DPRK

🌐 Contexte Publié le 17 septembre 2026 par l’équipe Chainalysis, cet article de recherche documente l’émergence et la prolifération des Blockchain Dead Drops (BDD), une technique permettant à des acteurs malveillants de stocker des instructions de malware ou des configurations C2 sur des blockchains publiques, rendant ces infrastructures quasi impossibles à démanteler. 📈 Tendances et chiffres clés Les écriture malveillantes sur blockchain ont augmenté de 440% depuis l’émergence de LLMs open-source chinois sans restrictions sur la génération de code malveillant Passage de 2,06 écritures/jour à 11,1 écritures/jour Hausse de 420% sur les 12 derniers mois En Q2 2026, les groupes liés à des États représentent deux tiers des nouvelles activités BDD par trimestre Activité tracée sur 5 blockchains majeures et plus d’une douzaine de souches malware 🕰️ Historique des BDD 2013 : Variante du botnet Necurs stockant des domaines C2 sur Namecoin 2019 : Adresses IP C2 encodées dans des montants de Satoshis ; botnet Glupteba utilisant le champ OP_RETURN de Bitcoin Mi-2023 : Apparition d’EtherHiding sur Binance Smart Chain (BSC) par les opérateurs ClearFake Décembre 2023 : Botnet DDoS Smargaft actif sur BSC via smart contract C2 Fin 2024 : Acteurs iraniens liés au Ministère du Renseignement intégrant des données C2 dans des transactions Bitcoin Début 2025 : Agents nord-coréens renforçant leur campagne de faux entretiens d’embauche avec EtherHiding 🎯 Acteurs et techniques Corée du Nord – UNC5342 (DPRK) Utilisation de smart contracts sur blockchains publiques pour livrer des malwares à des développeurs crypto cherchant un emploi Technique de relay multi-chaînes : TRON et Aptos comme pointeurs redondants vers BSC où le payload est stocké Le malware déchiffre les instructions C2 depuis les données d’entrée de transactions BSC Déploiement de malwares voleurs de credentials pour drainer des actifs crypto Attribution confirmée via le même wallet déployeur BSC identifié par Google GTIG/Mandiant Iran – Ministère du Renseignement Écriture de données de routage C2 encodées dans des transactions Bitcoin via le champ OP_RETURN Utilisation d’une adresse Bitcoin historiquement liée à Satoshi Nakamoto comme point de lookup permanent Rotation d’infrastructure via de nouvelles transactions Bitcoin Attribution basée sur la famille de malware, la logique de décodage, le timing opérationnel et l’infrastructure C2 Cybercriminels russophones – MaaS sur Polygon Smart contracts sur Polygon utilisés comme résolveurs C2 Modèle Malware-as-a-Service (MaaS) avec panel opérateur en russe et abonnement Un wallet opérateur contrôle une flotte de contrats de stockage liés à différents clients/campagnes Liens avec des tokens frauduleux imitant des stablecoins, des campagnes de clipboard hijacking, et plus de 50 contrats résolveurs BSC quasi-identiques 🔧 Techniques BDD identifiées Transaction-based storage : C2 encodé dans des champs de transaction (OP_RETURN, calldata, memos) Contract-based storage : Smart contracts comme stockage résilient de pointeurs C2 (modèle EtherHiding) Phantom wallets : Adresses sans paire de clés privées contenant l’IP C2 dans les octets de l’adresse 📋 Type d’article Il s’agit d’une publication de recherche produite par Chainalysis, visant à documenter une nouvelle catégorie de techniques d’attaque (BDD), à attribuer l’activité à des acteurs spécifiques, et à promouvoir ses capacités d’analyse blockchain pour la détection et l’attribution de ces menaces. ...

🔍 Contexte Publié le 26 septembre 2026 sur opensourcemalware.com, cet article présente une analyse technique approfondie de l’évolution du malware PolinRider, attribué à la Corée du Nord (DPRK), ciblant des développeurs via des dépôts GitHub infectés. 🎯 Mécanisme d’infection initial L’attaque repose sur deux fichiers clés dans des projets VS Code : .vscode/tasks.json : contient une tâche qui s’exécute automatiquement à l’ouverture du dossier et lance le payload public/fonts/fa-solid-400.woff2 : fichier contenant un payload JavaScript obfusqué, dissimulé par des espaces blancs Le vecteur d’infection initial est vraisemblablement une attaque Contagious Interview (fausse interview d’embauche demandant de cloner et exécuter un projet). ...

🗓️ Contexte Publié le 17 septembre 2026 sur le blog officiel de Rust (rust-lang.org), cet article émane de l’équipe crates.io et du groupe de travail sécurité. Il alerte sur une campagne active ciblant des membres prominents de la communauté Rust et des propriétaires de crates populaires. 🎯 Nature de l’attaque Les attaquants utilisent des appels vidéo frauduleux comme vecteur d’infection, en se présentant sous des prétextes légitimes (offre d’emploi, projet, opportunité contractuelle). Deux techniques sont employées : ...

🌐 Contexte Publié le 14 septembre 2026 sur le blog de Barracuda Networks par Christine Barry, cet article analyse en profondeur la menace des faux travailleurs nord-coréens, opération attribuée au groupe Famous Chollima (également suivi sous les noms UNC5267 par Mandiant/Google, Jasper Sleet par Microsoft, et associé à Wagemole). 🎭 Mécanisme d’attaque Contrairement aux cyberattaques classiques, Famous Chollima ne compromet pas de systèmes via des vulnérabilités ou des credentials volés. Le groupe obtient un accès légitime en se faisant embaucher sous de fausses identités dans des entreprises cibles : ...

