Un cybercriminel nord-cor\u00e9en aux motivations financi\u00e8res est soup\u00e7onn\u00e9 d’\u00eatre \u00e0 l’origine d’une nouvelle souche de logiciels malveillants Apple macOS appel\u00e9e RustBucket<\/strong>.<\/p>\n “[RustBucket] communique avec les serveurs de commande et de contr\u00f4le (C2) pour t\u00e9l\u00e9charger et ex\u00e9cuter diverses charges utiles \u00bb, Ferdous Saljooki et Jaron Bradley, chercheurs de Jamf Threat Labs a dit<\/a> dans un rapport technique publi\u00e9 la semaine derni\u00e8re. <\/p>\n La soci\u00e9t\u00e9 de gestion d’appareils Apple l’a attribu\u00e9 \u00e0 un acteur mena\u00e7ant connu sous le nom de BlueNoroff, un sous-groupe du tristement c\u00e9l\u00e8bre cluster Lazarus qui est \u00e9galement suivi sous les noms APT28, Nickel Gladstone, Sapphire Sleet, Stardust Chollima et TA444.<\/p>\n Les connexions d\u00e9coulent de chevauchements tactiques et d’infrastructure avec une campagne ant\u00e9rieure expos\u00e9e par la soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9 Kaspersky fin d\u00e9cembre 2022, probablement destin\u00e9e aux entit\u00e9s financi\u00e8res japonaises utilisant de faux domaines se faisant passer pour des soci\u00e9t\u00e9s de capital-risque.<\/p>\n BlueNoroff, contrairement aux autres entit\u00e9s constitutives du groupe Lazarus, est connue pour son sophistiqu\u00e9<\/a> cambriolages cyber-activ\u00e9s<\/a> ciblant le syst\u00e8me SWIFT ainsi que les \u00e9changes de crypto-monnaie dans le cadre d’un ensemble d’intrusions suivi sous le nom de CryptoCore.<\/p>\n Plus t\u00f4t cette ann\u00e9e, le Federal Bureau of Investigation (FBI) des \u00c9tats-Unis a impliqu\u00e9 l’acteur de la menace pour le vol de 100 millions de dollars d’actifs de crypto-monnaie \u00e0 Harmony Horizon Bridge en juin 2022.<\/p>\n Le r\u00e9pertoire d’attaques de BlueNoroff aurait \u00e9galement connu un changement majeur au cours des derniers mois, le groupe utilisant des leurres sur le th\u00e8me du travail pour inciter les destinataires d’e-mails \u00e0 entrer leurs informations d’identification sur de fausses pages de destination.<\/p>\n Le malware macOS identifi\u00e9 par Jamf se fait passer pour une application “Internal PDF Viewer” pour activer l’infection, m\u00eame s’il convient de noter que le succ\u00e8s de l’attaque repose sur la victime qui contourne manuellement les protections Gatekeeper.<\/p>\n En r\u00e9alit\u00e9, il s’agit d’un fichier AppleScript con\u00e7u pour r\u00e9cup\u00e9rer une charge utile de deuxi\u00e8me \u00e9tape \u00e0 partir d’un serveur distant, qui porte \u00e9galement le m\u00eame nom que son pr\u00e9d\u00e9cesseur. Les deux applications malveillantes sont sign\u00e9es avec une signature ad hoc.<\/p>\n La charge utile de deuxi\u00e8me \u00e9tape, \u00e9crite en Objective-C, est une application de base qui offre la possibilit\u00e9 de visualiser des fichiers PDF et ne lance la phase suivante de la cha\u00eene d’attaque que lorsqu’un fichier PDF pi\u00e9g\u00e9 est ouvert via l’application.<\/p>\n Un tel document PDF de neuf pages<\/a> identifi\u00e9 par Jamf pr\u00e9tend offrir une “strat\u00e9gie d’investissement” qui, une fois lanc\u00e9e, s’adresse au serveur de commande et de contr\u00f4le (C2) pour t\u00e9l\u00e9charger et ex\u00e9cuter un cheval de Troie de troisi\u00e8me niveau, un ex\u00e9cutable Mach-O \u00e9crit en Rust fourni avec capacit\u00e9s pour ex\u00e9cuter des commandes de reconnaissance du syst\u00e8me.<\/p>\n “Cette technique de visualisation de PDF utilis\u00e9e par l’attaquant est astucieuse”, ont expliqu\u00e9 les chercheurs. “\u00c0 ce stade, pour effectuer une analyse, nous avons non seulement besoin du logiciel malveillant de deuxi\u00e8me \u00e9tape, mais nous avons \u00e9galement besoin du fichier PDF correct qui fonctionne comme une cl\u00e9 afin d’ex\u00e9cuter le code malveillant dans l’application.”<\/p>\n On ne sait pas actuellement comment l’acc\u00e8s initial est obtenu et si les attaques ont r\u00e9ussi, mais le d\u00e9veloppement est un signe que les acteurs de la menace adaptent leurs outils pour s’adapter aux logiciels malveillants multiplateformes en utilisant des langages de programmation comme Go et Rust.