Introduction
Le groupe de hackers lié à la Corée du Nord, BlueNoroff, utilise de fausses réunions sur Zoom et Microsoft Teams pour profiler les utilisateurs de cryptomonnaies avant de déployer des malwares. La société de cybersécurité JUMPSEC a déclaré avoir récupéré et analysé le code source d’un kit de phishing actif après que ses opérateurs aient exposé des fichiers JavaScript sur une infrastructure en ligne.
Méthodes d’attaque
Ces fichiers contenaient des leurres distincts pour Zoom et Teams, des outils de scan de portefeuilles, des contrôles d’opérateurs et des chemins de livraison de malwares pour Windows et macOS. Les Nord-Coréens semblent particulièrement efficaces dans la mise en place de campagnes pour voler des cryptomonnaies.
L’attaque débute souvent par un compte Telegram de confiance pour la cible. Les hackers prennent le contrôle des comptes de contacts dans le domaine de la crypto, puis envoient une invitation Calendly menant à un domaine de réunion trompeur.
JUMPSEC a décrit ce système comme un pipeline de victimes répétable, car une session Telegram volée peut aider les attaquants à contacter un nouveau groupe de cibles.
Profilage des victimes
La page de phishing commence à scanner le navigateur dès qu’un utilisateur entre dans la fausse réunion. Elle recherche des connexions de portefeuilles Ethereum via EIP-6963 et des méthodes de navigateur plus anciennes. Elle vérifie également les portefeuilles non-EVM, y compris ceux de Solana. Les résultats sont envoyés à un panneau d’opérateur sans alerter la victime, permettant ainsi aux attaquants d’identifier les portefeuilles et de sélectionner des cibles de plus grande valeur avant de passer à l’étape suivante.
Sous Windows, l’implant liste également les ID d’extension à travers les différentes variantes de Chrome, Edge, Brave, Opera, Vivaldi et Firefox. Les opérateurs peuvent comparer ces ID avec des extensions de portefeuille connues telles que MetaMask. JUMPSEC a qualifié cela de système qui profile les portefeuilles « avant la livraison de malwares ».
Exécution des malwares
Les victimes voient d’abord une page de réunion convaincante qui demande leur nom et l’accès à la webcam. Le site envoie ensuite le flux de la caméra au panneau de contrôle de l’attaquant. Une fois la victime connectée, l’écran affiche « en attente d’autres participants ». Un opérateur peut alors entrer avec une vidéo préenregistrée, envoyer des messages tels que « votre micro ne fonctionne pas », et déclencher une fausse invite de « mise à jour SDK Zoom ».
JUMPSEC a découvert que la vidéo des participants affichée n’était pas en direct. Les attaquants ont combiné des photos de tête générées par IA avec des mouvements corporels capturés lors de réunions antérieures.
La version Teams incluait des réactions emoji, des paramètres de périphérique, des effets de fond et des vérifications de portefeuille plus larges, la rendant plus soignée que le kit Zoom. Le code source contenait également une option Google Meet inachevée.
Implications et recommandations
Les résultats élargissent les recherches antérieures sur les opérations de fausses réunions de BlueNoroff. En avril, Arctic Wolf a signalé plus de 80 domaines Zoom et Teams ressemblants et a identifié 100 cibles supplémentaires dont les médias apparaissaient sur l’infrastructure des attaquants. Il a été rapporté que 80 % des cibles identifiées travaillaient dans les secteurs de la crypto, de la finance blockchain ou des investissements connexes.
Les attaquants nord-coréens avaient déjà utilisé des comptes Telegram compromis, des invitations de réunion falsifiées et de fausses mises à jour logicielles pour cibler des dirigeants de la crypto. JUMPSEC a conseillé aux organisations de traiter les liens de réunion provenant de comptes de confiance avec précaution, car le compte de l’expéditeur peut déjà être compromis.
Les équipes crypto peuvent vérifier des invitations inhabituelles par un autre canal, éviter les commandes ou mises à jour présentées lors des appels, révoquer les sessions Telegram exposées et isoler tout appareil ayant exécuté le script demandé. Une simple réinitialisation de mot de passe peut ne pas suffire à supprimer les sessions volées ou les malwares déjà en cours d’exécution sur l’appareil à travers les systèmes affectés.
