Les escroqueries Deepfake sur Zoom touchent les insiders de la crypto alors que le co-fondateur de BTC Prague met en garde contre un malware Mac

Points clés :

• Les insiders en crypto sont ciblés par des appels vidéo deepfake qui distribuent des logiciels malveillants macOS
• Martin Kuchař, co-fondateur de BTC Prague, affirme que son compte Telegram piraté a été utilisé pour diffuser l’attaque
• La campagne correspond à des tactiques liées aux hackers BlueNoroff, associés à la Corée du Nord

Une vague d’arnaques crypto exploitant la vidéo deepfake, les contacts relationnels et des outils de travail populaires. Martin Kuchař, co-fondateur de BTC Prague, a révélé que les attaquants contrôlaient son compte Telegram pour inciter d’autres à rejoindre des appels vidéo Zoom et Teams avec des logiciels malveillants.

En savoir plus : $50M Disparus en secondes : une erreur de copier-coller de portefeuille déclenche l’une des arnaques d’adresses les plus coûteuses en crypto

Table des matières

• Appels vidéo deepfake utilisés comme point d’entrée
• La chaîne de malware liée à la Corée du Nord cible les utilisateurs Mac
  • Comment fonctionne l’infection Mac
  • Les campagnes de vol de crypto deviennent plus sophistiquées

Appels vidéo deepfake utilisés comme point d’entrée

Kuchař a averti que les attaques commencent souvent par des messages de contacts de confiance sur Telegram ou d’autres plateformes. Les victimes reçoivent une invitation à discuter ou à faire une brève synchronisation via un appel Zoom ou Microsoft Teams.

Après avoir répondu à l’appel, les attaquants se font passer pour la personne de confiance grâce à une vidéo deepfake générée par IA. Ils indiquent qu’il y a un problème audio et demandent à la victime d’installer un plugin ou un fichier pour résoudre le problème. Ce fichier donne aux attaquants un accès complet au système.

Selon Kuchař, cette méthode a conduit au vol de Bitcoin, à la prise de contrôle de comptes Telegram, et à la propagation de l’arnaque via des identités piratées. Il a exhorté les utilisateurs à considérer tous les messages Telegram comme non fiables et à éviter les appels Zoom ou Teams non vérifiés.

En savoir plus : Des hackers piratent WeChat du co-CEO de Binance Yi He pour lancer une arnaque à la meme coin, provoquant une frénésie sur le marché

La chaîne de malware liée à la Corée du Nord cible les utilisateurs Mac

Les détails techniques fournis par Kuchař s’alignent avec des recherches de la société de cybersécurité Huntress, qui a tracé des attaques similaires à BlueNoroff, un groupe de hackers lié à Lazarus Group de la Corée du Nord.

Comment fonctionne l’infection Mac

L’attaque commence par un domaine Zoom falsifié avec un lien de réunion contrefait. Lors de l’appel, les victimes sont invitées à télécharger un fichier nommé script de support Zoom. En réalité, le fichier est infecté par AppleScript, ce qui déclenche une attaque en plusieurs étapes.

La boîte à outils malveillante comprendra :

• Telegram 2, un faux programme de mise à jour qui maintient la persistance
• Root Troy V4, une porte dérobée à accès distant
• InjectWithDyld, un chargeur furtif pour des charges utiles cryptées
• XScreen, un outil de surveillance qui enregistre frappes et activité à l’écran
• CryptoBot, un infostealer ciblant plus de 20 portefeuilles crypto

Les chercheurs indiquent que le malware utilisera des signatures de développeur valides et placera Rosetta sur les appareils Apple Silicon pour échapper à la détection. Cela rend l’attaque moins détectable, notamment pour les utilisateurs Mac qui ont une fausse impression de sécurité, pensant que leurs systèmes sont moins vulnérables.

Les campagnes de vol de crypto deviennent plus sophistiquées

Les chercheurs de Huntress soulignent que Mac est une cible privilégiée car un nombre croissant de groupes crypto déploient des Macs en entreprise. La vidéo deepfake renforce la crédibilité en combinant des images en temps réel avec la plateforme connue.

Les habitudes de sécurité de base, révélées par Kuchař, ont permis de limiter ses pertes. Il a insisté sur l’utilisation de l’authentification à deux facteurs, de solutions de mot de passe, et de portefeuilles matériels. Il a également recommandé des outils de communication plus sécurisés, comme Signal ou Jitsi, et de privilégier des navigateurs plus sûrs pour des appels plus sécurisés, comme Google Meet, grâce à un meilleur sandboxing.