Contagious Interview

🔍 Contexte Publié le 26 septembre 2026 sur opensourcemalware.com, cet article présente une analyse technique approfondie de l’évolution du malware PolinRider, attribué à la Corée du Nord (DPRK), ciblant des développeurs via des dépôts GitHub infectés. 🎯 Mécanisme d’infection initial L’attaque repose sur deux fichiers clés dans des projets VS Code : .vscode/tasks.json : contient une tâche qui s’exécute automatiquement à l’ouverture du dossier et lance le payload public/fonts/fa-solid-400.woff2 : fichier contenant un payload JavaScript obfusqué, dissimulé par des espaces blancs Le vecteur d’infection initial est vraisemblablement une attaque Contagious Interview (fausse interview d’embauche demandant de cloner et exécuter un projet). ...

📋 Contexte : L’ENISA (Agence de l’Union européenne pour la cybersécurité) a publié en septembre 2026 son rapport annuel ETL 2026 (ENISA Threat Landscape 2026), couvrant la période du 1er janvier au 31 décembre 2025. Le rapport repose sur l’analyse de 8 257 incidents collectés depuis des sources ouvertes et des informations anonymisées partagées par les États membres de l’UE. 🎯 Principaux types d’incidents : Les attaques DDoS représentent 51,3 % des incidents enregistrés, suivies des accès non autorisés (39,5 %). Parmi les techniques d’ingénierie sociale, le phishing domine à 77,8 %, suivi du malspam (13 %). L’exploitation de vulnérabilités (N-day et 0-day) constitue 60,4 % des vecteurs d’intrusion identifiés dans les cas d’accès non autorisé. ...

🌐 Contexte Publié le 18 septembre 2026 par un consortium d’agences gouvernementales (NPA, NCO Japon, FBI, DC3 USA, ASD/ACSC Australie, BND et BfV Allemagne), cet advisory conjoint expose les activités du groupe nord-coréen WaterPlum, également connu sous le nom de Contagious Interview. 🎯 Acteur et attribution WaterPlum est attribué à la Corée du Nord et opère sous le 313e Bureau général du Département de l’industrie des munitions, subordonné au Comité central du Parti des travailleurs de Corée. Le groupe combine des opérations de cyberattaques ciblant les professionnels IT et des activités de travailleurs IT nord-coréens infiltrant des entreprises légitimes. ...

📰 Source : WIRED | Date : 5 août 2026 | Contexte : Présentation à la conférence Black Hat Las Vegas Depuis 22 mois, Vangelis Stykas, chercheur en cybersécurité basé en Grèce et CTO de la société Kumio, a maintenu un accès non autorisé aux serveurs de commande et contrôle (C2) utilisés par des groupes de hackers nord-coréens. Il a présenté ses conclusions lors de la conférence Black Hat 2026 à Las Vegas. ...

🔍 Contexte Publié le 18 juillet 2026 par Elastic Security Labs (auteur : Daniel Stepanic), cet article documente une nouvelle campagne du groupe Contagious Interview, aligné DPRK, trackée sous la référence REF9403. La découverte est issue d’une activité suspecte ciblant directement le workspace Slack communautaire d’Elastic. 🎯 Vecteur d’infection Le 26 mai 2026, un utilisateur fictif nommé Maxwell a publié une fausse offre d’emploi dans le canal #jobs du Slack d’Elastic, proposant un défi de codage. Les victimes recevaient un dépôt trojanisé (projet e-commerce Next.js) à exécuter localement. Les dépôts identifiés incluent : ...

🌐 Contexte Article de recherche publié le 10 juin 2026 sur kmsec.uk par Kieran Miyamoto, chercheur indépendant en cybersécurité. L’article documente l’utilisation de Google Docs par l’acteur FAMOUS CHOLLIMA (nexus RPDC) pour mener deux campagnes distinctes mais liées. 🎯 Campagnes identifiées FAMOUS CHOLLIMA opère deux campagnes thématiquement similaires : Contagious Interview (aka DevPopper) : fausses offres d’emploi ciblant des développeurs, avec des tâches de codage hébergées sur Bitbucket/GitHub menant à une chaîne d’infection multi-étapes déployant des infostealers (OtterCookie, InvisibleFerret) pour vider des portefeuilles de cryptomonnaies. IT Worker scheme (aka WageMole) : recrutement de « proxy interviewees », des personnes conduisant des entretiens d’embauche à la place d’opérateurs FAMOUS CHOLLIMA pour faciliter l’infiltration d’entreprises. 🔗 Preuve de réutilisation d’actifs entre campagnes Un élément clé de l’analyse est la réutilisation d’une image bannière non-standard (hash de7f4a6cc9faa9e8cd165e77963b278f9c377978b1b4a0be58e41b4b1f4a525b) entre : ...

