace de cyber-espionnage. Il est \u00e9galement suivi sous les noms CL-SA-0240, c\u00e9l\u00e8bre Chollima et Tenace Pungsan.<\/p>\n “Les organisations qui embauchent sans le savoir les travailleurs informatiques nord-cor\u00e9ens peuvent \u00eatre en violation des sanctions internationales, s’exposant \u00e0 des r\u00e9percussions juridiques et financi\u00e8res”, la soci\u00e9t\u00e9 dit<\/a>. “Plus de mani\u00e8re critique, ces travailleurs agissent presque certainement comme des menaces d’initi\u00e9s, le volant d’informations propri\u00e9taires, l’introduction de baignoires ou la facilitation des cyber-op\u00e9rations plus importantes.”<\/p>\n <\/p>\n<\/a><\/center><\/div>\n