Le logiciel malveillant ObjCShellz lié à l'acteur de menace NK BlueNoroff
Le groupe d'États-nations BlueNoroff, associé à la Corée du Nord, est désormais lié à une souche de malware macOS non divulguée appelée ObjCShellz, comme l'a révélé Jamf Threat Labs. Ce malware fait partie de la campagne de malware RustBucket dévoilée plus tôt cette année. Selon le chercheur en sécurité Ferdous Saljooki, l'analyse des attaques BlueNoroff passées suggère que ce malware fonctionne comme une étape tardive d'une attaque en plusieurs étapes lancée via l'ingénierie sociale.
BlueNoroff, également connu sous les alias APT38, Nickel Gladstone, Sapphire Sleet, Stardust Chollima et TA444, fonctionne comme une unité subordonnée du célèbre groupe Lazarus. Spécialisée dans les crimes financiers, BlueNoroff cible les banques et le secteur de la cryptographie pour contourner les sanctions et générer des profits illicites pour le régime.
Cette révélation fait suite à la révélation par Elastic Security Labs de l'utilisation par le groupe Lazarus d'un nouveau malware macOS appelé KANDYKORN pour cibler les ingénieurs blockchain. De plus, RustBucket, une porte dérobée basée sur AppleScript associée à BlueNoroff, est utilisée pour récupérer une charge utile de deuxième étape à partir d'un serveur contrôlé par l'attaquant.
Les offres d’emploi utilisées comme appâts dans la chaîne d’infection
Les attaques orchestrées par BlueNoroff consistent à attirer des cibles potentielles avec des promesses de conseils en investissement ou d'opportunités d'emploi, en initiant la chaîne d'infection via un document leurre.
Bien que les chercheurs manquent d’informations spécifiques sur les cibles, les attaques récentes et les noms de domaine utilisés par les attaquants suggèrent qu’ils se concentrent sur les entreprises du secteur des cryptomonnaies ou qui y sont étroitement associées. Le vecteur d'accès initial précis de l'attaque reste inconnu, mais les soupçons portent sur la transmission du malware comme charge utile post-exploitation pour exécuter manuellement des commandes sur la machine compromise.
