BlueNoroff scanne les portefeuilles crypto dans de faux appels Zoom avant de déposer des logiciels malveillants
- La société de cybersécurité JUMPSEC a découvert que le groupe BlueNoroff, lié à la Corée du Nord, profile les portefeuilles cryptographiques lors d'appels Zoom et Teams falsifiés, puis infecte sélectivement des cibles à haute valeur sur Windows et macOS.
- Cette campagne a touché plus de 100 victimes dans plus de 20 pays, dont 41 % aux États-Unis, et 45 % des cibles sont des fondateurs ou des PDG.
- BlueNoroff, un sous-groupe du groupe Lazarus, révisait continuellement son kit de phishing ; JUMPSEC a recensé quatre variantes pour macOS entre le 22 avril et le 15 juillet uniquement.
Une équipe de piratage nord-coréenne examine les portefeuilles crypto avant de frapper. Le groupe trompe les victimes en les invitant à de faux appels Zoom et Microsoft Teams.
Le cabinet de sécurité britannique JUMPSEC a publié l'analyse du code source cette semaine. L'opération de BlueNoroff cible les personnes détenant les clés privées. Il suffit qu'une personne clique sur la mauvaise invite.
BlueNoroff examine les portefeuilles crypto avant de choisir qui infecter
JUMPSEC a pu récupérer le véritable code source du kit après que ses opérateurs ont laissé les cartes source JavaScript exposées sur l'infrastructure en direct.
Les fichiers décrivent un flux de travail qui scanne le navigateur de la cible dès qu'elle atterrit sur la fausse page de réunion. JUMPSEC a découvert que le kit recherche des connexions Ethereum avec la norme EIP-6963 et avec des techniques de navigateur héritées.
Il sonde également les portefeuilles non-EVM comme les outils Solana. Les résultats sont envoyés directement à un tableau de bord opérateur. Et la personne à l'appel ne reçoit aucune invite ou avertissement.
Le logiciel malveillant sur les ordinateurs Windows possède une liste d'IDs d'extensions de navigateur pour Chrome, Edge, Brave, Opera, Vivaldi et Firefox. Les pirates utilisent ensuite ces IDs pour vérifier les extensions de portefeuille connues comme MetaMask.
Les attaquants peuvent vérifier chaque portefeuille, décider lesquels valent une intrusion complète, puis envoyer des charges utiles à ces cibles. L'appât repose sur la confiance existante de la victime envers quelqu'un d'autre.
Les attaquants prennent le contrôle du compte Telegram d'un contact crypto et envoient une invitation Calendly convaincante vers un domaine de fausse réunion. Chaque compte piraté mène aux propres contacts crypto de ce contact, qui deviennent le prochain tour de cibles.
Dès que l'appel vidéo commence, la page demande un nom et l'accès à la webcam. Elle envoie ensuite le flux vidéo au panneau de l'attaquant en arrière-plan.
Les victimes voient ensuite un écran indiquant « en attente des autres participants ». Ensuite, l'opérateur joue une vidéo préenregistrée et dit à la victime : « Votre micro ne fonctionne pas. » Après cela, un faux message « Mise à jour du SDK Zoom » apparaît.
Le visage à l'appel n'est pas réel, selon JUMPSEC. Les attaquants assemblent des portraits générés par IA sur des mouvements corporels capturés lors de réunions précédentes.
La fausse page de réunion Teams inclut des réactions emoji, les paramètres de l'appareil, les effets d'arrière-plan et le scan de portefeuille. JUMPSEC a également trouvé un clone incomplet de Google Meet dans le code exposé.
Chaque système d'exploitation a des charges utiles de logiciels malveillants dédiées
Sur Windows, la commande ClickFix copiée lance un petit chargeur PowerShell qui télécharge un VBScript. Ensuite, il ajoute une exclusion Microsoft Defender et redémarre Defender pour rendre le changement permanent.
La charge utile collecte les informations système et recherche les extensions de portefeuille dans les navigateurs. Elle recherche également les fichiers Telegram Web. Et elle peut recevoir des charges utiles ultérieures que les chercheurs n'ont jamais tout à fait récupérées.
Les pirates déposent un faux installateur Zoom ou Teams sur macOS pendant qu'un voleur s'exécute silencieusement. Il vole les données système et les clés maîtresses Chrome depuis le Trésor d'Apple et les envoie via Telegram.
Les chercheurs en sécurité ont trouvé quatre versions de macOS du 22 avril au 15 juillet. Arctic Wolf et JUMPSEC ont trouvé cinq versions de kits de phishing expédiées entre le 31 mai et le 14 juillet, avec un compromis total en moins de cinq minutes.
La recherche d'Arctic Wolf a identifié plus de 100 victimes dans plus de 20 pays, dont 41% aux États-Unis. En avril, Arctic Wolf a comptabilisé plus de 80 domaines de réunion par typosquatting enregistrés depuis la fin de 2025.
Environ 80% de ceux ciblés travaillent dans la crypto ou la finance blockchain, et 45% sont des fondateurs ou des PDG. Le timing des attaques correspondait également aux heures de bureau en Corée du Nord.
BlueNoroff est un sous-groupe du Lazarus Group. Cryptopolitan a rapporté plus tôt que Lazarus a ciblé des banques et des entreprises crypto avec un trojan RemotePE sans fichier, utilisant des appâts similaires sur Telegram et des planificateurs falsifiés.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
FAQ
Qui se cache derrière les attaques par faux appels Zoom et Teams ?
C'est BlueNoroff, un sous-groupe financièrement motivé du groupe Lazarus nord-coréen. Les chercheurs associent ce groupe à de nombreux vols de cryptomonnaies destinés à financer l'État nord-coréen.
Comment l'attaque vole-t-elle les cryptomonnaies ?
La fausse page de réunion scanne d'abord le navigateur de la victime à la recherche de portefeuilles. Un opérateur déclenche ensuite une fausse invite de mise à jour logicielle qui exécute une commande ClickFix, installant un malware qui récupère les identifiants des portefeuilles, les données système et les fichiers Telegram sur Windows ou macOS.
Combien de personnes ont été visées ?
Arctic Wolf a identifié plus de 100 victimes dans plus de 20 pays, dont 41 % aux États-Unis. Environ 80 % travaillaient dans le secteur de la cryptomonnaie ou de la finance blockchain, et 45 % étaient des fondateurs ou des PDG.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Randa Moses
Randa Moses est rédactrice et journaliste chez Cryptopolitan, couvrant la technologie, l'IA, la robotique, la crypto, les arnaques et les piratages. Elle évolue dans l'espace crypto depuis 2017. Elle a occupé des postes chez Forward Protocol, AmaZix et Cryptosomniac. Randa détient un diplôme en génie électrique et électronique de l'Université de Bradford.