<\/p>\n Les r\u00e9sultats font \u00e9galement suite \u00e0 une p\u00e9riode charg\u00e9e d’attaques orchestr\u00e9es par le groupe Lazarus visant des organisations \u00e0 travers les pays et les secteurs verticaux de l’industrie pour la collecte de renseignements strat\u00e9giques et le vol de crypto-monnaie.<\/p>\n Lazarus Group (alias Hidden Cobra et Diamond Sleet) est moins une organisation distincte qu’un terme g\u00e9n\u00e9rique d\u00e9signant un m\u00e9lange de groupes de piratage parrain\u00e9s par l’\u00c9tat et criminels qui si\u00e8gent au sein du Bureau g\u00e9n\u00e9ral de reconnaissance (RGB), le principal appareil de renseignement \u00e9tranger de la Cor\u00e9e du Nord.<\/p>\n L’activit\u00e9 r\u00e9cente entreprise par l’acteur de la menace a offert de nouvelles preuves de l’int\u00e9r\u00eat croissant de l’acteur de la menace pour l’exploitation des relations de confiance dans la cha\u00eene d’approvisionnement des logiciels comme points d’entr\u00e9e aux r\u00e9seaux d’entreprise.<\/p>\n La semaine derni\u00e8re, le collectif contradictoire a \u00e9t\u00e9 li\u00e9 \u00e0 une attaque en cascade de la cha\u00eene d’approvisionnement qui a arm\u00e9 les versions d’installateurs trojanis\u00e9s d’une application l\u00e9gitime connue sous le nom de X_TRADER pour violer le fabricant de logiciels de communication d’entreprise 3CX et empoisonner ses applications Windows et macOS.<\/p>\n \u00c0 peu pr\u00e8s au m\u00eame moment, ESET a d\u00e9taill\u00e9 l’utilisation par le groupe Lazarus d’un malware Linux surnomm\u00e9 SimplexTea dans le contexte d’une campagne d’ing\u00e9nierie sociale r\u00e9currente appel\u00e9e Operation Dream Job.<\/p>\n Zero Trust + Deception\u00a0: apprenez \u00e0 d\u00e9jouer les attaquants\u00a0!<\/p>\n D\u00e9couvrez comment Deception peut d\u00e9tecter les menaces avanc\u00e9es, arr\u00eater les mouvements lat\u00e9raux et am\u00e9liorer votre strat\u00e9gie Zero Trust. Rejoignez notre webinaire perspicace !<\/p>\n Sauvez ma place\u00a0!<\/a><\/div>\n “Il est \u00e9galement int\u00e9ressant de noter que Lazarus peut produire et utiliser des logiciels malveillants natifs pour tous les principaux syst\u00e8mes d’exploitation de bureau\u00a0: Windows, macOS et Linux”, a soulign\u00e9 la semaine derni\u00e8re Marc-Etienne M.L\u00e9veill\u00e9, chercheur sur les logiciels malveillants chez ESET.<\/p>\n Lazarus est loin d’\u00eatre le seul groupe de piratage parrain\u00e9 par l’\u00c9tat affili\u00e9 au RVB connu pour mener des op\u00e9rations au nom du pays touch\u00e9 par les sanctions. Un autre acteur mena\u00e7ant tout aussi prolifique est Kimsuky<\/a> (alias APT43 ou Emerald Sleet), dont un sous-groupe est surveill\u00e9 par le groupe d’analyse des menaces (TAG) de Google sous le nom d’ARCHIPELAGO.<\/p>\n “L’acteur cible principalement les organisations aux \u00c9tats-Unis et en Cor\u00e9e du Sud, y compris les personnes travaillant au sein du gouvernement, de l’arm\u00e9e, de la fabrication, de l’universit\u00e9 et des groupes de r\u00e9flexion qui poss\u00e8dent une expertise en mati\u00e8re de d\u00e9fense et de s\u00e9curit\u00e9, en particulier de s\u00e9curit\u00e9 nucl\u00e9aire et de politique de non-prolif\u00e9ration”, Google- appartenant \u00e0 Mandiant indiqu\u00e9<\/a> l’ann\u00e9e derni\u00e8re.<\/p>\n Parmi les autres cibles moins connues de Kimsuky, citons le gouvernement indien et japonais et les \u00e9tablissements d’enseignement, un ensemble d’attaques suivies par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 taiwanaise TeamT5 sous le nom KimDragon<\/a>.<\/p>\n Le groupe a l’habitude de d\u00e9ployer une s\u00e9rie de cyber-armes pour exfiltrer des informations sensibles gr\u00e2ce \u00e0 un large \u00e9ventail de tactiques telles que le harponnage, les extensions de navigateur frauduleuses et les chevaux de Troie d’acc\u00e8s \u00e0 distance.<\/p>\n