Les pirates nord-coréens Kimsuky ont déployé un logiciel malveillant ciblant les entreprises de crypto : Kaspersky

Sujha Sundararajan

Dernière mise à jour :

13 mai 2024 02 :28 HAE | Temps de lecture : 1 min

Selon les conclusions du géant des solutions de cybersécurité Kaspersky, Durian se caractérise par sa « fonctionnalité complète de porte dérobée ». Cette fonctionnalité permet l’utilisation des commandes délivrées, le téléchargement de fichiers supplémentaires et l’exfiltration de fichiers.

Les attaques auraient eu lieu entre août et novembre 2023, impliquant un exploit logiciel sud-coréen pour obtenir un accès initial.

"Sur la base de notre télémétrie, nous avons identifié deux victimes dans le secteur sud-coréen des crypto-monnaies. Le premier compromis a eu lieu en août 2023, suivi d’un second en novembre 2023.

Une fois que le malware est établi et opérationnel sur le serveur de la victime, Durian a déployé des outils supplémentaires, notamment la porte dérobée AppleSeed de Kimsuky et un outil proxy personnalisé nommé LazyLoad.

Il est intéressant de noter que l’outil LazyLoad est lié à Andariel, un sous-groupe au sein du célèbre Lazarus. Cela soulève également le soupçon de tactiques partagées entre les deux groupes de menaces nord-coréens, a rapporté le Hacker News.

Selon les rapports, Kimsuky a commencé au moins en 2012 et relève du Bureau général de reconnaissance (RGB) de la Corée du Nord, l’agence de renseignement militaire du pays.

La mafia du courrier de Kimsuky

Le groupe Kimsuky est bien connu pour avoir mené diverses attaques de phishing par e-mail pour voler des cryptos.

En décembre 2023, le groupe s’est déguisé en représentants d’agences gouvernementales sud-coréennes et en journalistes pour voler des crypto-monnaies. Au total, 1 468 personnes ont été victimes des pirates cryptographiques entre mars et octobre 2023, selon les rapports de police.

Parmi les victimes figuraient également des fonctionnaires à la retraite de la diplomatie, de l’armée et de la sécurité nationale. Les auteurs auraient envoyé des e-mails d’hameçonnage d’apparence légitime pour commettre cet acte douteux.

Le groupe de piratage soutenu par l’État avait précédemment ciblé des entreprises russes de défense aérospatiale « profitant de la pandémie de coronavirus ».

Selon le rapport de Kommersant, RT-Inform, la branche de sécurité informatique de l’agence technologique d’État russe Rostec, a noté qu’il y a eu une augmentation du nombre de cyberattaques sur le réseau informatique pendant la pandémie d’avril à septembre 2020. Cependant, il n’a ni démenti ni confirmé les informations sur l’attaque de Kimsuky.

Suivez-nous sur Google Actualités