Les Bitcoiners font face à un nouvel avertissement concernant une campagne active d'ingénierie sociale qui pirate des comptes Telegram de confiance et dirige les professionnels des cryptomonnaies vers de fausses réunions Zoom ou Microsoft Teams.
Lightning News a tiré la sonnette d'alarme le 7 août, citant de récents témoignages de membres de la communauté Bitcoin. Des recherches indépendantes en sécurité confirment la chaîne d'attaque principale, bien que toutes les affirmations n'aient pas été vérifiées.
JUMPSEC a déclaré en juillet avoir obtenu le code source d'un kit de phishing BlueNoroff actif après l'exposition de cartes sources JavaScript. Les chercheurs ont découvert une plateforme d'acquisition de victimes qui abuse de contacts Telegram compromis, profile les portefeuilles de cryptomonnaies et délivre des logiciels malveillants à des cibles sélectionnées sur les systèmes Windows et macOS. JUMPSEC a indiqué que l'infrastructure de la campagne identifiée restait active au 22 juillet.
L'attaque commence par la confiance plutôt que par une vulnérabilité de la blockchain. JUMPSEC a découvert des opérateurs utilisant des comptes Telegram compromis appartenant à de véritables contacts de l'industrie pour inviter des cibles à de fausses réunions vidéo. Parce que les messages proviennent de comptes authentiques et peuvent faire référence à des relations existantes, la seule reconnaissance de l'expéditeur offre une protection limitée.
Google Mandiant a documenté de manière indépendante une intrusion UNC1069 similaire en février. Une victime a reçu des messages d'un compte Telegram compromis d'un dirigeant de la crypto, a planifié une réunion et a été redirigée vers un faux domaine Zoom. La victime a signalé avoir vu ce qui semblait être une vidéo générée par IA d'un autre dirigeant de la crypto pendant l'appel mis en scène.
L'attribution nécessite de la précision. Mandiant suit l'acteur sous le nom d'UNC1069 et affirme qu'il chevauche BlueNoroff. Le Trésor américain a officiellement désigné BlueNoroff, également connu sous le nom d'APT38, comme un groupe parrainé par l'État nord-coréen contrôlé par le Bureau général de reconnaissance. Security Alliance attribue également la campagne de fausses réunions à UNC1069, ou BlueNoroff.
Le kit reconstruit par JUMPSEC montre une interface de réunion mise en scène demandant l'accès à la webcam avant qu'un opérateur ne rejoigne avec une vidéo préenregistrée. La victime voit ensuite un prétendu problème audio et une fausse mise à jour logicielle. Le texte de dépannage affiché est trompeur : le copier place une commande ClickFix contrôlée par l'attaquant dans le presse-papiers.
Sur Windows, JUMPSEC a observé des composants PowerShell et VBScript capables de désactiver les défenses, de mener des reconnaissances et de soutenir un accès ultérieur. Sur macOS, les chercheurs ont trouvé des scripts shell et des charges utiles Mach-O conçues pour voler des identifiants et d'autres données sensibles. Le kit scanne également les fournisseurs de portefeuilles de navigateur avant la livraison de logiciels malveillants, aidant les opérateurs à identifier les cibles de valeur.
Cela signifie que l'affirmation selon laquelle le simple fait d'ouvrir un lien de réunion vide automatiquement un portefeuille est trop large. Dans les chaînes documentées, le compromis nécessite une autre action, comme l'exécution d'une commande copiée ou d'une mise à jour malveillante. Cependant, une fois le logiciel malveillant exécuté, Mandiant a découvert des outils capables de voler des données de navigateur, des identifiants Keychain et des données utilisateur Telegram.
Comme signalé précédemment, Martin Kuchař a déclaré que son compte Telegram avait été compromis et utilisé dans une attaque similaire. Une couverture antérieure des victimes a également documenté des dirigeants de la crypto approchés via des contacts de confiance avant que de fausses invites de réunion ne tentent d'installer des logiciels malveillants.
Security Alliance a signalé avoir attribué 164 domaines bloqués à l'UNC1069 entre le 6 février et le 7 avril. Son avis décrivait une ingénierie sociale de plusieurs semaines via Telegram, LinkedIn et Slack avant la livraison de liens Zoom ou Teams frauduleux. JUMPSEC a ensuite élargi le tableau de l'infrastructure et a déclaré que l'infrastructure de haute et moyenne confiance restait active fin juillet.
Le FBI a averti séparément que des acteurs nord-coréens mènent une ingénierie sociale hautement ciblée contre les employés de la cryptomonnaie et de la DeFi. Ses directives signalent spécifiquement les demandes d'exécution de code, d'installation d'applications inconnues, d'exécution de scripts pour corriger des appels vidéo ou de déplacement de conversations entre plateformes de communication.
Le FBI recommande de vérifier les identités via un canal indépendant et de garder les identifiants de portefeuille, les phrases de récupération et les clés privées hors des appareils connectés à Internet. L'authentification à deux facteurs reste utile, mais les appareils infectés peuvent exposer les données de session, de sorte que les sessions compromises doivent également être révoquées depuis un appareil propre.
La correction la plus importante à l'avertissement du 7 août est que les chercheurs n'ont pas établi une méthode universelle pour la prise de contrôle initiale de Telegram. Les affirmations selon lesquelles les numéros de téléphone expirés ou temporaires sont la cause principale restent invérifiées dans le matériel examiné. Les chercheurs confirment les comptes compromis, mais le mécanisme de prise de contrôle peut varier.
Dans une couverture distincte de la plateforme Telegram, Apple a brièvement retiré l'application de messagerie de son App Store suite à un examen de la politique CSAM, avant de la restaurer après que Telegram ait supprimé le contenu signalé et banni l'utilisateur responsable.
Les utilisateurs devraient traiter les demandes de réunion inattendues, les changements de domaine, les invites de correction audio et les demandes de copier-coller de commandes comme des signaux à haut risque. Si un code suspect a déjà été exécuté, le FBI conseille de déconnecter l'appareil affecté d'Internet tout en le laissant allumé pour une éventuelle récupération forensique, puis de contacter des spécialistes de la réponse aux incidents et les forces de l'ordre.
La campagne est donc mieux décrite comme une opération continue d'ingénierie sociale liée à la Corée du Nord, ciblant la couche humaine autour de la garde des cryptomonnaies. Son efficacité provient de l'exploitation d'identités de confiance et d'outils de travail familiers, et non d'une rupture de Bitcoin lui-même.
