BlueNoroff analyse des portefeuilles crypto lors d’un faux appel Zoom, avec un « empoisonnement » malveillant et sélectif

La société de cybersécurité britannique JUMPSEC a publié cette semaine un rapport d’analyse de code source, révélant le schéma d’attaque le plus récent du groupe de hackers nord-coréen BlueNoroff : lors de faux appels vidéo sur Zoom et Microsoft Teams, le groupe utilise la norme EIP-6963 ainsi que des techniques classiques de navigateur pour scanner les portefeuilles crypto des utilisateurs ciblés, sélectionne ensuite des cibles de valeur en fonction de la valeur des portefeuilles, puis déploie de manière sélective des logiciels malveillants.

Flux d’attaque des faux appels vidéo BlueNoroff

D’après l’analyse du code source de JUMPSEC, le déroulé complet de l’attaque de BlueNoroff est le suivant :

· L’attaquant prend le contrôle du compte Telegram d’un contact évoluant dans le secteur des cryptomonnaies de la cible, envoie une fausse invitation à une réunion Calendly, dont le lien pointe vers un faux domaine de réunion faisant l’objet d’une usurpation de type typosquatting

· Après que la victime accède à la page de la fausse réunion, la trousse à outils utilise immédiatement la norme EIP-6963 pour scanner le navigateur (à la recherche de connexions Ethereum), tout en détectant des portefeuilles non EVM (tels que les outils Solana) ; les résultats du scan sont envoyés vers un panneau de contrôle contrôlé par l’opérateur, tandis que la victime n’en est informée à aucun moment

· Une fois l’appel démarré, la page affiche « en attente des autres participants », l’opérateur lance une vidéo préenregistrée ; l’IA génère des avatars en assemblant des photos avec les mouvements du corps capturés précédemment, puis indique à la victime « votre microphone ne fonctionne pas »

· En fonction des données de portefeuille affichées sur le panneau de contrôle, l’opérateur décide s’il déploie ou non des logiciels malveillants ; une fausse alerte « Mise à jour du Zoom SDK » surgit pour inciter la victime à exécuter

· Chaque compte compromis redirige vers d’autres contacts du même secteur des cryptomonnaies que celui du contact d’origine, formant ainsi une chaîne d’objectifs d’attaque par enchaînement

Différences des logiciels malveillants entre Windows et macOS

D’après l’analyse technique de JUMPSEC, les logiciels malveillants utilisés par BlueNoroff pour différents systèmes sont les suivants :

Windows : une commande ClickFix clonée lance un petit processus de chargement PowerShell ; après le téléchargement d’un script VBScript, Microsoft Defender est ajouté à la liste d’exclusion, puis redémarré afin d’être activé de façon permanente ; la charge utile collecte des informations sur le système, scanne les extensions de portefeuilles du navigateur (y compris les listes d’ID des extensions de Chrome, Edge, Brave, Opera, Vivaldi et Firefox), fait correspondre des extensions de portefeuilles connues telles que MetaMask, puis recherche les fichiers Telegram Web

macOS : insertion de faux programmes d’installation pour Zoom ou Teams ; un programme de vol silencieux en arrière-plan extrait des données système ainsi que la clé principale de Chrome depuis le « Keychain (Trousseau) » d’Apple, puis les exfiltre via Telegram

JUMPSEC a découvert quatre versions de macOS entre le 22 avril et le 15 juillet ; Arctic Wolf et JUMPSEC ont découvert cinq versions de kits d’hameçonnage entre le 31 mai et le 14 juillet ; ces kits pouvaient entièrement compromettre un système en moins de cinq minutes.

Questions fréquentes

Comment BlueNoroff scanne-t-il les portefeuilles crypto lors de faux appels ?

D’après l’analyse du code source réalisée par JUMPSEC, le kit BlueNoroff scanne la connexion à Ethereum des cibles à l’aide de la norme EIP-6963 et de techniques classiques de navigateur, tout en détectant les portefeuilles non EVM comme Solana ; les résultats du scan sont envoyés en temps réel vers le panneau de contrôle de l’opérateur, et la victime n’est pas informée tout au long du processus.

Quels sont les principaux cibles de l’attaque BlueNoroff ?

D’après les statistiques d’Arctic Wolf, 80 % des cibles se consacrent aux cryptomonnaies ou à la finance basée sur la blockchain ; 45 % sont des fondateurs ou des directeurs généraux ; 41 % des victimes se trouvent aux États-Unis ; au moment de la publication du rapport, plus de 100 victimes ont été recensées dans plus de 20 pays.

Comment les utilisateurs macOS sont-ils infectés par BlueNoroff ?

D’après l’analyse de JUMPSEC, les utilisateurs macOS sont infectés en cliquant sur des programmes d’installation falsifiés de Zoom ou Teams ; le programme de vol en arrière-plan extrait des données système ainsi que la clé principale de Chrome depuis le Keychain d’Apple, puis les transmet via Telegram aux attaquants.