BlueNoroff analyse les portefeuilles de cryptomonnaies lors de faux appels Zoom avant d'y déposer un logiciel malveillant
- La société de sécurité JUMPSEC a découvert que le logiciel BlueNoroff, basé en Corée du Nord, profile les portefeuilles de cryptomonnaies lors de faux appels Zoom et Teams, puis infecte sélectivement des cibles de grande valeur sous Windows et macOS.
- La campagne a touché plus de 100 victimes dans plus de 20 pays, dont 41 % aux États-Unis, et 45 % des cibles sont des fondateurs ou des PDG.
- BlueNoroff, un sous-groupe de Lazarus Group, continue de modifier son kit de phishing ; JUMPSEC a recensé quatre variantes macOS rien qu'entre le 22 avril et le 15 juillet.
Un groupe de pirates informatiques nord-coréens analyse les portefeuilles de cryptomonnaies avant de passer à l'acte. Ils piègent leurs victimes en les faisant participer à de faux appels Zoom et Microsoft Teams.
La société de sécurité britannique JUMPSEC a publié cette semaine l'analyse du code source. L'opération de BlueNoroff cible les détenteurs de clés privées. Il suffit qu'une seule personne clique sur la mauvaise invite.
BlueNoroff analyse les portefeuilles de cryptomonnaies avant de choisir les cibles à infecter
JUMPSEC a pu récupérer le véritable code source du kit après que ses opérateurs ont laissé des fichiers sources JavaScript exposés sur une infrastructure en production.
Les fichiers décrivent un processus qui analyse le navigateur de la cible dès son arrivée sur la fausse page de réunion. JUMPSEC a constaté que le kit recherche Ethereum avec la norme EIP-6963 et utilise des techniques de navigateur obsolètes.
Il détecte également les portefeuilles non-EVM, comme les outils Solana . Les résultats sont directement transmis au tableau de bord de l'opérateur. L'opérateur ne reçoit aucune notification ni aucun avertissement.
Le logiciel malveillant présent sur les ordinateurs Windows possède une liste d'identifiants d'extensions de navigateur pour Chrome, Edge, Brave, Opera, Vivaldi et Firefox. Les pirates utilisent ensuite ces identifiants pour vérifier la présence d'extensions de portefeuille connues comme MetaMask.
Les attaquants peuvent examiner chaque portefeuille, déterminer lesquels méritent une intrusion complète, puis envoyer des charges utiles à ces cibles. L'appât repose sur la confiance que la victime accorde déjà à une tierce personne.
Des pirates informatiques prennent le contrôle du compte Telegram d'un contact crypto et envoient une invitation Calendly convaincante vers un faux domaine de réunion. Chaque compte piraté permet d'accéder aux propres contacts crypto de ce contact, qui deviennent les cibles suivantes.
Dès le début de l'appel vidéo, la page demande un nom et l'accès à la webcam. Elle envoie ensuite le flux vidéo de la caméra au panneau de contrôle de l'attaquant en arrière-plan.
Les victimes voient alors un écran affichant « En attente d'autres participants ». L'opérateur diffuse ensuite une vidéo préenregistrée et déclare à la victime : « Votre micro ne fonctionne pas. » Puis, un faux message de « Mise à jour du SDK Zoom » apparaît.
D'après JUMPSEC, le visage affiché lors de l'appel n'est pas réel. Les attaquants superposent des portraits générés par IA à des mouvements corporels capturés lors de réunions précédentes.
La fausse page de réunion Teams inclut des réactions emoji, des paramètres d'appareil, des effets d'arrière-plan et la possibilité de scanner son portefeuille. JUMPSEC a également découvert un clone incomplet de Google Meet dans le code exposé.
Chaque système d'exploitation possède des charges utiles de logiciels malveillants dédiées
Sous Windows, la commande ClickFix copiée lance un petit programme PowerShell qui télécharge un script VBS. Ce dernier ajoute ensuite une exclusion à Microsoft Defender et redémarre Defender pour que la modification soit permanente.
Ce programme collecte des informations système et recherche les extensions de portefeuille dans les navigateurs. Il recherche également les fichiers Web de Telegram. Enfin, il peut recevoir des programmes ultérieurs que les chercheurs n'ont jamais réussi à récupérer.
Des pirates installent un faux programme d'installation de Zoom ou Teams sur macOS, tandis qu'un logiciel malveillant s'exécute discrètement. Ce dernier dérobe des données système et les clés principales Chrome stockées dans le Trousseau d'accès d'Apple, puis les envoie via Telegram.
Des chercheurs en sécurité ont découvert quatre versions de macOS entre le 22 avril et le 15 juillet. Arctic Wolf et JUMPSEC ont trouvé cinq versions de kits de phishing distribuées entre le 31 mai et le 14 juillet, avec une compromission complète en moins de cinq minutes.
Les recherches d'Arctic Wolfdentidentifié plus de 100 victimes dans plus de 20 pays, dont 41 % aux États-Unis. En avril, Arctic Wolf a recensé plus de 80 noms de domaine de réunion faisant l'objet de typosquatting et enregistrés depuis fin 2025.
Environ 80 % des personnes ciblées travaillent dans le secteur des cryptomonnaies ou de la finance blockchain, et 45 % sont des fondateurs ou des PDG. Les attaques ont également eu lieu pendant les heures de bureau en Corée du Nord.
BlueNoroff est un sous-groupe du groupe Lazarus. Cryptopolitan signalé que Lazarus ciblait des banques et des entreprises de cryptomonnaies avec un cheval de Troie RemotePE sans fichier, utilisant des leurres similaires via Telegram et de faux agendas.
Les plus grands experts en cryptomonnaies lisent déjà notre newsletter. Envie d'en faire partie ? Rejoignez-les !
FAQ
Qui est derrière les fausses attaques contre Zoom et Teams ?
BlueNoroff, un sous-groupe du groupe Lazarus nord-coréen motivé par le gain financier, est à l'origine de ces vols. Des chercheurs établissent un lien entre ce groupe et de nombreux vols de cryptomonnaies destinés à financer l'État nord-coréen.
Comment l'attaque vole-t-elle des cryptomonnaies ?
La fausse page de réunion analyse d'abord le navigateur de la victime à la recherche de portefeuilles électroniques. Un opérateur déclenche ensuite une fausse invite de mise à jour logicielle qui exécute une commande ClickFix, installant un logiciel malveillant qui collecte lesdentde portefeuille, les données système et les fichiers Telegram sous Windows ou macOS.
Combien de personnes ont été ciblées ?
Arctic Wolf adentplus de 100 victimes dans plus de 20 pays, dont 41 % aux États-Unis. Environ 80 % travaillaient dans le secteur des cryptomonnaies ou de la finance blockchain, et 45 % étaient des fondateurs ou des PDG.
Avertissement : Les informations fournies ne constituent pas un conseil en investissement. CryptopolitanCryptopolitan.com toute responsabilité quant aux investissements réalisés sur la base des informations présentées sur cette page. Nous voustronrecommandons vivement d’effectuer vosdent et/ou de consulter un professionnel qualifié avant toute décision d’investissement.
Randa Moses
Randa Moses est rédactrice et journaliste chez Cryptopolitan où elle couvre les technologies, l'intelligence artificielle, la robotique, les cryptomonnaies, les arnaques et le piratage informatique. Elle travaille dans le secteur des cryptomonnaies depuis 2017 et a notamment travaillé chez Forward Protocol, AmaZix et Cryptosomniac. Randa est diplômée en génie électrique ettronde l'Université de Bradford.
