Les acteurs de la menace nord-cor\u00e9enne derri\u00e8re une interview contagieuse ont adopt\u00e9 la tactique de l’ing\u00e9nierie sociale de Clickfix de plus en plus populaire pour attirer les demandeurs d’emploi dans le secteur de la crypto-monnaie pour offrir une porte d\u00e9rob\u00e9e au d\u00e9part sans papiers sans documentation appel\u00e9e Golangghost sur Windows et MacOS.<\/p>\n
La nouvelle activit\u00e9, \u00e9valu\u00e9e comme une continuation de la campagne, a \u00e9t\u00e9 nomm\u00e9e Entretien de Clickfake<\/strong> par la soci\u00e9t\u00e9 fran\u00e7aise de cybers\u00e9curit\u00e9 Sekoia. L’interview contagieuse, \u00e9galement suivie comme DeceptivedEvelopment, Dev # Popper et Famous Chollima, est connue pour \u00eatre active depuis au moins d\u00e9cembre 2022, bien qu’elle ait \u00e9t\u00e9 publiquement document\u00e9e pour la premi\u00e8re fois \u00e0 la fin de 2023.<\/p>\n “Il utilise des sites Web d’entretien d’emploi l\u00e9gitimes pour tirer parti de la tactique Clickfix et installer Windows et MacOS Backdoors”, les chercheurs de Sekoia Amaury G., Coline Chavane et Felix Aim\u00e9 dit<\/a>attribuant l’effort \u00e0 l’inf\u00e2me Groupe de Lazare<\/a>un adversaire prolifique attribu\u00e9 au Bureau g\u00e9n\u00e9ral de reconnaissance (RVB) de la R\u00e9publique populaire d\u00e9mocratique de Cor\u00e9e (RPDC).<\/p>\n Un aspect notable de la campagne est qu’il cible principalement les entit\u00e9s financi\u00e8res centralis\u00e9es en usurpant l’identit\u00e9 de soci\u00e9t\u00e9s comme Coinbase, Kucoin, Kraken, Circle, Securitize, BlockFi, Tether, Robinhood et Bybit, marquant un d\u00e9part des attaques du groupe de piratage contre les entit\u00e9s de finance d\u00e9centralis\u00e9es (DEFI).<\/p>\n L’interview contagieuse, comme Operation Dream Job, utilise de fausses offres d’emploi comme leurre pour attirer des cibles potentielles et les duper dans le t\u00e9l\u00e9chargement de logiciels malveillants qui peuvent voler la crypto-monnaie et d’autres donn\u00e9es sensibles.<\/p>\n Dans le cadre de l’effort, les candidats sont approch\u00e9s via LinkedIn ou X pour se pr\u00e9parer \u00e0 un interview d’appel vid\u00e9o, pour lequel ils sont invit\u00e9s \u00e0 t\u00e9l\u00e9charger un logiciel de vid\u00e9oconf\u00e9rence de logiciels malveillants ou un projet open source qui active le processus d’infection.<\/p>\n L’utilisation par le groupe de Lazarus de la tactique Clickfix a \u00e9t\u00e9 divulgu\u00e9e pour la premi\u00e8re fois vers la fin de 2024 par le chercheur en s\u00e9curit\u00e9 Taylor Monahan, les cha\u00eenes d’attaque conduisant au d\u00e9ploiement d’une famille de logiciels malveillants appel\u00e9e Ferret qui livre ensuite la porte d\u00e9rob\u00e9e de Golang.<\/p>\n Dans cette it\u00e9ration de la campagne, les victimes sont pri\u00e9es de visiter un pr\u00e9tendu service d’interview vid\u00e9o nomm\u00e9 Willo et de terminer une \u00e9valuation vid\u00e9o d’eux-m\u00eames.<\/p>\n “L’ensemble de la configuration, m\u00e9ticuleusement con\u00e7ue pour \u00e9tablir la confiance des utilisateurs, se d\u00e9roule en douceur jusqu’\u00e0 ce que l’utilisateur soit invit\u00e9 \u00e0 permettre \u00e0 sa cam\u00e9ra”, a expliqu\u00e9 Sekoia. “\u00c0 ce stade, un message d’erreur appara\u00eet indiquant que l’utilisateur doit t\u00e9l\u00e9charger un pilote pour r\u00e9soudre le probl\u00e8me. C’est l\u00e0 que l’op\u00e9rateur utilise la technique ClickFix.”