Une analyse des indicateurs de compromis (IoC<\/a>) associ\u00e9 au piratage JumpCloud a d\u00e9couvert des preuves de l’implication de groupes parrain\u00e9s par l’\u00c9tat nord-cor\u00e9en, dans un style qui rappelle l’attaque de la cha\u00eene d’approvisionnement ciblant 3CX.<\/p>\n Les r\u00e9sultats proviennent de SentinelOne, qui trac\u00e9e<\/a> l’infrastructure relative \u00e0 l’intrusion pour d\u00e9couvrir les sch\u00e9mas sous-jacents. Il convient de noter que JumpCloud, la semaine derni\u00e8re, a attribu\u00e9 l’attaque \u00e0 un “acteur de menace sophistiqu\u00e9 parrain\u00e9 par un \u00c9tat-nation” sans nom.<\/p>\n “Les acteurs de la menace nord-cor\u00e9ens font preuve d’un haut niveau de cr\u00e9ativit\u00e9 et de conscience strat\u00e9gique dans leurs strat\u00e9gies de ciblage”, a d\u00e9clar\u00e9 Tom Hegel, chercheur en s\u00e9curit\u00e9 chez SentinelOne, \u00e0 The Hacker News. “Les r\u00e9sultats de la recherche r\u00e9v\u00e8lent une approche r\u00e9ussie et multiforme employ\u00e9e par ces acteurs pour infiltrer les environnements de d\u00e9veloppement.”<\/p>\n “Ils recherchent activement l’acc\u00e8s \u00e0 des outils et des r\u00e9seaux qui peuvent servir de passerelles vers des opportunit\u00e9s plus \u00e9tendues. Leur tendance \u00e0 ex\u00e9cuter plusieurs niveaux d’intrusions dans la cha\u00eene d’approvisionnement avant de s’engager dans un vol \u00e0 motivation financi\u00e8re est remarquable.”<\/p>\n Dans un d\u00e9veloppement connexe, CrowdStrike, qui travaille avec JumpCloud pour enqu\u00eater sur l’incident, a attribu\u00e9 l’attaque \u00e0 un acteur nord-cor\u00e9en connu sous le nom de Labyrinth Chollima, un sous-groupe au sein du tristement c\u00e9l\u00e8bre groupe Lazarus, selon Reuter<\/a>.<\/p>\n L’infiltration a \u00e9t\u00e9 utilis\u00e9e comme un “tremplin” pour cibler les soci\u00e9t\u00e9s de crypto-monnaie, a indiqu\u00e9 l’agence de presse, indiquant une tentative d’une partie de l’adversaire de g\u00e9n\u00e9rer des revenus ill\u00e9gaux pour le pays frapp\u00e9 par les sanctions.<\/p>\n Les r\u00e9v\u00e9lations co\u00efncident \u00e9galement avec une campagne d’ing\u00e9nierie sociale \u00e0 faible volume identifi\u00e9e par GitHub qui cible les comptes personnels des employ\u00e9s des entreprises technologiques, en utilisant un m\u00e9lange d’invitations \u00e0 un r\u00e9f\u00e9rentiel et de d\u00e9pendances de packages npm malveillants. Les comptes cibl\u00e9s sont associ\u00e9s aux secteurs de la blockchain, de la crypto-monnaie, du jeu en ligne ou de la cybers\u00e9curit\u00e9.<\/p>\n La filiale de Microsoft a connect\u00e9 la campagne \u00e0 un groupe de piratage nord-cor\u00e9en qu’elle suit sous le nom de Jade Sleet (alias TraderTraitor).<\/p>\n “Jade Sleet cible principalement les utilisateurs associ\u00e9s \u00e0 la crypto-monnaie et \u00e0 d’autres organisations li\u00e9es \u00e0 la blockchain, mais cible \u00e9galement les fournisseurs utilis\u00e9s par ces entreprises”, a d\u00e9clar\u00e9 Alexis Wales de GitHub. a dit<\/a> dans un rapport publi\u00e9 le 18 juillet 2023.<\/p>\n Les cha\u00eenes d’attaque impliquent la cr\u00e9ation de faux personnages sur GitHub et d’autres services de m\u00e9dias sociaux tels que LinkedIn, Slack et Telegram, bien que dans certains cas, l’acteur mena\u00e7ant ait pris le contr\u00f4le de comptes l\u00e9gitimes.<\/p>\n Sous le personnage suppos\u00e9, Jade Sleet prend contact avec les cibles et les invite \u00e0 collaborer sur un r\u00e9f\u00e9rentiel GitHub, convainquant les victimes de cloner et d’ex\u00e9cuter le contenu, qui comprend un logiciel leurre avec des d\u00e9pendances npm malveillantes qui agissent comme un logiciel malveillant de premi\u00e8re \u00e9tape pour t\u00e9l\u00e9charger et ex\u00e9cuter des charges utiles de deuxi\u00e8me \u00e9tape sur la machine infect\u00e9e.<\/p>\n Bouclier contre les menaces internes\u00a0: ma\u00eetriser la gestion de la posture de s\u00e9curit\u00e9 SaaS<\/p>\n <\/a><\/p>\n Inquiet des menaces internes ? Nous avons ce qu’il vous faut! Rejoignez ce webinaire pour explorer les strat\u00e9gies pratiques et les secrets de la s\u00e9curit\u00e9 proactive avec la gestion de la posture de s\u00e9curit\u00e9 SaaS.<\/p>\n Joignez aujourd’hui<\/a><\/section>\n Les packages npm malveillants, selon GitHub, font partie d’une campagne qui a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e pour la premi\u00e8re fois le mois dernier, lorsque Phylum a d\u00e9taill\u00e9 une menace pour la cha\u00eene d’approvisionnement impliquant une cha\u00eene d’ex\u00e9cution unique qui utilise une paire de modules frauduleux pour r\u00e9cup\u00e9rer un malware inconnu \u00e0 partir d’un serveur distant.<\/p>\n SentinelOne, dans sa derni\u00e8re analyse, a d\u00e9clar\u00e9 144.217.92[.]197, une adresse IP li\u00e9e \u00e0 l’attaque JumpCloud, se r\u00e9sout \u00e0 npmaudit[.]com<\/a>, l’un des huit domaines r\u00e9pertori\u00e9s par GitHub comme \u00e9tant utilis\u00e9 pour r\u00e9cup\u00e9rer le logiciel malveillant de deuxi\u00e8me \u00e9tape. Une deuxi\u00e8me adresse IP 23.29.115[.]171 cartes \u00e0 npm-pool[.]org<\/a>.<\/p>\n “Il est \u00e9vident que les acteurs de la menace nord-cor\u00e9ens s’adaptent et explorent en permanence de nouvelles m\u00e9thodes pour infiltrer les r\u00e9seaux cibl\u00e9s”, a d\u00e9clar\u00e9 Hegel. “L’intrusion JumpCloud illustre clairement leur tendance \u00e0 cibler la cha\u00eene d’approvisionnement, ce qui entra\u00eene une multitude d’intrusions ult\u00e9rieures potentielles.”<\/p>\n “La RPDC d\u00e9montre une profonde compr\u00e9hension des avantages d\u00e9coulant de la s\u00e9lection m\u00e9ticuleuse de cibles de grande valeur comme point pivot pour mener des attaques de la cha\u00eene d’approvisionnement vers des r\u00e9seaux fructueux”, a ajout\u00e9 Hegel.<\/p>\n <\/p>\n