Les hackers de la RPDC utilisent « EtherHiding » pour héberger des malwares sur les blockchains Ethereum et BNB : Google
Le Threat Intelligence Group de Google a averti que la Corée du Nord utilise EtherHiding—un logiciel malveillant qui se cache dans les smart contracts de la blockchain et permet le vol de cryptomonnaies—dans ses opérations de cyberattaque, alors que 2025 s’annonce comme une année record pour les vols de crypto par cet État voyou.
Bien que les chercheurs de Google aient indiqué qu’EtherHiding a été utilisé par des acteurs malveillants motivés par l’appât du gain exploitant la blockchain pour distribuer des infostealers depuis au moins septembre 2023, c’est la première fois qu’ils observent son utilisation par un État-nation. Ce logiciel malveillant est particulièrement résistant aux méthodes traditionnelles de suppression et de blocage.
« EtherHiding présente de nouveaux défis, car les campagnes traditionnelles ont généralement été stoppées en bloquant les domaines et adresses IP connus », ont déclaré les chercheurs dans un article de blog, en soulignant que les smart contracts sur BNB Smart Chain et Ethereum ont hébergé du code malveillant. Les auteurs du malware pourraient « exploiter la blockchain pour effectuer d’autres étapes de propagation du malware, puisque les smart contracts fonctionnent de manière autonome et ne peuvent pas être arrêtés », ont-ils ajouté.
Bien que les chercheurs en sécurité puissent alerter la communauté en étiquetant un contrat comme malveillant sur les scanners officiels de la blockchain, ils ont noté que « des activités malveillantes peuvent toujours être réalisées ».
La menace des hackers nord-coréens
Les hackers nord-coréens ont volé plus de 2 milliards de dollars jusqu’à présent cette année, la majeure partie provenant de l’attaque de 1,46 milliard de dollars contre la plateforme d’échange Bybit en février, selon un rapport d’octobre de la société d’analyse blockchain Elliptic.
La RPDC a également été tenue responsable des attaques contre LND.fi, WOO X et Seedify, ainsi que de trente autres piratages, portant le montant total volé par le pays à ce jour à plus de 6 milliards de dollars. Selon les agences de renseignement, ces fonds servent à financer les programmes d’armes nucléaires et de missiles du pays.
Obtenus par un mélange d’ingénierie sociale, de déploiement de logiciels malveillants et d’espionnage cybernétique sophistiqué, la Corée du Nord a développé un ensemble de tactiques pour accéder aux systèmes financiers ou aux données sensibles des entreprises. Le régime a prouvé qu’il était prêt à aller très loin pour y parvenir, y compris en créant de fausses entreprises et en ciblant les développeurs avec de fausses offres d’emploi.
Les cas rapportés à Decrypt montrent également que les groupes de hackers nord-coréens embauchent désormais des non-Coréens comme prête-noms pour les aider à passer des entretiens et obtenir des emplois dans des entreprises technologiques et crypto, alors que les employeurs deviennent plus méfiants envers les Nord-Coréens se faisant passer pour d’autres lors des entretiens. Les attaquants peuvent également attirer les victimes vers des réunions vidéo ou de fausses sessions d’enregistrement de podcasts sur des plateformes qui affichent ensuite des messages d’erreur ou invitent à télécharger des mises à jour contenant du code malveillant.
Les hackers nord-coréens ont également ciblé l’infrastructure web conventionnelle, téléchargeant plus de 300 paquets de code malveillant sur le registre npm, un référentiel de logiciels open source utilisé par des millions de développeurs pour partager et installer des logiciels JavaScript.
Comment fonctionne EtherHiding ?
Le dernier pivot de la Corée du Nord pour inclure EtherHiding dans son arsenal remonte à février 2025, et depuis lors, Google a déclaré avoir suivi UNC5342—un acteur de la menace nord-coréen lié au groupe de hackers FamousChollima—qui a intégré EtherHiding dans sa campagne d’ingénierie sociale Contagious Interview.
L’utilisation du malware EtherHiding implique l’intégration de code malveillant dans les smart contracts des blockchains publiques, puis le ciblage des utilisateurs via des sites WordPress infectés par un petit morceau de code JavaScript.
