Des pirates informatiques nord-coréens ciblent les chercheurs d'emploi dans la crypto avec des logiciels malveillants

Les hackers nord-coréens, Famous Chollima, ont ciblé les experts de la crypto avec de fausses entretiens d’embauche conçues pour voler leurs données et déployer des logiciels malveillants sur leurs appareils. Le logiciel malveillant a volé les identifiants de plus de 80 extensions de navigateur, y compris les gestionnaires de mots de passe et les portefeuilles crypto comme Metamask, 1Password, NordPass, Phantom, Bitski, Initia, TronLink et MultiverseX.

Mercredi, le cabinet de recherche en renseignement sur les menaces Cisco Talos a rapporté a indiqué que Famous Chollima se faisait passer pour des entreprises légitimes et dirigeait les victimes inconscientes vers des sites web de tests de compétences où les victimes entraient leurs informations personnelles et répondaient à des questions techniques.

Les sites de test de compétences faisaient faussement office de vraies entreprises comme Coinbase, Archblock, Robinhood, Parallel Studios, Uniswap et d’autres, ce qui a aidé au ciblage. 

Seuls quelques utilisateurs, principalement en Inde, ont été affectés selon les renseignements du secteur ouvert. Dileep Kumar H V, directeur de Digital South Belief, a conseillé que pour contrer ces arnaques, l’Inde devrait imposer des audits de cybersécurité pour les entreprises blockchain et surveiller les portails d’emploi falsifiés. Il a également appelé à une coordination mondiale plus forte contre la cybercriminalité transfrontalière et à des campagnes de sensibilisation numérique.

Talos fait suite à l’arnaque et confirme un lien avec la Corée du Nord

🚨 𝗔𝗟𝗘𝗥𝗧𝗘 : 𝗱𝗲𝘀 𝗽𝗶𝗿𝗮𝘁𝗲𝘀 𝗻𝗼𝗿𝗱-𝗰𝗼𝗿é𝗲𝗻𝘀 𝗰𝗶𝗯𝗹𝗲𝗻𝘁 𝗱𝗲𝘀 𝗽𝗿𝗼𝗳𝗲𝘀𝘀𝗶𝗼𝗻𝗻𝗲𝗹𝘀 𝗱𝗲 𝗹𝗮 𝗯𝗹𝗼𝗰𝗸𝗰𝗵𝗮𝗶𝗻 𝗮𝘃𝗲𝗰 𝘂𝗻 𝗻𝗼𝘂𝘃𝗲𝗮𝘂 𝗹𝗼𝗴𝗶𝗰𝗶𝗲𝗹 𝗺𝗮𝗹𝘃𝗲𝗶𝗹𝗹𝗮𝗻𝘁 𝗱𝗲 𝘃𝗼𝗹 𝗱'𝗶𝗻𝗳𝗼𝗿𝗺𝗮𝘁𝗶𝗼𝗻

𝗗𝗶𝘀𝗴𝘂𝗶𝘀𝗲𝗱 𝗮𝘀 𝗳𝗮𝗸𝗲 𝗰𝗿𝘆𝗽𝘁𝗼 𝗷𝗼𝗯 𝘀𝗶𝘁𝗲𝘀 — 𝗯𝗲 𝗰𝗮𝗿𝗲𝗳𝘂𝗹… pic.twitter.com/wt4pe5o1Zg

— Mayank Dudeja || SPYONGEMS (@imcryptofreak) June 20, 2025

Le cabinet de recherche en cybersécurité Cisco Talos a affirmé que le nouveau cheval de Troie d’accès à distance basé sur Python, appelé « PylangGhost », reliait le logiciel malveillant à un collectif de hackers affilié à la Corée du Nord appelé « Famous Chollima », également connu sous le nom de « Wagemole ».

