Les nord-coréens de Lazarus ciblent le monde de la crypto via de faux entretiens d’embauche

En octobre dernier, nous nous étions faits l'écho de la propagation d'une arnaque au recrutement qui cible les développeurs amateurs de crypto. Les soupçons se tournaient vers Lazarus, groupe de pirates nord-coréen auquel est aussi attribué l'immense vol de cryptoactifs, d'une valeur approchant 1,5 milliard de dollars, révélé en février dernier.

L'éditeur de logiciel de cybersécurité français Sekoia confirme dans un rapport que le groupe de pirates est à l'origine d'une campagne d'arnaque au recrutement de ce type. « Il utilise des sites web d'entretiens d'embauche légitimes pour exploiter la tactique ClickFix et installer des portes dérobées pour Windows et macOS », explique l'entreprise française.

Le ClickFix est une tactique d'ingénierie sociale qui « consiste à afficher de faux messages d'erreur dans les navigateurs web pour tromper les utilisateurs et les inciter à copier et à exécuter un code PowerShell malveillant donné, ce qui finit par infecter leurs systèmes », expliquait Sekoia en octobre dernier. Détectée en mai 2024, cette tactique est déjà qualifiée de « tristement célèbre » par Sekoia.

Windows et MacOS, deux variantes

Selon l'entreprise de sécurité, la chaine d'infection utilisée par Lazarus ciblerait les systèmes d'exploitation Windows et MacOS de deux façons différentes. Sur le premier, le groupe de pirates passerait par un script VBS puis un script NodeJS et sur le second via un script Bash puis le malware FrostyFerret pour récupérer le mot de passe système. Mais à la fin, ils utiliseraient un virus, nommé GolangGhost par Sekoia, écrit en GO. Ce code a déjà été partiellement étudié par les spécialistes de cybersécurité Sonatype et dmpdump. Sekoia explique que GolangGhost est prévu pour fonctionner sur Windows et macOS et permet de mettre en place une porte dérobée puis de voler des données via Chrome.

Sous MacOS, FrostyFerret affiche une fausse fenêtre indiquant que le navigateur web Chrome a besoin d'accéder à la caméra ou au microphone. Ensuite, le malware demande à l'utilisateur de saisir le mot de passe du système. Celui-ci est ensuite récupéré et envoyé vers un espace Dropbox.

Essentiellement des acteurs de la CeFi utilisés comme appâts

En analysant cette attaque, Sekoia a récupéré 184 invitations différentes pour des entretiens d'embauche. Parmi ces invitations, elle a trouvé 14 noms d'entreprises utilisés pour inciter la victime à compléter le processus de demande. Parmi elles, Coinbase est celle dont le nom est le plus utilisé par Lazarus pour attirer l'attention de ses proies :

Sekoia fait remarquer que 9 des 14 entreprises « proposent des services financiers centralisés (CeFi), c'est-à-dire des services financiers construits autour des crypto-monnaies qui s'appuient sur des intermédiaires, tels que des échanges et des plateformes de prêt, pour faciliter les transactions ». L'entreprise de sécurité rappelle que « ces plateformes sont dites "centralisées" car elles obligent les utilisateurs à faire confiance à une entité centrale pour gérer les fonds, traiter les transactions et assurer la sécurité ». Archblock est la seule plateforme de services financiers décentralisés (DeFi) détectée par Sekoia comme cible de Lazarus.

Lazarus vise des profils moins tech

Mais si les développeurs amateurs de crypto sont ciblés, l'analyse de Sekoia montre qu'ils ne sont ni les seuls, ni la principale cible. En effet, l'entreprise explique qu' « il s'agit principalement de postes de responsables axés sur le développement commercial, la gestion des actifs, le développement de produits ou de spécialistes de la finance décentralisée ». Et elle explique que c'est un changement important s'agissant des attaques de Lazarus qui, jusque-là, « visaient principalement les développeurs et les ingénieurs en informatique ».

Sekoia livre une liste des faux sites d'entretiens que l'entreprise a détectés :