L’acteur de menace en la Cor\u00e9e du Nord connue sous le nom de Scarcruft aurait \u00e9t\u00e9 \u00e0 l’origine d’un outil de surveillance Android in\u00e9dite nomm\u00e9 nomm\u00e9 Kospy<\/strong> ciblant les utilisateurs cor\u00e9ens et anglophones.<\/p>\n Lookout, qui a partag\u00e9 les d\u00e9tails de la campagne de logiciels malveillants, a d\u00e9clar\u00e9 que les premi\u00e8res versions remontent \u00e0 mars 2022. Les \u00e9chantillons les plus r\u00e9cents ont \u00e9t\u00e9 signal\u00e9s en mars 2024. Il n’est pas clair \u00e0 quel point ces efforts ont r\u00e9ussi.<\/p>\n “Kospy peut collecter des donn\u00e9es \u00e9tendues, telles que les messages SMS, les journaux d’appels, l’emplacement, les fichiers, l’audio et les captures d’\u00e9cran via des plugins charg\u00e9s dynamiquement”, la soci\u00e9t\u00e9 dit<\/a> dans une analyse.<\/p>\n Les artefacts malveillants se masquent comme applications utilitaires sur le Google Play Store officiel, en utilisant le gestionnaire de fichiers, le gestionnaire de t\u00e9l\u00e9phone, le gestionnaire intelligent, le service de mise \u00e0 jour de logiciel et la s\u00e9curit\u00e9 de Kakao pour inciter les utilisateurs sans m\u00e9fiance \u00e0 infecter leurs propres appareils.<\/p>\n Toutes les applications identifi\u00e9es offrent la fonctionnalit\u00e9 promise pour \u00e9viter d’\u00e9lever des suspicions tout en d\u00e9ploiant furtivement des composants li\u00e9s aux logiciels espions en arri\u00e8re-plan. Les applications ont depuis \u00e9t\u00e9 supprim\u00e9es du march\u00e9 des applications.<\/p>\n Scarcruft, \u00e9galement appel\u00e9 APT27 et Reaper, est un groupe de cyber-espionnage parrain\u00e9 par l’\u00c9tat nord-cor\u00e9en actif depuis 2012. Des cha\u00eenes d’attaque orchestr\u00e9es par le groupe tirent principalement R\u00e9colter les donn\u00e9es sensibles<\/a> \u00e0 partir des syst\u00e8mes Windows. Rokrat a depuis \u00e9t\u00e9 adapt\u00e9 pour cibler MacOS et Android. <\/p>\n Les applications Android malveillantes, une fois install\u00e9es, sont con\u00e7ues pour contacter une base de donn\u00e9es Cloud Firestore Firestore Firebase pour r\u00e9cup\u00e9rer une configuration contenant l’adresse du serveur de commande et de contr\u00f4le (C2).<\/p>\n En utilisant un service l\u00e9gitime comme Firestore comme Resolver de chute morte<\/a>L’approche C2 en deux \u00e9tapes offre \u00e0 la fois la flexibilit\u00e9 et la r\u00e9silience, permettant \u00e0 l’acteur de menace de modifier l’adresse C2 \u00e0 tout moment et de fonctionner non d\u00e9tect\u00e9.<\/p>\n “Apr\u00e8s avoir r\u00e9cup\u00e9r\u00e9 l’adresse C2, Kospy garantit que l’appareil n’est pas un \u00e9mulateur et que la date actuelle est pass\u00e9e \u00e0 la date d’activation cod\u00e9e en dur”, a d\u00e9clar\u00e9 Lookout. “Cette v\u00e9rification de la date d’activation garantit que le logiciel espion ne r\u00e9v\u00e8le pas son intention malveillante pr\u00e9matur\u00e9ment.”<\/p>\n Kospy est capable de t\u00e9l\u00e9charger des plugins suppl\u00e9mentaires ainsi que des configurations afin de r\u00e9pondre \u00e0 ses objectifs de surveillance. La nature exacte du plugin reste inconnue car les serveurs C2 ne sont plus actifs ou ne r\u00e9pondent pas aux demandes des clients.<\/p>\n Le malware est con\u00e7u pour collecter une large gamme de donn\u00e9es \u00e0 partir de l’appareil compromis, y compris les messages SMS, les journaux d’appels, l’emplacement de l’appareil, les fichiers dans le stockage local, les captures d’\u00e9cran, les cl\u00e9s, les informations r\u00e9seau Wi-Fi et la liste des applications install\u00e9es. Il est \u00e9galement \u00e9quip\u00e9 pour enregistrer l’audio et prendre des photos.<\/p>\n Lookout a d\u00e9clar\u00e9 avoir identifi\u00e9 des infrastructures qui se chevauchent entre la campagne Kospy et celles pr\u00e9c\u00e9demment li\u00e9es \u00e0 un autre groupe de piratage nord-cor\u00e9en appel\u00e9 Kimsuky (alias APT43).