Des hackers liés à la Chine ciblent aussi les investisseurs crypto

Le groupe de hackers chinois Jewelbug, associé à des opérations d’espionnage pour le compte de l’État chinois, serait également impliqué dans une cybercriminalité de grande ampleur. La société de cybersécurité Symantec relie le groupe à des attaques visant à dérober de l’argent, des cryptomonnaies, des identifiants et d’autres informations sensibles.

Fait notable, Jewelbug utiliserait en partie la même infrastructure technique pour ces attaques financières que pour ses activités d’espionnage. Selon les chercheurs, le groupe pourrait s’inscrire dans un réseau chinois plus large, mobilisant aussi des hackers externes et des acteurs commerciaux.

Pour les investisseurs en cryptomonnaies, c’est surtout le mode opératoire qui inquiète. Les hackers créent des copies très convaincantes de sites crypto connus et cherchent à les faire remonter dans les résultats de recherche. Une requête en apparence banale peut ainsi conduire vers un site conçu pour voler des données ou des cryptomonnaies.

Des hackers chinois redirigent les investisseurs crypto vers de faux sites

Jewelbug, également connu sous le nom d’Earth Alux, cible notamment des administrations et des organisations militaires en Asie et au Moyen-Orient dans le cadre de ses activités d’espionnage. Les attaques motivées par l’appât du gain visent surtout les internautes sinophones.

Une nuance importante s’impose toutefois. Selon Symantec, rien ne permet d’établir que tous les hackers impliqués travaillent directement pour le gouvernement chinois. Les chercheurs estiment que Jewelbug pourrait faire partie d’un réseau plus vaste, dans lequel la Chine recourt aussi à des acteurs externes pour mener des opérations de cyberespionnage.

Les activités financières sont liées à une entreprise officiellement enregistrée dans la province chinoise du Hunan. Sur le papier, cette société est spécialisée dans l’optimisation pour les moteurs de recherche, plus connue sous le sigle SEO. Ces techniques visent à améliorer la visibilité des sites web dans les moteurs de recherche.

Jewelbug utiliserait ces mêmes compétences pour mettre en avant des sites frauduleux auprès de ses victimes. L’intelligence artificielle joue également un rôle dans ce dispositif. Le groupe s’en sert pour créer à grande échelle de fausses pages de téléchargement imitant les sites de plateformes crypto connues.

Les hackers ont enregistré des centaines de noms de domaine très proches de ceux de Binance, OKX et d’autres plateformes. Ils utilisent aussi plus de quarante systèmes de gestion de sites et des robots automatisés afin de faire remonter ces fausses pages dans les résultats de recherche.

Symantec a également identifié une autre méthode pour atteindre les victimes. Les moteurs de recherche voyaient parfois des pages différentes de celles affichées aux visiteurs ordinaires. Une page inoffensive pouvait ainsi apparaître dans les résultats, tandis qu’un clic redirigeait l’utilisateur vers un site malveillant.

Selon Symantec, une partie de cette fraude a pu être reliée avec un haut degré de certitude à un employé chargé des questions juridiques au sein de l’entreprise du Hunan. Cette personne aurait été active sur Telegram sous le nom de « paopaodada », soit « Bubble Boss ».

Les chercheurs soulignent toutefois que cela ne signifie pas nécessairement que cette personne ait aussi participé aux opérations d’espionnage. Différentes branches de l’organisation ont pu utiliser la même infrastructure et les mêmes outils.

Plus d’un million d’installations de logiciels malveillants détectées

L’ampleur de l’opération ressort d’une base de données divulguée que Symantec a analysée. En moins de trois mois, plus d’un million d’installations de logiciels malveillants y ont été enregistrées.

Un logiciel malveillant permet notamment à des attaquants de voler des données ou de prendre le contrôle d’un ordinateur à distance. La base contenait également plus de 580 000 cookies de navigateur dérobés, plusieurs milliers d’identifiants compromis et plus de 2 300 e-mails volés.

Pour les victimes, les cookies et jetons de session volés peuvent être particulièrement dangereux. Les sites web les utilisent notamment pour reconnaître qu’un utilisateur est déjà connecté. S’ils tombent entre les mains de hackers, ces derniers peuvent dans certains cas accéder à un compte sans avoir à saisir de nouveau le mot de passe.

De grands groupes semblent également avoir été touchés. Symantec a détecté un logiciel malveillant se connectant depuis le réseau d’une grande entreprise américaine active notamment dans l’aéronautique, le spatial et l’industrie.

Selon les chercheurs, Jewelbug dispose en outre de cinq générations de logiciels malveillants spécialisés permettant de piloter à distance des appareils infectés.

Un exemple frappant est une extension de navigateur malveillante pour Google Chrome et Mozilla Firefox. Présentée comme un lecteur PDF ordinaire sous le nom PDF Viewer, elle permet, une fois installée, de voler des cookies et des identifiants, de suivre les téléchargements et d’intercepter le trafic internet.

Jewelbug dissimule ses attaques dans le trafic Microsoft

Pour d’autres attaques, Jewelbug utilise une porte dérobée Windows baptisée Antino. Elle permet aux hackers d’obtenir un accès furtif à un ordinateur, puis d’en prendre le contrôle à distance.

Le logiciel malveillant a notamment été diffusé via des fichiers exploitant l’actualité géopolitique. Lors d’une campagne, les hackers ont ainsi utilisé une fausse invitation à un événement du Center for Strategic and International Studies à Washington. D’autres fichiers infectés se faisaient passer pour des logiciels d’Adobe.

Une fois installé, Antino communique, selon Symantec, via l’API Microsoft Graph. Il s’agit d’une technologie légitime permettant à des applications de se connecter aux services de Microsoft.

C’est précisément ce qui rend le logiciel malveillant plus difficile à détecter. Le trafic malveillant peut se fondre dans des communications normales avec Microsoft, ce qui réduit les chances que les systèmes de sécurité repèrent des connexions suspectes. Antino a été trouvé sur des systèmes infectés, notamment au Moyen-Orient et en Asie du Sud.

Pour les investisseurs en cryptomonnaies, c’est surtout la combinaison des techniques employées qui rend l’opération dangereuse. Jewelbug ne dépend pas uniquement de messages suspects ou de liens envoyés directement aux victimes. Le groupe cherche aussi à manipuler les moteurs de recherche et construit des copies crédibles de sites crypto connus.

Une attaque peut donc commencer là où beaucoup d’utilisateurs s’attendent justement à peu de danger : une recherche ordinaire du nom de leur plateforme d’échange crypto. Un résultat qui paraît fiable peut finalement mener vers un site conçu pour voler des identifiants ou des cryptomonnaies.