Les acteurs de la menace nord-cor\u00e9enne derri\u00e8re la campagne d’interview contagieuse en cours diffusent leurs tentacules sur l’\u00e9cosyst\u00e8me du NPM en publiant plus de forfaits malveillants qui livrent le malware de Beavertail, ainsi qu’un nouveau chargeur de trojan (rat) \u00e0 acc\u00e8s \u00e0 distance.<\/p>\n
“Ces derniers \u00e9chantillons utilisent le codage des cha\u00eenes hexad\u00e9cimales pour \u00e9chapper aux syst\u00e8mes de d\u00e9tection automatis\u00e9s et aux audits de code manuel, signalant une variation des techniques d’obscurcissement des acteurs de la menace”, chercheur \u00e0 la s\u00e9curit\u00e9 de Socket Kirill Boychenko dit<\/a> dans un rapport.<\/p>\n Les forfaits en question, qui ont \u00e9t\u00e9 collectivement t\u00e9l\u00e9charg\u00e9s plus de 5 600 fois avant leur retrait, sont r\u00e9pertori\u00e9s ci-dessous –<\/p>\n La divulgation survient pr\u00e8s d’un mois apr\u00e8s qu’un ensemble de six packages NPM a \u00e9t\u00e9 d\u00e9couvert en distribuant Queue \u00e0 queue<\/a>un Voleur javascript<\/a> C’est \u00e9galement capable de livrer une porte d\u00e9rob\u00e9e bas\u00e9e sur Python surnomm\u00e9e InvisibleFerret.<\/p>\n L’objectif final de la campagne est d’infiltrer les syst\u00e8mes de d\u00e9veloppeurs sous le couvert d’un processus d’entrevue d’emploi, de voler des donn\u00e9es sensibles, de siphon des actifs financiers et de maintenir un acc\u00e8s \u00e0 long terme \u00e0 des syst\u00e8mes compromis.<\/p>\n Les biblioth\u00e8ques NPM nouvellement identifi\u00e9es se masquent comme des utilitaires et des d\u00e9buggeurs, avec l’une d’entre elles – Dev-Debugger-vite – en utilisant une adresse de commandement et de contr\u00f4le (C2) pr\u00e9c\u00e9demment signal\u00e9e par SecurityScoreCard, utilis\u00e9 par le groupe Lazarus dans un circuit de Campe-nomm\u00e9 de la campagne en d\u00e9cembre 2024.<\/p>\n Ce qui fait que ces packages se d\u00e9marquent, c’est que certains d’entre eux, tels que les \u00e9v\u00e9nements-Utils et Icloud-Cod, sont li\u00e9s aux r\u00e9f\u00e9rentiels Bitbucket, par opposition \u00e0 GitHub. De plus, le package iCloud-Cod s’est av\u00e9r\u00e9 \u00eatre h\u00e9berg\u00e9 dans un r\u00e9pertoire nomm\u00e9 “eiwork_hire<\/a>“R\u00e9it\u00e9rant l’utilisation par l’acteur de menace de th\u00e8mes li\u00e9s aux entretiens pour activer l’infection.<\/p>\n Une analyse des packages, CLN-Logger, Node-Clog, Consolidated-Log et Consolidate-Logger, a \u00e9galement d\u00e9couvert des variations mineures au niveau du code, indiquant que les attaquants publient plusieurs variantes de logiciels malveillants dans le but d’augmenter le taux de r\u00e9ussite de la campagne.<\/p>\n Quelles que soient les modifications, le code malveillant int\u00e9gr\u00e9 dans les quatre packages fonctionne comme un chargeur de Troie (rat) d’acc\u00e8s \u00e0 distance capable de propager une charge utile \u00e0 la prochaine \u00e9tape d’un serveur distant.<\/p>\n “Les acteurs contagieux de la menace d’entrevue continuent de cr\u00e9er de nouveaux comptes NPM et de d\u00e9ployer du code malveillant sur des plateformes comme le registre du NPM, Github et Bitbucket, d\u00e9montrant leur persistance et ne montrant aucun signe de ralentissement”, a d\u00e9clar\u00e9 Boychenko.<\/p>\n “Le groupe avanc\u00e9 de menace persistante (APT) diversifie ses tactiques – publier de nouveaux logiciels malveillants sous de nouveaux alias, h\u00e9bergeant des charges utiles dans les r\u00e9f\u00e9rentiels GitHub et Bitbucket, et r\u00e9utiliser des composants centraux comme Beavertail et InvisibleFerret aux c\u00f4t\u00e9s de variantes de rat \/ chargement nouvellement observ\u00e9es.”<\/p>\n La d\u00e9couverte des nouveaux forfaits NPM intervient alors que la soci\u00e9t\u00e9 sud-cor\u00e9enne de cybers\u00e9curit\u00e9 Ahnlab a d\u00e9taill\u00e9 une campagne de phishing sur le th\u00e8me du recrutement qui fournit Beavertail, qui est ensuite utilis\u00e9e pour d\u00e9ployer une cod\u00e9 Backdoor Windows auparavant sans papiers. Les artefacts analys\u00e9s par le cabinet montrent que Beavertail est utilis\u00e9 pour cibler activement les d\u00e9veloppeurs en Cor\u00e9e du Sud.<\/p>\n Le e-mail<\/a>qui pr\u00e9tendait provenir d’une entreprise appel\u00e9e Autosquare, contenait un lien vers un projet h\u00e9berg\u00e9 sur Bitbucket, exhortant le destinataire \u00e0 cloner localement le projet sur sa machine pour examiner sa compr\u00e9hension du programme. <\/p>\n L’application n’est rien d’autre qu’une biblioth\u00e8que NPM qui contient Beauvertail (“tailwind.config.js”) et un logiciel malveillant DLL (“car.dll”), ce dernier est lanc\u00e9 par le voleur et le chargeur JavaScript. <\/p>\n Tropidoor est une porte d\u00e9rob\u00e9e “op\u00e9rant en m\u00e9moire via le t\u00e9l\u00e9chargeur” \u200b\u200bqui est capable de contacter un serveur C2 pour recevoir des instructions qui permettent d’exfiltrer des fichiers, de collecter des informations sur le lecteur et de fichier, d’ex\u00e9cuter et de terminer les processus, de capturer des captures d’\u00e9cran et de supprimer ou d’effacer les fichiers en les \u00e9crasant avec des donn\u00e9es nuls ou nulles.<\/p>\n Un aspect important de l’implant est qu’il impl\u00e9mente directement les commandes Windows telles que les schtasks, le ping et le reg, une fonctionnalit\u00e9 pr\u00e9c\u00e9demment \u00e9galement observ\u00e9e dans un autre logiciel malveillant de groupe Lazare appel\u00e9 Lightlesscan, lui-m\u00eame un successeur de Blindingcan (aka airdry aka zetanile).<\/p>\n “Les utilisateurs doivent \u00eatre prudents non seulement avec les pi\u00e8ces jointes des e-mails mais \u00e9galement avec les fichiers ex\u00e9cutables \u00e0 partir de sources inconnues”, ahnlab dit<\/a>.<\/p>\n <\/p>\n\n
![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/Les-pirates-nord-coreens-deploient-des-logiciels-malveillants-Beavertail-via-11.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\nBeavertail Drops Tropidoor<\/h3>\n
<\/a><\/center><\/div>\n<\/a><\/div>\n