Les chercheurs d'emploi indiens dans le secteur des cryptomonnaies sont confrontés à une nouvelle menace de malware provenant de pirates informatiques liés à la Corée du Nord.

Des pirates informatiques liés à l'État nord-coréen ciblent les professionnels de la crypto-monnaie en Inde avec une nouvelle campagne de logiciels malveillants très ciblée, selon société de cybersécurité Cisco Talos. Les assaillants, identifiés comme un groupe connu sous le nom de Chollima célèbre, utilisent de faux entretiens d'embauche et des sites Web frauduleux de tests de compétences pour infecter les appareils des utilisateurs avec un nouveau cheval de Troie d'accès à distance (RAT) basé sur Python, baptisé PylangGhost.

Cette opération, active depuis mi-2024, marque le dernier chapitre de l'expansion des activités d'espionnage cryptographique de la Corée du Nord. Des chercheurs de Cisco Talos ont révélé que les attaquants se font passer pour des recruteurs de grandes entreprises cryptographiques telles que Coinbase. Uniswap, Robinhood et Archblock. Leurs cibles principales : les ingénieurs logiciels, les professionnels du marketing et autres spécialistes de la blockchain et des actifs numériques.

Leurres d'embauche et faux entretiens

La campagne commence par une ingénierie sociale. Les victimes sont contactées par de prétendus recruteurs et invitées à consulter des copies crédibles des pages carrières d'entreprises légitimes. Ces sites proposent des tests d'évaluation des compétences et demandent des informations sensibles telles que leurs noms complets, CV, adresses de portefeuille et qualifications.

Les candidats sont ensuite invités à activer l'accès à la caméra et au microphone pour un entretien vidéo. Durant cette phase, les faux recruteurs demandent aux victimes d'exécuter certaines commandes – déguisées en installation de pilotes vidéo – qui déclenchent l'installation du PylangGhost malware.

Cisco Talos a confirmé que le RAT permet aux pirates de contrôler à distance les systèmes infectés et est capable de voler les identifiants et les cookies de plus de 80 extensions de navigateur. Celles-ci incluent des gestionnaires de mots de passe et des portefeuilles de cryptomonnaies très répandus, tels que MetaMask, 1Password, NordPass, Phantom, TronLink et MultiverseX.

Logiciel malveillant avancé avec accès persistant

PylangGhost est une évolution basée sur Python d'une menace déjà connue appelée GolangGhost. Les nouvelles cibles de variantes Systèmes Windows Il est conçu pour exfiltrer les données et maintenir un accès permanent aux machines compromises. Selon Cisco Talos, les systèmes Linux semblent épargnés par cette vague d'attaques.

Le logiciel malveillant peut exécuter un large éventail de commandes : captures d'écran, collecte d'informations système, gestion de fichiers et prise de contrôle à distance continue. Il opère via plusieurs serveurs de commande et de contrôle enregistrés sous des domaines apparemment fiables, comme quickcamfix.online or autodriverfix.online.

Contrairement aux escroqueries précédentes, cette campagne ne vise pas l'hameçonnage de masse ni le vol direct sur les plateformes d'échange. Il s'agit plutôt d'une attaque chirurgicale visant les professionnels du secteur des cryptomonnaies, ceux qui ont accès aux infrastructures clés, aux outils internes et aux données sensibles.

L'Inde : une cible de grande valeur

L'Inde, l'un des pôles de développement blockchain connaissant la croissance la plus rapide, est devenue une cible privilégiée. De nombreux professionnels travaillant sur des plateformes cryptographiques mondiales sont basés dans le pays, et cette nouvelle stratégie contribue directement à cette concentration de talents.

D’après Dileep Kumar HV, directeur de Digital South Trust, l'Inde a besoin de réformes urgentes pour faire face à ce type de menace. Il a appelé à audits de cybersécurité obligatoires pour les entreprises blockchain, une surveillance renforcée des faux portails d'emploi et des réformes juridiques dans le cadre de la loi informatique indienne.

Découvrez des projets prometteurs...

Des projets prometteurs...

(Publicité)

L'article continue...

Il a également exhorté les agences gouvernementales telles que CERT-Entrée, Méitéet  NCIIPC d’intensifier la collaboration et de lancer des campagnes de sensibilisation du public, ainsi que de partager des renseignements avec d’autres juridictions.

Un modèle croissant d'espionnage numérique

Les fausses offres d'emploi sont devenues un outil constant dans les stratégies cybernétiques nord-coréennes. Groupe Lazarus, un autre collectif de hackers lié à la Corée du Nord, a utilisé une tactique similaire plus tôt en 2024. Ils créée fausses entreprises basées aux États-Unis comme BlockNovas LLC et SoftGlide LLC pour attirer les développeurs de crypto-monnaies dans des entretiens remplis de logiciels malveillants.

Lors d'un incident, des pirates informatiques de Lazarus se sont fait passer pour d'anciens sous-traitants pour pirater Radiant Capital, entraînant une perte de 50 millions de dollars. Une déclaration conjointe du Japon, de la Corée du Sud et des États-Unis a récemment confirmé que Des groupes liés à la Corée du Nord ont volé 659 millions de dollars en cryptomonnaies dans 2024 seul.

Ces campagnes ne visent pas uniquement le vol. Elles visent de plus en plus à recueillir des renseignements et à infiltrer les entreprises de cryptomonnaies de l'intérieur. L'objectif ultime semble être à la fois le gain financier et le contrôle stratégique des systèmes et des données blockchain.

Contre-mesures et voie à suivre

Le rapport Cisco Talos est un signal d'alarme pour les professionnels du secteur des cryptomonnaies. L'entreprise recommande une vigilance accrue lors de la recherche d'emploi, notamment lors de la consultation de nouvelles plateformes, de recruteurs inconnus ou d'URL inconnues.

Il est conseillé aux professionnels de :

• Évitez d’installer des logiciels ou d’exécuter des commandes pendant les entretiens d’embauche.
• Vérifiez la légitimité des entreprises et des recruteurs.
• Utilisez des outils de protection des terminaux et anti-malware.
• Mettez à jour régulièrement vos mots de passe et activez l’authentification à deux facteurs.

Les entreprises devraient également renforcer les contrôles internes et s’assurer que le personnel est formé pour repérer et signaler les tentatives d’ingénierie sociale.