Des pirates informatiques nord-coréens utilisent la blockchain pour dissimuler des logiciels malveillants de vol de cryptomonnaies.
infohightech ·
Les chercheurs en sécurité de Google ont identifié une nouvelle vague de cyberattaques nord-coréennes exploitant la technologie blockchain pour dissimuler des logiciels malveillants et faciliter le vol de cryptomonnaie.
Les chercheurs ont noté qu'il s'agissait du premier cas qu'ils observaient d'un acteur étatique utilisant des réseaux décentralisés dans le cadre d'une infrastructure de diffusion de logiciels malveillants.
Adoption d'EtherHiding par la RPDC
Selon le Threat Intelligence Group (GTIG) de Google , le groupe de piratage informatique UNC5342 lié à la Corée du Nord a commencé à utiliser une technique connue sous le nom d' EtherHiding pour intégrer du code malveillant dans des contrats intelligents sur des blockchains publiques telles qu'Ethereum et BNB Smart Chain.
Cette tactique permet au code malveillant de rester accessible tant que la blockchain est opérationnelle.
Contrairement aux serveurs d’hébergement traditionnels qui peuvent être fermés ou mis sur liste noire, les contrats intelligents sont immuables et décentralisés.
Cette résilience rend EtherHiding particulièrement difficile à perturber et représente ce que les chercheurs de Google décrivent comme une évolution vers « l’hébergement à toute épreuve de nouvelle génération ».
Comment fonctionne EtherHiding
EtherHiding permet aux attaquants de stocker des charges utiles basées sur JavaScript directement sur une blockchain, la transformant ainsi efficacement en un système de commande et de contrôle décentralisé.
Lorsqu'une victime visite un site Web compromis ou ouvre un fichier malveillant, un script de chargement léger récupère le code crypté de la blockchain via un appel en lecture seule.
Étant donné qu’aucune transaction blockchain n’est créée, cette récupération est furtive et n’entraîne aucun frais de gaz.
Une fois téléchargée, la charge utile s'exécute localement, déployant souvent le chargeur JADESNOW, qui récupère la porte dérobée INVISIBLEFERRET .
Cette chaîne d'infection multicouche donne aux attaquants un accès à long terme au système de la cible, permettant le vol de données, l'espionnage et la compromission du portefeuille de crypto-monnaie.
La conception d'EtherHiding offre de nombreux avantages aux acteurs malveillants : la décentralisation et l'immuabilité empêchent les démantèlements, le pseudonymat dissimule les identités et la flexibilité permet des mises à jour constantes de la charge utile. Ensemble, ces caractéristiques font d'EtherHiding un mécanisme de diffusion de malware résilient.
Campagne d'ingénierie sociale
Depuis février 2025, UNC5342 a intégré EtherHiding dans une campagne d'ingénierie sociale plus large connue sous le nom de Contagious Interview , ciblant les développeurs des secteurs de la crypto-monnaie et de la technologie.
Se faisant passer pour des recruteurs d'entreprises légitimes, les attaquants attirent leurs victimes vers de faux entretiens d'embauche ou des défis de codage.
Au cours de ces interactions, les victimes sont invitées à télécharger des fichiers à partir de référentiels GitHub ou npm, des fichiers contenant des logiciels malveillants déguisés en évaluations de codage ou en exercices techniques.
Une fois exécutés, ces fichiers malveillants lancent un processus d’infection en trois étapes.
Le téléchargeur JADESNOW collecte d'abord les données système de base et récupère des composants supplémentaires, suivi du déploiement de la porte dérobée INVISIBLEFERRET.
Cette porte dérobée permet l’accès à distance, l’exfiltration de données et le mouvement latéral au sein des réseaux.
Lors de certaines intrusions, le logiciel malveillant peut voler des informations d'identification, des données de navigateur et des clés de portefeuille de cryptomonnaie à partir de systèmes exécutant Windows, macOS ou Linux.
Au-delà du gain financier, ces opérations s’alignent sur le double objectif de la Corée du Nord : générer des revenus pour échapper aux sanctions internationales et recueillir des renseignements techniques pour de futures opérations d’espionnage.
Bien qu'EtherHiding exploite des réseaux décentralisés, les chercheurs notent que les attaquants nord-coréens dépendent toujours de services Web centralisés pour interagir avec la blockchain.
Ces intermédiaires, tels que les fournisseurs d’API publics et les plateformes d’exploration, représentent des points clés où les défenseurs peuvent surveiller, signaler et potentiellement bloquer les activités malveillantes.
Google a souligné qu'une action coordonnée de ces fournisseurs de services est essentielle pour freiner la prolifération d'EtherHiding.
Stratégies défensives
Les mesures de sécurité traditionnelles telles que le blocage d’IP ou la suppression de domaines sont largement inefficaces contre les menaces basées sur la blockchain.
Toutefois, les organisations peuvent réduire leur exposition grâce à une combinaison de contrôles techniques et basés sur des politiques.
- Limitez les téléchargements risqués : bloquez les téléchargements de types de fichiers exécutables (.exe, .msi, .bat, .dll) via des politiques de gestion centralisées du navigateur.
- Automatisez les mises à jour du navigateur : utilisez des outils de gestion d'entreprise pour envoyer automatiquement des mises à jour sécurisées, réduisant ainsi la vulnérabilité aux fausses invites de « mise à jour ».
- Appliquer une authentification stricte : exiger une authentification multifacteur (MFA) et un accès au moindre privilège pour tous les comptes administratifs.
- Activez une navigation sécurisée améliorée : activez la protection contre le phishing et les logiciels malveillants en temps réel sur les navigateurs gérés.
- Surveillez l'activité de la blockchain : collaborez avec les fournisseurs de renseignements sur les menaces pour identifier et signaler les contrats intelligents ou les transactions blockchain suspects.
- Former les utilisateurs à l’ingénierie sociale : Renforcer la sensibilisation au fait que les recruteurs légitimes n’auront pas besoin de télécharger des fichiers exécutables ou de mises à jour logicielles manuelles.
Les politiques de Chrome Enterprise, telles que les restrictions de téléchargement, les mises à jour gérées et l'application de la navigation sécurisée, peuvent perturber efficacement les campagnes EtherHiding en automatisant les protections des utilisateurs et en limitant les opportunités des attaquants.
L’utilisation d’EtherHiding par la Corée du Nord démontre comment les pirates informatiques sponsorisés par l’État continuent d’exploiter les technologies émergentes pour échapper à la détection et étendre leur portée.
En intégrant du code malveillant dans les contrats intelligents de la blockchain, les acteurs de la menace en RPDC ont atteint un nouveau niveau de persistance et de résilience dans leurs opérations.
Pour contrer les menaces en constante évolution comme celle-ci, les organisations doivent adopter un modèle de sécurité Zero Trust.