La Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis a publié un nouveau rapport avertir les entreprises d’un nouveau logiciel malveillant sauvage que les pirates nord-coréens utiliseraient pour espionner les employés clés des entreprises publiques.

Surnommé ‘BLINDINGCAN, ‘le cheval de Troie d’accès distant avancé agit comme une porte dérobée lorsqu’il est installé sur des ordinateurs compromis.

Selon le FBI et CISA, les pirates informatiques nord-coréens, Lazarus Group, également connu sous le nom de Hidden Cobra, diffusent BLINDINGCAN pour «recueillir des renseignements sur les technologies militaires et énergétiques clés».

Pour y parvenir, les attaquants identifient d’abord des cibles de grande valeur, effectuent des recherches approfondies sur leurs réseaux sociaux et professionnels, puis se font passer pour des recruteurs pour envoyer des documents malveillants chargés de logiciels malveillants, se faisant passer pour des offres d’emploi et des offres.

Cependant, ces escroqueries à l’emploi et stratégies d’ingénierie sociale ne sont pas nouvelles et ont été récemment Pointé utilisé dans une autre campagne de cyberespionnage similaire par des pirates nord-coréens contre le secteur de la défense israélien.

« Ils ont construit de faux profils sur Linkedin, un réseau social qui est principalement utilisé pour la recherche d’emploi dans le secteur de la haute technologie », a déclaré le ministère israélien des Affaires étrangères.

«Les attaquants se sont fait passer pour des managers, des PDG et des hauts responsables des départements RH, ainsi que des représentants d’entreprises internationales, et ont contacté des employés des principales industries de la défense en Israël, dans le but de développer des discussions et de les inciter à diverses opportunités d’emploi.

«Dans le processus d’envoi des offres d’emploi, les attaquants ont tenté de compromettre les ordinateurs de ces employés, d’infiltrer leurs réseaux et de recueillir des informations de sécurité sensibles. Les attaquants ont également tenté d’utiliser les sites Web officiels de plusieurs entreprises afin de pirater leurs systèmes. « 

Le rapport CISA indique que les attaquants contrôlent à distance les logiciels malveillants BLINDINGCAN via une infrastructure compromise de plusieurs pays, ce qui leur permet de:

• Récupérez des informations sur tous les disques installés, y compris le type de disque et la quantité d’espace libre sur le disque
• Créer, démarrer et terminer un nouveau processus et son thread principal
• Rechercher, lire, écrire, déplacer et exécuter des fichiers
• Obtenir et modifier les horodatages de fichiers ou de répertoires
• Changer le répertoire actuel d’un processus ou d’un fichier
• Supprimez les logiciels malveillants et les artefacts associés au logiciel malveillant du système infecté.

Entreprises de cybersécurité Trend Micro et Ciel clair a également documenté cette campagne dans un rapport détaillé expliquant:

« Lors de l’infection, les attaquants ont recueilli des renseignements sur l’activité de l’entreprise, ainsi que sur ses affaires financières, probablement pour essayer de lui voler de l’argent. Le double scénario d’espionnage et de vol d’argent est unique à la Corée du Nord, qui exploite des unités de renseignement qui voler des informations et de l’argent pour leur pays. « 

Selon ce rapport, les attaquants nord-coréens n’ont pas seulement contacté leurs cibles par courrier électronique, mais ont également mené des entretiens en ligne en face à face, principalement sur Skype.

« Le maintien d’un contact direct, au-delà de l’envoi d’e-mails de phishing, est relativement rare dans les groupes d’espionnage des États-nations (APT); cependant, comme il sera montré dans ce rapport, Lazarus a adopté cette tactique pour assurer le succès de leurs attaques », selon les chercheurs. m’a dit.

CISA a publié des informations techniques pour faciliter la détection et l’attribution, ainsi que recommandé une variété de procédures préventives pour réduire considérablement la possibilité de ce type d’attaque.