Le groupe de renseignement sur les menaces de Google a identifié une nouvelle tactique sophistiquée employée par des pirates nord-coréens, baptisée « EtherHiding ». Cette méthode consiste à intégrer du code malveillant dans des contrats intelligents sur des réseaux de blockchain publics pour voler des cryptomonnaies et des données sensibles. La technique, apparue en 2023, utilise souvent l'ingénierie sociale pour inciter les victimes à compromettre leurs systèmes.
Points clés
-
Des pirates nord-coréens utilisent une technique appelée « EtherHiding » pour intégrer des logiciels malveillants de vol de cryptomonnaies dans des contrats intelligents.
-
L'attaque commence souvent par de l'ingénierie sociale, comme de fausses offres d'emploi, pour diriger les victimes vers des sites Web malveillants.
-
Les sites Web compromis utilisent des fonctions de blockchain « en lecture seule » pour éviter la détection et les frais de transaction.
-
Le logiciel malveillant peut évoluer pour voler des données sensibles et fournir un accès à long terme aux systèmes compromis.
La méthode d'attaque EtherHiding
Les attaquants commencent par compromettre des adresses de sites Web légitimes à l'aide d'un script de chargement. Ils injectent ensuite du code JavaScript dans le site Web. Ce code déclenche un package malveillant distinct caché dans un contrat intelligent. Lorsqu'un utilisateur interagit avec le site compromis, le logiciel malveillant est activé, dans le but de voler des fonds et des données.
Éviter la détection
De manière cruciale, le site Web compromis communique avec le réseau blockchain en utilisant une fonction « en lecture seule ». Cela permet aux acteurs de la menace d'éviter de créer des transactions réelles sur le registre, évitant ainsi la détection et minimisant les frais de transaction associés, selon les chercheurs de Google.
Tactiques d'ingénierie sociale
La campagne EtherHiding cible fréquemment les développeurs de logiciels et de cryptomonnaies. Les acteurs de la menace créent de fausses entreprises, des agences de recrutement et des profils en ligne pour présenter des offres d'emploi alléchantes. Les communications sont souvent déplacées vers des plateformes comme Discord ou Telegram, où les victimes sont invitées à effectuer des tests de codage ou des évaluations d'emploi.
Étapes de déploiement du logiciel malveillant
Au cours de la phase d'évaluation technique, les victimes sont généralement invitées à télécharger des fichiers malveillants à partir de dépôts de code comme GitHub. Dans d'autres scénarios, les attaquants peuvent initier un appel vidéo, afficher un faux message d'erreur et inviter l'utilisateur à télécharger un correctif logiciel contenant le code malveillant. Une fois installé, un logiciel malveillant de deuxième étape basé sur JavaScript, connu sous le nom de « JADESNOW », est déployé pour exfiltrer des données sensibles. Pour les cibles de grande valeur, une troisième étape peut accorder aux attaquants un accès persistant à la machine compromise et aux systèmes réseau connectés.
Sources
-
North Korea Hackers Embed Sophisticated Code Exploit in Smart Contracts, Cointelegraph.
-
What is EtherHiding? Google flags malware with crypto-stealing code in smart contracts — TradingView News, TradingView.
Cet article a été créé avec le soutien d'une technologie alimentée par l'IA, en s'appuyant sur plusieurs sources réputées. Le contenu final a été soigneusement examiné et édité par l'équipe éditoriale de BlockzHub afin de garantir précision, clarté et cohérence. Les sources d'information originales sont créditées lorsque cela est approprié et requis. Les opinions exprimées dans cet article ne reflètent pas nécessairement les points de vue ou les positions officielles de BlockzHub. Cet article est uniquement destiné à des fins informatives et ne doit pas être considéré comme un conseil financier ou professionnel. Investir comporte des risques, et il est recommandé de consulter un conseiller financier qualifié avant de prendre toute décision d’investissement.