🌐 Contexte Publié le 7 septembre 2026 par Kudelski Security en partenariat avec Sekoia (équipe TDR), cet article de recherche constitue une analyse stratégique et technique approfondie des capacités cyber offensives de la République Populaire Démocratique de Corée (RPDC). Il couvre l’architecture institutionnelle, les clusters APT, les programmes de travailleurs IT frauduleux et l’écosystème de soutien. 🏛️ Architecture institutionnelle Les opérations cyber nord-coréennes sont pilotées par trois institutions principales : GRIB (ex-RGB / Bureau général de reconnaissance) : principale agence de renseignement étranger, commandant les unités cyber offensives les plus capables, désigné KPA Unité 586 NIA (ex-MSS / Agence nationale de renseignement) : anciennement Ministère de la Sécurité d’État, renommé en juin 2026, chargé du contre-espionnage et des opérations contre les dissidents KWP (Parti des travailleurs coréens) : fixe les orientations politiques qui dictent les priorités cyber Les réorganisations fréquentes sont décrites comme un mécanisme de contrôle délibéré maintenant la compétition entre agences pour la faveur de Kim Jong-un. ...

🔍 Contexte Publié le 1er septembre 2026 par Kunal Singh sur le blog de SafeDep, cet article présente une analyse technique approfondie d’une chaîne de livraison de malware via l’écosystème npm, détectée en juin 2026 et référencée sous l’advisory MAL-2026-6672. 🎯 Mécanisme d’attaque : une chaîne de dépendances transitives L’attaque repose sur trois packages npm imbriqués : ioredis-xyz (Layer 1) : typosquat de ioredis, un client Redis légitime. La version 5.11.2 ajoute redis-type-xyz comme dépendance inutilisée. redis-type-xyz (Layer 2) : typosquat de Redis OM, sans code exécutable. La version 1.10.6 ajoute ulid-xyz comme dépendance. ulid-xyz (Layer 3) : typosquat de ulidx, contient le payload malveillant de 467 Ko déclenché via un script postinstall. Le payload n’était pas présent lors de la publication initiale d’ioredis-xyz : il a été injecté 19 minutes plus tard via la mise à jour d’une dépendance transitive, rendant la détection initiale impossible. ...

🗓️ Contexte Le 20 août 2026, Wiz Research publie une analyse technique d’une attaque de chaîne d’approvisionnement ciblant l’écosystème Rust via le registre officiel crates.io. L’article s’appuie également sur des données de Google Threat Intelligence. 🎯 Vecteur d’attaque Trois crates Rust légitimes ont été compromises par la publication de versions malveillantes : arrayref@0.3.10 (présent dans >35% de tous les environnements, ¾ des environnements Rust) internment@0.8.7 append-only-vec@0.1.9 Ces versions ajoutent une dépendance typosquattée (proc-macro1, imitant le légitime proc-macro2 avec 154M+ téléchargements). Le script de build build.rs de proc-macro1 exécute la charge malveillante au moment de la compilation (cargo build), sans interaction utilisateur supplémentaire. ...

🔍 Contexte Publié le 29 juillet 2026 sur l’AWS Security Blog par CJ Moses (CISO Amazon Integrated Security), cet article présente les conclusions de l’Amazon Threat Intelligence sur une série d’attaques de supply chain open source attribuées à un acteur lié à la Corée du Nord (DPRK). 🎯 Campagnes identifiées Amazon Threat Intelligence a relié plusieurs compromissions de packages NPM populaires au même acteur : Mars 2025 : compromission du package typo-crypto (campagne test à faible volume) Septembre 2025 : compromission des packages debug et chalk Mars 2026 : compromission du package axios (>100 millions de téléchargements hebdomadaires) Dans chaque cas, l’acteur a utilisé du social engineering pour compromettre un mainteneur de confiance, puis a publié une mise à jour contenant du code malveillant. ...

🔍 Contexte Publié le 18 juillet 2026 par Elastic Security Labs (auteur : Daniel Stepanic), cet article documente une nouvelle campagne du groupe Contagious Interview, aligné DPRK, trackée sous la référence REF9403. La découverte est issue d’une activité suspecte ciblant directement le workspace Slack communautaire d’Elastic. 🎯 Vecteur d’infection Le 26 mai 2026, un utilisateur fictif nommé Maxwell a publié une fausse offre d’emploi dans le canal #jobs du Slack d’Elastic, proposant un défi de codage. Les victimes recevaient un dépôt trojanisé (projet e-commerce Next.js) à exécuter localement. Les dépôts identifiés incluent : ...

🔍 Contexte Publié le 23 juin 2026 par SentinelLABS (Phil Stokes), cet article présente l’analyse technique d’un implant macOS baptisé macOS.Gaslight, découvert après une mise à jour XProtect d’Apple début juin 2026. L’échantillon avait été soumis sur VirusTotal le 22 mai 2026 et restait non détecté par les moteurs statiques au moment de la publication. 🎯 Attribution et cluster SentinelLABS attribue avec haute confiance cet implant à un cluster d’activité macOS aligné DPRK (Corée du Nord). Apple détecte l’échantillon sous la règle XProtect MACOS_BONZAI_COBUCH, famille associée par SentinelLABS à l’activité nord-coréenne. Un échantillon BONZAI frère est également détecté par la règle AIRPIPE, également liée à la Corée du Nord. ...