Le Lazarus Group frappe encore. Il s'attaque aux utilisateurs de cryptomonnaies et vide leurs porte-monnaie s'ils utilisent un ordinateur tournant sous Windows.

Le groupe de hackers nord-coréens Lazarus a encore frappé. Selon un papier publié par Volexity, ces derniers auraient lancé une campagne ciblant les utilisateurs de cryptomonnaies et les organisations avec une variante du malware AppleJeus. Les cybercriminels utilisent un site Web sur le thème de la cryptomonnaie dont le contenu provient d’un site légitime. Les visiteurs de ce faux site sont incités à télécharger une application qui, en réalité, installe une DLL, qui plus tard installe le malware AppleJeus sur le PC sous Windows des victimes. Ce dernier accède à Internet et vole leurs cryptomonnaies. Le malware en question est bien connu des services de lutte contre la cybercriminalité. Il serait apparu sur leurs radars dès 2018. La version utilisée dans cette campagne est cependant différente.

À lire — Bitcoin : pour la Banque centrale européenne, la plus célèbre des cryptomonnaies est obsolète

La campagne de phishing lancée par Lazarus Group aurait commencé en juin 2022 et se serait étendue sur plusieurs mois. Les hackers auraient utilisé le domaine « BloxHolder », qui copie le contenu de la plateforme d’échange de cryptos HaasOnline. Le site des pirates prétendait distribuer une application légitime appelée QTBitcoinTrader. En réalité, cette dernière était infestée par un malware. Les malfaiteurs ont ensuite fait évoluer leur concept : plutôt que de proposer un installeur vérolé, ils ont placé leur virus dans un fichier Excel appelé « OKX Binance & Huobi VIP fee comparision.xls » . Ce dernier renfermait une macro qui créait trois fichiers sur l’ordinateur de leurs victimes.

Le virus est installé à travers une macro placée dans un fichier Microsoft Excel

Une fois installé, le malware recueille l’adresse MAC de sa cible, le nom de l’ordinateur ainsi que la version du système d’exploitation et les envoie vers un centre de contrôle. Selon les chercheurs, la nouveauté de la technique utilisée par les pirates réside dans le fait que les DLL sont chargées à travers des procédures autorisées par Windows, ce qui empêche les antivirus de repérer leur action malicieuse.

Lazarus Group a fait parler de lui pour la première fois en 2017, avec le célèbre WannaCry qui a ravagé des milliers de PC. Il est aussi accusé d’avoir commis le plus grand vol de cryptomonnaie de tous les temps. Washington offre une prime de 5 millions $ à qui pourra donner des informations permettant de stopper leurs activités.

Source : Bleeping Computer