Avertissement sur l’ingénierie sociale ciblant les utilisateurs de Bitcoin
Les utilisateurs de Bitcoin font face à un nouvel avertissement concernant une campagne active d’ingénierie sociale qui détourne des comptes Telegram de confiance et entraîne des professionnels de la cryptomonnaie dans de fausses réunions sur Zoom ou Microsoft Teams. Lightning News a tiré la sonnette d’alarme le 7 août, citant des témoignages récents de membres de la communauté Bitcoin.
Des recherches en sécurité indépendantes confirment la chaîne d’attaque principale, bien que toutes les affirmations n’aient pas été vérifiées. JUMPSEC a déclaré en juillet avoir obtenu le code source d’un kit de phishing BlueNoroff actif après l’exposition de cartes source JavaScript.
Fonctionnement de l’attaque
Les chercheurs ont découvert une plateforme d’acquisition de victimes qui abuse des contacts Telegram compromis, profile les portefeuilles de cryptomonnaie et livre des logiciels malveillants à des cibles sélectionnées sur des systèmes Windows et macOS. JUMPSEC a indiqué que l’infrastructure de campagne identifiée restait active au 22 juillet.
L’attaque commence par la confiance plutôt que par une vulnérabilité de la blockchain. JUMPSEC a découvert que les opérateurs utilisaient des comptes Telegram compromis appartenant à de véritables contacts de l’industrie pour inviter des cibles à de fausses réunions vidéo. Comme les messages proviennent de comptes authentiques et peuvent faire référence à des relations existantes, la reconnaissance de l’expéditeur offre une protection limitée.
Google Mandiant a documenté indépendamment une intrusion similaire, nommée UNC1069, en février. Une victime a reçu des messages d’un compte Telegram d’un dirigeant crypto compromis, a programmé une réunion et a été redirigée vers un domaine Zoom falsifié.
La victime a signalé avoir vu ce qui semblait être une vidéo générée par IA d’un autre dirigeant crypto pendant l’appel simulé. L’attribution nécessite de la précision. Mandiant suit l’acteur sous le nom de UNC1069 et indique qu’il chevauche BlueNoroff.
Caractéristiques du kit de phishing
Le kit reconstruit de JUMPSEC montre une interface de réunion mise en scène demandant l’accès à la webcam avant qu’un opérateur ne rejoigne avec une vidéo préenregistrée. La victime voit ensuite un prétendu problème audio et une fausse mise à jour logicielle. Le texte de dépannage affiché est trompeur : le copier-coller d’une commande ClickFix contrôlée par un attaquant est placé dans le presse-papiers.
Sur Windows, JUMPSEC a observé des composants PowerShell et VBScript capables de désactiver les défenses, de mener des reconnaissances et de soutenir un accès ultérieur. Sur macOS, les chercheurs ont trouvé des scripts shell et des charges utiles Mach-O conçus pour voler des identifiants et d’autres données sensibles.
Le kit scanne également les fournisseurs de portefeuilles de navigateurs avant la livraison de logiciels malveillants, aidant les opérateurs à identifier des cibles précieuses. Cela signifie que l’affirmation selon laquelle il suffit d’ouvrir un lien de réunion pour vider un portefeuille est trop large.
Dans les chaînes documentées, le compromis nécessite une autre action, comme exécuter une commande copiée ou une mise à jour malveillante.
Cependant, une fois que le logiciel malveillant s’exécute, Mandiant a trouvé des outils capables de voler des données de navigateur, des identifiants Keychain et des données utilisateur Telegram.
Recommandations et précautions
Le FBI a averti séparément que des acteurs nord-coréens mènent une ingénierie sociale hautement ciblée contre les employés de la cryptomonnaie et de la DeFi. Ses recommandations signalent spécifiquement les demandes d’exécuter du code, d’installer des applications inconnues, d’exécuter des scripts pour corriger des appels vidéo ou de déplacer des conversations entre des plateformes de communication.
Le FBI recommande de vérifier les identités par un canal indépendant et de garder les identifiants de portefeuille, les phrases de récupération et les clés privées hors des appareils connectés à Internet. L’authentification à deux facteurs reste utile, mais les appareils infectés peuvent exposer des données de session, donc les sessions compromises doivent également être révoquées depuis un appareil propre.
Les utilisateurs doivent traiter les demandes de réunion inattendues, les changements de domaine, les invites de correction audio et les demandes de coller des commandes comme des signaux à haut risque.
Si un code suspect a déjà été exécuté, le FBI conseille de déconnecter l’appareil affecté d’Internet tout en le laissant allumé pour une éventuelle récupération judiciaire.
La campagne est donc mieux décrite comme une opération d’ingénierie sociale en cours, liée à la Corée du Nord, ciblant la couche humaine autour de la garde des cryptomonnaies. Son efficacité provient de l’exploitation d’identités de confiance et d’outils de travail familiers, et non de la rupture de Bitcoin lui-même.