<\/p>\n Les instructions donn\u00e9es \u00e0 la victime pour permettre l’acc\u00e8s \u00e0 la cam\u00e9ra ou au microphone varient en fonction du syst\u00e8me d’exploitation utilis\u00e9. Sur Windows, les cibles sont invit\u00e9es \u00e0 ouvrir l’invite de commande et \u00e0 ex\u00e9cuter une commande Curl pour ex\u00e9cuter un fichier Visual Basic Script), qui lance ensuite un script de lot pour ex\u00e9cuter Golangghost.<\/p>\n Dans le cas o\u00f9 la victime visite le site \u00e0 partir d’une machine MacOS, il est \u00e9galement invit\u00e9 \u00e0 lancer l’application Terminal et \u00e0 ex\u00e9cuter une commande curl pour ex\u00e9cuter un script shell. Le script de shell malveillant, pour sa part, ex\u00e9cute un deuxi\u00e8me script shell qui, \u00e0 son tour, ex\u00e9cute un module de voleur surnomm\u00e9 FrostyFerret (aka ChromeupDateAlert) et la porte d\u00e9rob\u00e9e.<\/p>\n FrostyFerret affiche une fausse fen\u00eatre indiquant que le navigateur Web Chrome a besoin d’acc\u00e9der \u00e0 l’appareil photo ou au microphone de l’utilisateur, apr\u00e8s quoi il affiche une invite pour entrer le mot de passe du syst\u00e8me. Les informations saisies, qu’elles soient valides ou non, sont exfiltr\u00e9es \u00e0 un emplacement Dropbox, indiquant probablement une tentative d’acc\u00e9der au cl\u00e9s iCloud \u00e0 l’aide du mot de passe vol\u00e9.<\/p>\n Golangghost est con\u00e7u pour faciliter la t\u00e9l\u00e9commande et le vol de donn\u00e9es via plusieurs commandes qui lui permettent de t\u00e9l\u00e9charger \/ t\u00e9l\u00e9charger des fichiers, d’envoyer des informations d’h\u00f4te et de voler les donn\u00e9es du navigateur Web.<\/p>\n “Il a \u00e9t\u00e9 constat\u00e9 que toutes les positions n’\u00e9taient pas li\u00e9es aux profils techniques dans le d\u00e9veloppement de logiciels”, a not\u00e9 Sekia. “Ce sont principalement des emplois de gestionnaire ax\u00e9s sur le d\u00e9veloppement des entreprises, la gestion des actifs, le d\u00e9veloppement de produits ou les sp\u00e9cialistes des finances d\u00e9centralis\u00e9s.”<\/p>\n “Il s’agit d’un changement significatif par rapport aux campagnes document\u00e9es pr\u00e9c\u00e9dentes attribu\u00e9es aux acteurs de la menace DPRC-Nexus et sur la base de fausses entretiens d’embauche, qui cibtent principalement les d\u00e9veloppeurs et les ing\u00e9nieurs logiciels.”<\/p>\n Le d\u00e9veloppement intervient alors que le Google Threat Intelligence Group (GTIG) a d\u00e9clar\u00e9 qu’il avait observ\u00e9 une augmentation du r\u00e9gime frauduleux des travailleurs informatiques en Europe, soulignant une expansion importante de leurs op\u00e9rations au-del\u00e0 des \u00c9tats-Unis.<\/p>\n L’activit\u00e9 des travailleurs informatiques implique des ressortissants nord-cor\u00e9ens qui se font passer pour des travailleurs \u00e9loign\u00e9s l\u00e9gitimes pour infiltrer les entreprises et g\u00e9n\u00e9rer des revenus illicites pour Pyongyang en violation des sanctions internationales<\/a>.<\/p>\n Une prise de conscience accrue de l’activit\u00e9, associ\u00e9e aux actes d’accusation du minist\u00e8re de la Justice am\u00e9ricaines, a provoqu\u00e9 une “expansion mondiale des op\u00e9rations des travailleurs informatiques”, a d\u00e9clar\u00e9 Google, notant qu’il a d\u00e9couvert plusieurs personnages fabriqu\u00e9s \u00e0 la recherche d’un emploi dans diverses organisations situ\u00e9es en Allemagne et au Portugal.