Contagious Interview Campaign Compromises 30,000 Devices, Steals $10.71M in Crypto

La campagne « Contagious Interview » : une vaste opération de cyberespionnage et de vol financier

La campagne « Contagious Interview », orchestrée par des acteurs nord-coréens, a compromis au moins 30 000 appareils dans plus de 100 pays. En se faisant passer pour des recruteurs sur des plateformes comme LinkedIn, ces attaquants ciblent des développeurs et des ingénieurs spécialisés dans le Web3 et la blockchain pour dérober des fonds et des identifiants. Le préjudice financier est estimé à plus de 10,71 millions de dollars.

Points clés :

• Mode opératoire : Les attaquants établissent une relation de confiance avec leurs cibles avant de leur soumettre un test technique (code, évaluation) piégé, déclenchant une chaîne d’infection par des malwares.
• Infrastructure : Utilisation de « fermes d’ordinateurs » gérées par des complices au Japon et aux États-Unis pour maintenir un accès persistant.
• Proxy hiring : Recrutement de citoyens occidentaux ou latino-américains (via Discord) pour servir de « visages » lors d’entretiens d’embauche, permettant aux agents nord-coréens de contourner les contrôles KYC et les sanctions.
• Diversification : Au-delà du vol financier, les accès obtenus servent à l’espionnage industriel, au vol de propriété intellectuelle et à l’infiltration de réseaux d’entreprise.

Malwares identifiés : La campagne déploie une large famille de logiciels malveillants, notamment : BeaverTail, InvisibleFerret, FlexibleFerret, GolangGhost, PylangGhost, OtterCookie, RATatouille, OtterCandy et StoatWaffle.

Vulnérabilités : Bien que l’article se concentre sur l’ingénierie sociale (hameçonnage), il souligne l’exploitation de l’infrastructure de confiance des développeurs. Aucune CVE spécifique n’est mentionnée, car la compromission repose sur l’exécution manuelle de code malveillant par la victime sous couvert d’un test technique.

Recommandations :

• Vigilance accrue : Se méfier des offres d’emploi trop lucratives reçues via les réseaux sociaux, surtout celles imposant l’exécution de code ou de logiciels provenant de sources non vérifiées.
• Hygiène numérique : Ne jamais accepter de laisser une tierce personne prendre le contrôle à distance de son écran pendant un entretien ou un test technique.
• Contrôle des accès : Les entreprises doivent renforcer leurs processus de vérification d’identité pour leurs prestataires et employés distants afin de détecter les tentatives de « proxy hiring ».
• Sécurité des terminaux : Utiliser des solutions de détection d’endpoints (EDR) pour isoler les environnements de développement et surveiller les communications sortantes suspectes.

Source