<\/p>\n La divulgation intervient alors que Socket a d\u00e9couvert un ensemble de six packages NPM qui sont con\u00e7us pour d\u00e9ployer un logiciel malveillant connu de l’observation de l’information appel\u00e9e Beavertail, qui est li\u00e9e \u00e0 une campagne nord-cor\u00e9enne en cours suivie comme une interview contagieuse. La liste des packages d\u00e9sormais \u00e9limin\u00e9s est ci-dessous –<\/p>\n Les packages sont con\u00e7us pour collecter les d\u00e9tails de l’environnement syst\u00e8me, ainsi que les informations d’identification stock\u00e9es dans des navigateurs Web tels que Google Chrome, Brave et Mozilla Firefox. Il cible \u00e9galement les portefeuilles de crypto-monnaie, extrait id.json de Solana et Exodus.wallet d’Exodus. <\/p>\n “Les six nouveaux packages – ont collectivement t\u00e9l\u00e9charg\u00e9 plus de 330 fois – imitent \u00e9troitement les noms de biblioth\u00e8ques largement fiables, utilisant une tactique de typosquat bien connue utilis\u00e9e par les acteurs de la menace li\u00e9s \u00e0 Lazarus pour tromper les d\u00e9veloppeurs”, a d\u00e9clar\u00e9 le chercheur de socket Kirill Boychenko dit<\/a>.<\/p>\n “De plus, le groupe APT a cr\u00e9\u00e9 et maintenu les r\u00e9f\u00e9rentiels GitHub pour cinq des packages malveillants, pr\u00eatant une apparition de la l\u00e9gitimit\u00e9 open source et augmentant la probabilit\u00e9 que le code nocif soit int\u00e9gr\u00e9 aux flux de travail des d\u00e9veloppeurs.”<\/p>\n Les r\u00e9sultats suivent \u00e9galement la d\u00e9couverte d’une nouvelle campagne qui a \u00e9t\u00e9 trouv\u00e9e ciblant le secteur des crypto-monnaies avec un malware macOS bas\u00e9 sur la rouille appel\u00e9e Rustdoor (alias Thiefbucket) et une variante macOS non document\u00e9e d’une famille de malware connue sous le nom de Stealer Koi.<\/p>\n L’unit\u00e9 42 de Palo Alto Networks a d\u00e9clar\u00e9 que les caract\u00e9ristiques des attaquants ont des similitudes avec une entrevue contagieuse et qu’elle \u00e9value avec une confiance moyenne que l’activit\u00e9 a \u00e9t\u00e9 men\u00e9e au nom du r\u00e9gime nord-cor\u00e9en.<\/p>\n Plus pr\u00e9cis\u00e9ment, la cha\u00eene d’attaque implique l’utilisation d’un faux projet d’entrevue d’emploi qui, lorsqu’il est ex\u00e9cut\u00e9 via Microsoft Visual Studio, tente de t\u00e9l\u00e9charger et d’ex\u00e9cuter Rustdoor. Le malware proc\u00e8de ensuite \u00e0 voler les mots de passe de l’extension LastPass Google Chrome, \u00e0 exfilter les donn\u00e9es \u00e0 un serveur externe et \u00e0 t\u00e9l\u00e9charger deux scripts de bash suppl\u00e9mentaires pour ouvrir un shell invers\u00e9.<\/p>\n La derni\u00e8re \u00e9tape de l’infection implique la r\u00e9cup\u00e9ration et l’ex\u00e9cution d’une autre charge utile, une version macOS de KOI Stealer qui imite Visual Studio pour inciter les victimes \u00e0 entrer dans leur mot de passe du syst\u00e8me, lui permettant ainsi de recueillir et d’exfiltrer les donn\u00e9es de la machine.<\/p>\n “Cette campagne met en \u00e9vidence les risques auxquels les organisations dans le monde sont confront\u00e9es \u00e0 partir d’attaques \u00e9labor\u00e9es d’ing\u00e9nierie sociale con\u00e7ues pour infiltrer les r\u00e9seaux et voler des donn\u00e9es sensibles et des crypto-monnaies”, les chercheurs en s\u00e9curit\u00e9 Adva Gabay et Daniel Frank dit<\/a>. “Ces risques sont amplifi\u00e9s lorsque l’agresseur est un acteur de menace nationale, par rapport \u00e0 un cybercriminal purement motiv\u00e9.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Scarcruft-de-la-Coree-du-Nord-deploie-des-logiciels-malveillants.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\nL’interview contagieuse se manifeste comme packages NPM<\/h2>\n
\n
La campagne nord-cor\u00e9enne utilise Rustdoor et Koi Stealer<\/h2>\n
<\/a><\/center><\/div>\n<\/a><\/div>\n