Des hackers nord-coréens ciblent la crypto via Apple : nouveau malware sur macOS

Des hackers nord-coréens ont lancé une nouvelle attaque ciblant spécifiquement les employés de sociétés de crypto avec des appareils Apple. La société de cybersécurité Sentinel Labs tire la sonnette d’alarme sur cette attaque astucieuse et multiple qui utilise la manipulation, la tromperie et des malwares presque indétectables.

Le malware Nim échappe à la détection sur macOS

Le malware, appelé NimDoor, est remarquable car il est écrit dans le langage de programmation peu utilisé Nim. De ce fait, le logiciel est peu ou pas détecté par les programmes antivirus traditionnels. Selon Sentinel Labs, c’est l’une des premières attaques avec un malware Nim sur macOS.

L’attaque commence via Telegram. Là, les employés des entreprises de blockchain et Web3 sont approchés par quelqu’un se faisant passer pour un partenaire commercial fiable. Ils sont ensuite invités à une réunion Zoom. Mais cette réunion est fausse. Et dès que la victime installe une ‘mise à jour Zoom’, le malware devient actif.

Objectif : voler des crypto-actifs et des mots de passe

Une fois à l’intérieur, le malware s’installe profondément dans le système. Les attaquants obtiennent ainsi non seulement l’accès à des fichiers sensibles, mais peuvent aussi voler des mots de passe et maintenir l’accès – même après redémarrage ou tentatives d’arrêter le processus. Un des composants malveillants, CoreKitAgent, continue de fonctionner en arrière-plan sans que l’utilisateur s’en aperçoive.

L’objectif de l’attaque est clair : le crypto. Le malware cherche des mots de passe stockés dans des navigateurs comme Chrome, Brave, Edge et Firefox. Il tente également d’accéder au Keychain d’Apple et de détecter des informations sensibles dans Telegram, telles que des seed phrases et des clés privées de portefeuilles.

Le groupe Lazarus change de tactique

Sentinel Labs pointe du doigt le groupe Lazarus, une organisation de hackers notoire de Corée du Nord. Plus tôt cette année, le groupe a volé 1,5 milliard de dollars à la bourse de crypto Bybit. C’était le plus grand hack de crypto jamais réalisé. Jusqu’à présent, Lazarus utilisait principalement des malwares dans des langages de programmation comme Go et Rust. Mais avec NimDoor sur macOS, ils montrent qu’ils continuent d’adapter leurs méthodes.

Selon Sentinel Labs, nous devons abandonner l’idée que Apple est plus sûr que Windows. « Les hypothèses classiques sur macOS comme environnement sécurisé sont dépassées, » selon le rapport. Les entreprises du secteur de la crypto, surtout celles équipées d’appareils Apple, sont vivement encouragées à être particulièrement vigilantes.