Nouvelles chasses à la campagne contre le vol de crypto pour le gros gibier
Une nouvelle campagne visant non pas les portefeuilles cryptographiques des particuliers mais les portefeuilles des grandes organisations est en cours. La nouvelle poussée malveillante a reçu le surnom de SnatchCrypto et serait soutenue par des fonds publics nord-coréens.
Selon les chercheurs en sécurité qui ont divulgué la campagne SnatchCrypto, l'entité derrière tout cela semble être une émanation du Lazarus APT soutenu par la Corée du Nord, appelé BlueNoroff. Lazarus est la plus grande entité mère qui a fait les gros titres à plusieurs reprises au cours des dernières années. Les opérateurs de Lazarus se spécialisent dans l'attaque des institutions et plateformes financières, il n'est donc pas étonnant qu'ils soient également impliqués dans SnatchCrypto.
Jusqu'à présent, BlueNoroff a mené plusieurs attaques contre des organisations connectées à la crypto-monnaie en général. Ce que les chercheurs ont noté, c'est que le BlueNoroff APT prend beaucoup de temps et se prépare très soigneusement lorsqu'il approche ses victimes et utilise probablement un mélange d'ingénierie sociale et de correspondance commerciale fausse mais crédible pour gagner la confiance de certains des membres de ses victimes.
ZDNet a cité les chercheurs qui ont publié un article sur BlueNoroff, déclarant qu'ils vont jusqu'à identifier les "sujets d'intérêt" au sein de l'organisation ciblée, puis envoient des documents et des fichiers malveillants étroitement liés au sujet des discussions internes à l'entreprise. C'est un niveau de dévouement et de précision que peu d'APT peuvent afficher.
Les attaques employées par BlueNoroff utilisent une vulnérabilité d'exécution de code à distance pour récupérer la charge utile d'un serveur. Les privilèges d'accès au système sont augmentés avant que la charge utile principale ne soit déployée.
Un détail très intéressant que BlueNoroff fait dans son attaque est qu'ils ont une macro VisualBasic qui est utilisée pour supprimer le lien vers la charge utile malveillante stockée dans le document d'origine utilisé pour lancer l'attaque. Cela signifie que le fichier est, à toutes fins utiles, nettoyé et sécurisé, ce qui crée des complications supplémentaires pour les chercheurs en sécurité.
L'attaque se termine par le déploiement d'un outil de porte dérobée sur mesure qui surveille le système hôte et tente d'intercepter et d'intervenir lorsqu'il détecte une transaction de crypto-monnaie.
Selon les statistiques rassemblées par des chercheurs en sécurité avec Chainalysis, au cours de 2021, les acteurs de la menace nord-coréens ont réussi à voler 400 millions de dollars en crypto.
