Le groupe nord-coréen Lazarus a créé un jeu NFT pour exploiter les utilisateurs de Chrome

Le groupe Lazarus de Corée du Nord a créé un jeu blockchain pour exploiter une vulnérabilité dans le navigateur Google Chrome, installer des logiciels espions et voler les identifiants du portefeuille de crypto-monnaies, ainsi que d'autres données utilisateur. 

Dans un rapport du 23 octobre, les analystes de Kaspersky Labs, Vasily Berdnikov et Boris Larin, ont déclaré qu'ils avaient découvert l'exploitation du groupe Lazarus en mai et l'ont signalée à Google, qui a depuis corrigé le problème.

Selon Berdnikov et Larin, les pirates du groupe Lazarus ont utilisé le jeu pour inciter les utilisateurs à se rendre sur un site web malveillant et infecter leurs ordinateurs avec son malware Manuscript, qu'ils utilisent depuis au moins 2013.

Le code a permis aux pirates de corrompre la mémoire de Chrome, leur donnant finalement accès aux cookies des utilisateurs, aux jetons d'authentification, aux mots de passe enregistrés et à l'historique de navigation – tout ce dont ils avaient besoin pour voler les fonds des utilisateurs.

Un autre problème avec le mécanisme de sécurité Javascript V8 sandbox a permis à Lazarus d'accéder aux PC pour enquêter sur la pertinence de poursuivre une cyberattaque.

« Nous avons pu extraire la première étape de l'attaque – une exploitation qui effectue une exécution de code à distance dans le processus Google Chrome », ont déclaré Berdnikov et Larin.

« Après avoir confirmé que l'exploitation était basée sur une vulnérabilité zero-day ciblant la dernière version de Google Chrome, nous avons signalé nos résultats à Google le jour même. »

Deux jours après que Google a pris conscience de l'exploitation, il a publié un correctif mis à jour pour résoudre le problème.

Code source volé utilisé pour créer le jeu

Le jeu lui-même, DeTankZone ou DeTankWar, était un jeu d'arène de combat en ligne multijoueur jouable à gagner (play-to-earn) avec des chars non fongibles (NFT). Les joueurs pouvaient s'affronter dans des compétitions en ligne.

Berdnikov et Larin ont déclaré que Lazarus avait volé le code source d'un autre jeu légitime et avait fortement promu la version piratée sur les réseaux sociaux.

Le faux jeu avait un site web et des images promotionnelles générées à l'aide de l'intelligence artificielle.

« En surface, ce site web ressemblait à une page de produit professionnellement conçue pour un jeu de chars d'arène de combat en ligne multijoueur (MOBA) basé sur la finance décentralisée (DeFi) et les jetons non fongibles (NFT), invitant les utilisateurs à télécharger une version d'essai », ont déclaré Berdnikov et Larin.

« Mais ce n'était qu'un déguisement. Sous le capot, ce site web avait un script caché qui s'exécutait dans le navigateur Google Chrome de l'utilisateur, lançant une exploitation zero-day et donnant aux attaquants un contrôle total sur le PC de la victime. »

Microsoft Security a également signalé le jeu dans un post sur X, notant que le jeu malveillant DeTankWar livrait un nouveau ransomware personnalisé que Microsoft a baptisé FakePenny.

« Microsoft a identifié un nouvel acteur de la menace nord-coréenne, Moonstone Sleet (Storm-1789), qui combine de nombreuses techniques éprouvées utilisées par d'autres acteurs de la menace nord-coréens avec des méthodologies d'attaque uniques pour des objectifs financiers et de cyberespionnage », a déclaré Microsoft Security.

« On observe que Moonstone Sleet met en place de fausses entreprises et des opportunités d'emploi pour engager des cibles potentielles, emploie des versions trojanisées d'outils légitimes, crée un jeu malveillant appelé DeTankWar et livre un nouveau ransomware personnalisé que Microsoft a nommé FakePenny. »

Les pertes attribuées au groupe Lazarus sont estimées à plus de $3 milliards

Lazarus est devenu sans doute le groupe de pirates informatiques de crypto-monnaies le plus notoire depuis son apparition sur la scène en 2009. Le cabinet de cybersécurité américain Recorded Future a estimé en 2023 que les pirates nord-coréens avaient volé plus de 3 milliards de dollars de crypto-monnaies au cours des six années ayant précédé 2023.

Un rapport des Nations Unies a également révélé que les pirates nord-coréens avaient volé une quantité importante d'actifs crypto en 2022, avec des estimations comprises entre 630 millions de dollars et plus d'un milliard de dollars, après que des groupes ont commencé à cibler les réseaux d'entreprises étrangères de l'aérospatiale et de la défense.

Le détective blockchain ZachXBT estime que Lazarus a blanchi plus de 200 millions de dollars de crypto-monnaies issus de 25 piratages entre 2020 et 2023. Dans un post du 15 août sur X, il a également affirmé avoir découvert des preuves d'un réseau sophistiqué de développeurs nord-coréens gagnant 500 000 dollars par mois en travaillant pour des projets crypto « établis ».

Dans le même temps, le département du Trésor des États-Unis a également accusé Lazarus d'être le principal responsable de l'attaque de 2022 sur le pont Ronin, qui a rapporté aux pirates plus de 600 millions de dollars en crypto-monnaies.