Le cabinet a également révélé que le logiciel malveillant PylangGhost était fonctionnellement équivalent au RAT GolangGhost précédemment documenté, partageant de nombreuses capacités similaires. Famous Chollima a utilisé la variante basée sur Python pour cibler les systèmes Windows, tandis que la version Golang ciblait les utilisateurs de macOS. Les systèmes Linux ont été exclus de ces dernières attaques.

Selon Talos, le groupe d’acteurs de la menace est actif depuis 2024 à travers plusieurs campagnes bien documentées. Ces campagnes comprenaient l’utilisation de variantes de Contagious Interview (alias Deceptive Development) et la création de fausses offres d’emploi et de pages de test de compétences. Les utilisateurs ont été invités à copier et coller (ClickFix) une ligne de commande malveillante afin d’installer les pilotes nécessaires pour effectuer l’étape finale de test de compétences.  

Les candidats dans la dernière scheme découverte en mai ont été invités à activer l’accès à la caméra pour une vidéo d’entretien et ont été invités à copier et exécuter des commandes malveillantes déguisées en installations de pilotes vidéo. Ainsi, ils ont fini par utiliser PylangGhost sur leurs appareils. L’exécution a commencé avec le fichier « nvidia.py », qui a effectué plusieurs tâches : il a créé une valeur de registre pour lancer le RAT chaque fois qu’un utilisateur se connectait au système, généré un GUID pour le système à utiliser dans la communication avec le serveur de commande et de contrôle (C2), connecté au serveur C2, et entré dans la boucle de commande pour la communication avec le serveur.

Selon Cisco Talos, « Les instructions pour télécharger le correctif allégué sont différentes en fonction de l’empreinte du navigateur, et sont également données dans la langue de shell appropriée pour le système d’exploitation : PowerShell ou Command Shell pour Windows, et Bash pour MacOS ».

Talos a observé qu’en plus de voler directement des fonds sur les plateformes d’échange, les hackers Famous Chollima se sont récemment concentrés sur les professionnels de la crypto pour collecter des informations et potentiellement s’infiltrer dans les entreprises de crypto de l’intérieur. Plus tôt cette année, les hackers nord-coréens ont créé de fausses entreprises américaines, BlockNovas LLC et SoftGlide LLC, pour distribuer des logiciels malveillants via de fausses entretiens d’embauche avant que le FBI ne saisisse le domaine BlockNovas.

La Corée du Nord émerge comme un hub pour des schémas de piratage notoire

En décembre 2024, le piratage de Radiant Capital de 50 millions de dollars a lancé lorsque des acteurs nord-coréens du DPRK se sont fait passer pour d’anciens entrepreneurs et ont envoyé des PDF chargés de logiciels malveillants aux ingénieurs. L’usurpateur(s) a partagé un fichier zip sous le prétexte de demander des commentaires sur un nouveau projet sur lequel ils travaillaient.

Une déclaration conjointe du Japon, de la Corée du Sud et des États-Unis a également confirmé que des groupes soutenus par la Corée du Nord, y compris Lazarus, ont volé au moins 659 millions de dollars à travers plusieurs cambriolages crypto en 2024. Les envoyés ont noté que les travailleurs étrangers de la Corée du Nord, y compris les spécialistes des TI engagés dans des « activités cybernétiques malveillantes », étaient un facteur majeur dans la capacité du régime à financer ses programmes d’armement par le vol et le blanchiment de fonds, y compris crypto.

Chainalysis La VP des enquêtes Erin Plante a confirmé que les hackers liés à la Corée du Nord étaient de loin les plus prolifiques parmi les hackers crypto au cours des dernières années. En 2022, ils ont battu leurs propres records de vol, dérobant environ 1,7 milliard de dollars de crypto à travers plusieurs piratages, contre 428,8 millions de dollars en 2021.

Cependant, en mai, l’échange de crypto Kraken a révélé qu’il avait identifié et contré avec succès un opérateur nord-coréen qui avait postulé pour un poste IT. Kraken a attrapé le candidat lorsqu’il a échoué aux tests de vérification d’identité de base lors des entretiens.