<\/p>\n Les travailleurs informatiques ont \u00e9galement \u00e9t\u00e9 observ\u00e9s en entreprenant divers projets au Royaume-Uni en mati\u00e8re de d\u00e9veloppement Web, de d\u00e9veloppement de robots, de d\u00e9veloppement du syst\u00e8me de gestion de contenu (CMS) et de la technologie de la blockchain, falsifiant souvent leurs identit\u00e9s et pr\u00e9tendant \u00eatre d’Italie, du Japon, de la Malaisie, de Singapour, de l’Ukraine, des \u00c9tats-Unis et du Vietnam.<\/p>\n Cette tactique des travailleurs informatiques se faisant passer pour des ressortissants vietnamiens, japonais et singapouriens \u00e9tait \u00e9galement mis en \u00e9vidence<\/a> par la soci\u00e9t\u00e9 de renseignement g\u00e9r\u00e9e Nisos au d\u00e9but du mois dernier, tout en soulignant leur utilisation de GitHub pour sculpter de nouvelles personnages ou recycler le contenu du portefeuille de personnages plus \u00e2g\u00e9s pour renforcer leurs nouveaux.<\/p>\n “Les travailleurs informatiques en Europe ont \u00e9t\u00e9 recrut\u00e9s via diverses plates-formes en ligne, notamment Upwork, Telegram et Freelancer”, Jamie Collier, conseiller principal de renseignement des menaces pour l’Europe \u00e0 GTIG, dit<\/a>. “Le paiement de leurs services a \u00e9t\u00e9 facilit\u00e9 par la crypto-monnaie, le service Transferwise et Payoneer, mettant en \u00e9vidence l’utilisation de m\u00e9thodes qui obscurcissent l’origine et la destination des fonds.”<\/p>\n En plus d’utiliser les facilitateurs locaux pour les aider \u00e0 d\u00e9crocher des emplois, l’op\u00e9ration de menace d’initi\u00e9 est d’assister \u00e0 ce qui semble \u00eatre un pic des tentatives d’extorsion depuis octobre 2024, lorsqu’il est devenu public que ces travailleurs informatiques recourent \u00e0 des paiements de ran\u00e7on de leurs employeurs pour les emp\u00eacher de publier des donn\u00e9es de propri\u00e9t\u00e9 ou pour les fournir \u00e0 un concurrent. <\/p>\n Dans ce qui semble \u00eatre une autre \u00e9volution du programme, les travailleurs informatiques ciblaient d\u00e9sormais des soci\u00e9t\u00e9s qui exploitent une politique de Bring Your Propre (BYOD) en raison du fait que ces appareils sont peu susceptibles d’avoir des outils traditionnels de s\u00e9curit\u00e9 et de journalisation utilis\u00e9s dans les environnements d’entreprise.<\/p>\n “L’Europe doit se r\u00e9veiller rapidement. Bien qu’il soit dans le r\u00e9ticule des op\u00e9rations des travailleurs informatiques, trop de percevoir cela comme un probl\u00e8me am\u00e9ricain. Les changements r\u00e9cents de la Cor\u00e9e du Nord proviennent probablement des obstacles op\u00e9rationnels am\u00e9ricains, montrant l’agilit\u00e9 et la capacit\u00e9 des travailleurs de l’informatique \u00e0 s’adapter aux circonstances changeantes”, a d\u00e9clar\u00e9 Collier.<\/p>\n “Une d\u00e9cennie de diverses cyberattaques pr\u00e9c\u00e8de la derni\u00e8re augmentation de la Cor\u00e9e du Nord – du ciblage rapide et des ransomwares \u00e0 la crypto-monnaie et au compromis de la cha\u00eene d’approvisionnement. Cette innovation implacable d\u00e9montre un engagement de longue date \u00e0 financer le r\u00e9gime gr\u00e2ce aux cyber-op\u00e9rations.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/Le-groupe-Lazarus-cible-les-demandeurs-demploi-avec-une-tactique.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\nLe programme de travailleurs informatiques de la Cor\u00e9e du Nord devient actif en Europe<\/h3>\n
<\/a><\/center><\/div>\n