North Korean Hackers Are Turning Developer Tools Into Malware Delivery Channels

Offensive cybernétique nord-coréenne : Le détournement des outils de développement

Les groupes de menace nord-coréens (tels que Contagious Interview / Void Dokkaebi) ont industrialisé leurs opérations en ciblant les développeurs via des campagnes sophistiquées de phishing et d’empoisonnement de la chaîne d’approvisionnement logicielle. L’objectif principal est le vol de fonds en cryptomonnaies, de données d’identification et d’accès aux portefeuilles numériques.

Points clés :

• Campagne UNK_DeadDrop : Utilisation de faux dépôts GitHub (masqués en tests techniques ou projets crypto) pour pousser les développeurs à cloner du code malveillant.
• Vectorisation des IDE : Exploitation de la fonctionnalité runOn: folderOpen dans VS Code et Cursor pour exécuter automatiquement des scripts malveillants dès l’ouverture d’un projet, sans interaction utilisateur.
• Propagation en ver : Les attaquants infectent les dépôts des victimes, transformant les machines compromises en plateformes pour infecter les développeurs tiers (contamination de la chaîne d’approvisionnement).
• Évolution technique : Usage massif du framework Overlord, de packages npm malveillants, de fichiers .githooks et d’outils compilés (Cython) pour éviter la détection.
• Intelligence Artificielle : Utilisation de l’IA générative pour créer des identités professionnelles fictives, concevoir des loaders de malware et mener des campagnes de recrutement frauduleuses.

Vulnérabilités exploitées :

• Il ne s’agit pas de failles logicielles de type CVE, mais d’abus de fonctionnalités légitimes (« living-off-the-land ») :
  • Configuration automatique des tâches IDE (tasks.json, .vscode folder).
  • Gestionnaires de dépendances (npm, Packagist).
  • Hooks Git (.githooks/pre-commit).
  • Abus des API Microsoft Graph et SharePoint pour le C2 (Command & Control).

Recommandations :

• Désactivation de l’exécution automatique : Désactiver ou restreindre les fonctionnalités d’exécution automatique des tâches dans les IDE (VS Code/Cursor).
• Audit des dépôts : Inspecter systématiquement les dossiers cachés (.vscode/, .githooks/) dans les projets clonés avant de les ouvrir.
• Gestion des dépendances : Vérifier rigoureusement l’intégrité des packages npm/Python importés et privilégier le verrouillage des versions (lock files).
• Isolation : Utiliser des environnements de développement isolés (machines virtuelles ou conteneurs) pour tester des projets issus de sources inconnues ou non approuvées.
• Vigilance RH : Méfiance accrue face aux processus de recrutement se déroulant uniquement via messagerie ou GitHub, en particulier pour des postes dans le secteur de la blockchain ou de la finance.

Source