« Lorsqu’un utilisateur visite le site compromis, le script de chargement s’exécute dans son navigateur, » ont expliqué les chercheurs de Google. « Ce script communique ensuite avec la blockchain pour récupérer la charge utile principale stockée sur un serveur distant. »
Ils ont ajouté que le malware déploie un appel de fonction en lecture seule (tel que eth_call), qui ne crée pas de transaction sur la blockchain. « Cela garantit que la récupération du malware reste discrète et évite les frais de transaction (c’est-à-dire les frais de gas) », ont-ils noté. « Une fois récupérée, la charge utile malveillante est exécutée sur l’ordinateur de la victime. Cela peut entraîner diverses activités malveillantes, telles que l’affichage de fausses pages de connexion, l’installation de logiciels malveillants voleurs d’informations ou le déploiement de ransomwares. »
Les chercheurs ont averti que cela « souligne l’évolution continue » des tactiques des cybercriminels. « En substance, EtherHiding représente un passage à l’hébergement de nouvelle génération à l’épreuve des balles, où les caractéristiques inhérentes à la technologie blockchain sont détournées à des fins malveillantes. »
Avertissement : le contenu de cet article reflète uniquement le point de vue de l'auteur et ne représente en aucun cas la plateforme. Cet article n'est pas destiné à servir de référence pour prendre des décisions d'investissement.
Vous pourriez également aimer
La vague d’IA pourrait suivre le destin de la bulle ferroviaire du XIXe siècle : les bâtisseurs ne seront pas forcément les gagnants finaux.
L'analyste de Goldman Sachs, Bobby Molavi, prend comme exemple la folie ferroviaire du 19e siècle au Royaume-Uni : 500 entreprises ont dépensé plus que le revenu national annuel pour construire 8 000 miles de voies ferrées, et les premiers investisseurs ont presque tous perdu, alors que les véritables bénéficiaires ont été les « passagers » ultérieurs. Il souligne que la vague actuelle d’IA est alimentée à la fois par la dette et par la dynamique, et que le ratio cours/bénéfices prévisionnel du S&P 500 à 18 fois n’est « qu’un peu moins cher ». Quant à savoir si les constructeurs peuvent conserver la valeur, l’histoire donne une réponse peu encourageante.
Si l’introduction en bourse d’Anthropic la semaine prochaine se déroule bien et que le cours de l’action augmente, alors l’IA “restera stable”, sinon “certaines entreprises feront faillite”.
La réduction de la valorisation des deux géants a déjà déclenché une réaction en chaîne : les investisseurs adoptent désormais des multiples de revenus plus prudents pour les startups d’IA et mettent directement fin aux financements à valorisations élevées pour les entreprises sans revenus. Plusieurs fonds de capital-risque ont déjà conseillé à leurs sociétés en portefeuille de revoir à la baisse leurs attentes de valorisation et de constituer rapidement des réserves de liquidités. Les acteurs du marché avertissent que le résultat de l’introduction en bourse d’Anthropic servira de baromètre pour le secteur : en cas de succès, la prospérité se poursuivra ; en cas d’échec, certaines entreprises pourraient être éliminées du marché.
Après les élections au Brésil, la décote politique s’intensifie, mais Morgan Stanley reste optimiste sur Petrobras (PBR.US), se concentrant sur la tarification du carburant et les dividendes
Morgan Stanley maintient toujours sa recommandation la plus optimiste, "surpondérer", mais a abaissé son objectif de cours pour fin 2027 de 31 dollars à 25 dollars.
Corning (GLW.US) reçoit la première recommandation "acheter" de Jefferies ! Les usines d’IA s’arrachent la fibre optique, le déficit mondial d’approvisionnement pourrait atteindre 30%
Pour Corning, l'augmentation récente des bénéfices provient principalement de l'expansion des clusters d'IA. Avec la multiplication des liaisons optiques entre armoires et entre sites, les clients doivent installer plus de fibres optiques dans des espaces de conduits et d’armoires limités, ce qui stimule la demande pour des câbles optiques à haute densité et des systèmes de connexion.
Prix des cryptos
Plus
