Les pirates DPRC utilisent ClickFix pour livrer des logiciels malveillants Beavertail dans les escroqueries de travaux de crypto

Des acteurs de menace liés à la République populaire démocrate de Corée (AKA RPDC ou Corée du Nord) ont été observés en tirant parti des leurres de style Clickfix pour livrer un malware connu appelé Beavertail et InvisibleFerret.

"L'acteur de menace a utilisé ClickFix leurre pour cibler les rôles de marketing et de trader dans les organisations des crypto-monnaies et du commerce de détail plutôt que de cibler les rôles de développement de logiciels", a déclaré Oliver Smith, chercheur de Gitlab Threat Intelligence, dans un rapport publié la semaine dernière.

Exposés pour la première fois par Palo Alto Networks à la fin de 2023, Beavertail et Invisibleferret ont été déployés par des agents nord-coréens dans le cadre d'une campagne de longue durée sur une interview contagieuse (alias gwisin gang), dans laquelle le malware est distribué aux développeurs de logiciels sous prétexte d'une évaluation de l'emploi. Évalué comme un sous-ensemble du groupe parapluie Lazare, le cluster est actif depuis au moins décembre 2022.

Au fil des ans, Beavertail a également été propagé via des packages NPM de faux et des applications de vidéoconférence frauduleuses Windows comme FCCCall et FreeConference. Écrit en JavaScript, le malware agit comme un voleur d'informations et un téléchargeur pour une porte dérobée basée sur Python connue sous le nom d'InvisibleFerret.

Une évolution importante de la campagne implique l'utilisation de la tactique d'ingénierie sociale Clickfix pour fournir des logiciels malveillants tels que Golangghost, PylangGhost et FlexibleFerret - un sous-cluster d'activité suivi comme interview Clickfake.

La dernière vague d'attaque, observée fin mai 2025, mérite d'être mise en évidence pour deux raisons: utiliser ClickFix pour livrer la queue de Beavert (plutôt que Golangghost ou FlexibleFerret) et livrer le voleur sous la forme d'un binaire compilé produit à l'aide d'outils comme PKG et Pyinstaller pour Windows, MacOS et Systems Linux.

Une fausse application Web de plateforme...
[Courte citation de 8% de l'article original]