Les d\u00e9veloppeurs de logiciels ind\u00e9pendants sont la cible d’une campagne en cours qui tire parti des leurres sur le th\u00e8me des entretiens d’embauche pour offrir des familles de logiciels malveillants multiplateformes appel\u00e9s Beavertail et InvisibleFerret.<\/p>\n
L’activit\u00e9, li\u00e9e \u00e0 la Cor\u00e9e du Nord, a \u00e9t\u00e9 nomm\u00e9e DeceptedEvelow, qui chevauche des clusters suivis sous l’interview contagieuse (aka CL-Sta-0240), Dev # Popper, Famous Chollima, Purplebravo et Tenace Pungsan. La campagne est en cours depuis au moins fin 2023.<\/p>\n
“DeceptivedEvelopment cible les d\u00e9veloppeurs de logiciels ind\u00e9pendants par le biais de phisces de lance sur les sites de chasse au travail et de freelance, visant \u00e0 voler des portefeuilles de crypto-monnaie et des informations de connexion des navigateurs et des gestionnaires de mots de passe”, la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 ESET ESET ESET dit<\/a> Dans un rapport partag\u00e9 avec le Hacker News.<\/p>\n En novembre 2024, ESET a confirm\u00e9 aux Hacker News les chevauchements entre le d\u00e9veloppement trompeur et l’interview contagieuse, le classant comme une nouvelle activit\u00e9 de groupe Lazare qui fonctionne dans le but de mener un vol de crypto-monnaie.<\/p>\n Les cha\u00eenes d’attaque sont caract\u00e9ris\u00e9es par l’utilisation de faux profils de recruteurs sur les r\u00e9seaux sociaux pour atteindre des cibles potentielles et partager avec eux des bases de code trojanis\u00e9es h\u00e9berg\u00e9es sur Github, Gitlab ou Bitbucket qui d\u00e9ploient les d\u00e9ambulations sous pr\u00e9texte d’un processus d’entrevue.<\/p>\n Les it\u00e9rations ult\u00e9rieures de la campagne se sont \u00e9tendues \u00e0 d’autres plates-formes de recherche d’emploi comme Upwork, Freelancer.com, nous travaillons \u00e0 distance, Moonlight et Crypto Jobs. Comme indiqu\u00e9 pr\u00e9c\u00e9demment, ces d\u00e9fis d’embauche impliquent g\u00e9n\u00e9ralement de corriger les bogues ou d’ajouter de nouvelles fonctionnalit\u00e9s au projet li\u00e9 \u00e0 la crypto.<\/p>\n Outre les tests de codage, le faux projette se masquera comme des initiatives de crypto-monnaie, des jeux avec la fonctionnalit\u00e9 blockchain et des applications de jeu avec des fonctionnalit\u00e9s de crypto-monnaie. Plus souvent qu’autrement, le code malveillant est int\u00e9gr\u00e9 dans un composant b\u00e9nin sous la forme d’une seule ligne.<\/p>\n “En outre, ils sont invit\u00e9s \u00e0 construire et \u00e0 ex\u00e9cuter le projet afin de le tester, ce qui se produit le compromis initial”, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Mat\u011bj Havr\u00e1nek. “Les r\u00e9f\u00e9rentiels utilis\u00e9s sont g\u00e9n\u00e9ralement priv\u00e9s, de sorte que le VIC-M est d’abord invit\u00e9 \u00e0 fournir leur identifiant de compte ou leur adresse e-mail \u00e0 leur accueillir, les plus susceptibles de cacher l’activit\u00e9 malveillante aux chercheurs.”<\/p>\n Une deuxi\u00e8me m\u00e9thode utilis\u00e9e pour obtenir un compromis initial tourne autour du fait de tromper leurs victimes dans l’installation d’une plate-forme de conf\u00e9rence vid\u00e9o \u00e0 base de logiciels malveillants comme Mirotalk ou Freeconference.<\/p>\n Alors que Beavertail et InvisibleFerret sont livr\u00e9s avec des capacit\u00e9s de vol d’information, le premier sert de t\u00e9l\u00e9chargeur pour le second. Beavertail est \u00e9galement disponible en deux saveurs: une variante JavaScript qui peut \u00eatre plac\u00e9e dans les projets trojanis\u00e9s et une version native construite \u00e0 l’aide de la plate-forme QT d\u00e9guis\u00e9e en logiciel de conf\u00e9rence.<\/p>\n InvisibleFerret est un logiciel malveillant Python modulaire qui r\u00e9cup\u00e8re et ex\u00e9cute trois composants suppl\u00e9mentaires –<\/p>\n ESET a d\u00e9clar\u00e9 que les principales cibles de la campagne sont les d\u00e9veloppeurs de logiciels travaillant dans des projets de crypto-monnaie et de financement d\u00e9centralis\u00e9 \u00e0 travers le monde, avec des concentrations importantes rapport\u00e9es en Finlande, en Inde, en Italie, au Pakistan, en Espagne, en Afrique du Sud, en Russie, en Ukraine et aux \u00c9tats-Unis<\/p>\n \u00abLes attaquants ne distinguent pas sur la base de l’emplacement g\u00e9ographique et visent \u00e0 compromettre autant de victimes que possible pour augmenter la probabilit\u00e9 d’extraire avec succ\u00e8s des fonds et des informations.<\/p>\n Cela est \u00e9galement mis en \u00e9vidence dans les pratiques de codage m\u00e9diocres apparentes adopt\u00e9es par les op\u00e9rateurs, allant d’un incapacit\u00e9 \u00e0 supprimer les notes de d\u00e9veloppement aux adresses IP locales utilis\u00e9es pour le d\u00e9veloppement et les tests, indiquant que l’ensemble d’intrusion n’est pas pr\u00e9occup\u00e9 par la furtivit\u00e9.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/Les-pirates-nord-coreens-ciblent-les-developpeurs-independants-dans-lescroquerie-pour.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n\n