🕵️ Contexte Publié le 6 mai 2026 par l’équipe OpenSourceMalware, cet article documente une évolution tactique de la campagne Contagious Interview / TaskJacker attribuée au groupe nord-coréen Lazarus Group (DPRK). La source est un blog de threat intelligence communautaire spécialisé dans les menaces open source. 🔄 Évolution de la technique Les opérateurs ont abandonné leurs vecteurs habituels (.vscode/tasks.json, scripts postinstall dans package.json, faux fichiers .woff2) au profit de Git hooks malveillants placés dans .githooks/pre-commit. Le hook se déclenche automatiquement lorsque la victime tente de committer du code, soit exactement au moment où le faux recruteur lui demande de “corriger un bug et committer”. ...

🗞️ Contexte Article de presse spécialisée publié le 11 avril 2026 par PCMag, basé sur des informations exclusives fournies par les chercheurs de Ransom-ISAC et Crystal Intelligence. L’enquête a débuté lorsque le vice-président ingénierie de Crystal Intelligence a reçu une fausse offre d’emploi sur LinkedIn, révélant une campagne d’attaque d’envergure mondiale. 🎯 Description de l’attaque La chaîne d’attaque repose sur plusieurs étapes : Vecteur initial : fausses offres d’emploi diffusées via LinkedIn, Upwork, Telegram et Discord, ciblant des développeurs freelance (notamment en Inde et en Asie du Sud) Infection : les cibles sont invitées à exécuter du code depuis des dépôts GitHub infectés Infrastructure C2 blockchain : le code malveillant contacte les blockchains TRON ou Aptos pour récupérer un pointeur vers la Binance Smart Chain, qui héberge le payload final Persistance : le malware est encodé dans des transactions blockchain, le rendant impossible à supprimer et de plus en plus difficile à tracer 🦠 Malware : Omnistealer Le malware baptisé Omnistealer est compatible avec : ...

🔍 Contexte Publié le 2 avril 2026 par Hudson Rock sur infostealers.com, ce rapport présente une analyse forensique exhaustive d’un endpoint compromis par le stealer LummaC2 (build du 31 juillet 2024), infecté le 6 août 2024. La machine (DESKTOP-OG1CFR5, IP 192.161.60.132, Windows 10 Enterprise) appartenait à un opérateur nord-coréen travaillant pour le syndicat chinois Funnull. 💀 Vecteur d’infection L’opérateur a lui-même téléchargé un faux installateur logiciel hébergé sur MediaFire (@#Full_Istaller_Pc_Setup_2024_PaSSWṏrD^$.zip), contenant le payload LummaC2. L’infection a permis l’exfiltration de 100+ credentials, 7 000+ logs de navigation, accès Cloudflare admin et des milliers de traductions Google internes. ...

🔍 Contexte En mars 2026, l’équipe Threat Response Unit (TRU) d’eSentire a détecté EtherRAT dans l’environnement d’un client du secteur Retail. Ce backdoor Node.js est lié par Sysdig à un groupe APT nord-coréen via des recoupements avec les TTPs de la campagne “Contagious Interview”. 🎯 Vecteur d’accès initial L’accès initial a été réalisé via ClickFix, exploitant une technique d’exécution indirecte de commandes : pcalua.exe (LOLBin) est utilisé pour exécuter mshta.exe Récupération d’un script HTA malveillant “shep.hta” depuis le site compromis www-flow-submission-management.shepherdsestates.uk Obfuscation de la ligne de commande via le caractère ^ Dans d’autres incidents, TRU observe principalement des arnaques IT Support via Microsoft Teams suivies de l’utilisation de QuickAssist. ...