Alerte de brouillard : des pirates nord-coréens recrutent par tromperie des développeurs Web3, et volent 12 millions de dollars en 3 mois

L’organisme de sécurité SlowMist a publié une alerte d’urgence. Le groupe Lazarus de Corée du Nord, via son sous-groupe HexagonalRodent, lance des attaques contre des développeurs Web3. En utilisant des techniques d’ingénierie sociale, comme des postes à distance très rémunérés, il pousse les développeurs à exécuter des codes d’évaluation de compétences comprenant des portes dérobées de logiciels malveillants, et finit par voler des actifs cryptographiques. D’après un rapport d’enquête d’Expel, au cours des trois premiers mois de 2026, les pertes s’élèvent à 12 millions de dollars.

Méthodes d’attaque : le code d’évaluation des compétences est la principale porte d’entrée

Les attaquants commencent par contacter la cible via LinkedIn ou des plateformes de recrutement, ou par créer de faux sites web d’entreprise afin de publier des offres d’emploi. Ils font exécuter du code malveillant aux développeurs, sous prétexte d’« évaluation des compétences à domicile ». Le code d’évaluation comporte deux voies d’infection :

Attaque via VSCode tasks.json : insertion de code malveillant dans le fichier tasks.json, avec une instruction runOn: folderOpen, de sorte que le développeur n’ait qu’à ouvrir, dans VSCode, le dossier contenant le code ; le logiciel malveillant s’exécute alors automatiquement.

Porte dérobée intégrée dans le code : le code d’évaluation lui-même intègre une porte dérobée ; l’infection est déclenchée lors de l’exécution du code. Cette voie sert d’entrée alternative pour les développeurs qui n’utilisent pas VSCode.

Les logiciels malveillants utilisés incluent : BeaverTail (outil polyvalent de vol d’informations pour NodeJS), OtterCookie (shell inverse pour NodeJS) et InvisibleFerret (shell inverse pour Python).

Première attaque de la chaîne d’approvisionnement : l’extension fast-draft VSX compromise

Le 18 mars 2026, HexagonalRodent a lancé une attaque de la chaîne d’approvisionnement contre l’extension VSCode « fast-draft », en diffusant le logiciel malveillant OtterCookie via l’extension compromise. SlowMist a confirmé qu’au 9 mars 2026, un utilisateur portant le même nom qu’un développeur de l’extension fast-draft avait été infecté par OtterCookie.

En cas de soupçon que le système est déjà infecté, vous pouvez utiliser les commandes suivantes pour vérifier s’il est connecté à des serveurs C2 connus (195.201.104[.]53) : MacOS/Linux : netstat -an | grep 195.201.104.53 Windows : netstat -an | findstr 195.201.104.53

Abus d’outils IA : ChatGPT et Cursor confirmés comme étant utilisés à des fins malveillantes

HexagonalRodent utilise massivement ChatGPT et Cursor pour faciliter les attaques, notamment pour générer du code malveillant et construire des sites web de sociétés fictives. Un indicateur clé permettant d’identifier du code malveillant généré par IA est la présence d’un grand nombre d’émojis dans le code (ce qui est extrêmement rare dans du code écrit à la main).

Cursor a bloqué les comptes et les IP concernés dans un délai d’un jour ouvré ; OpenAI a confirmé avoir détecté une utilisation limitée de ChatGPT. Il indique que l’assistance recherchée par ces comptes relève de scénarios légitimes d’usage double, liés à la sécurité, et qu’aucune activité continue de développement de logiciels malveillants n’a été observée. Au moins 13 flux de fonds provenant de portefeuilles infectés ont été confirmés comme ayant été transférés vers des adresses Ethereum liées à la Corée du Nord, connues ; des montants dépassant 1,1 million de dollars ont été reçus.

Questions fréquentes

Comment les développeurs Web3 peuvent-ils se protéger contre ce type d’attaque ?

Les mesures de protection essentielles incluent : (1) faire preuve d’une vigilance élevée envers des recruteurs inconnus, en particulier lorsque l’opportunité exige une évaluation du code à domicile ; (2) ouvrir des dépôts de code qui ne vous sont pas familiers dans un environnement sandbox plutôt que sur le système principal ; (3) vérifier régulièrement le fichier tasks.json de VSCode afin de s’assurer qu’il n’y a aucune tâche runOn: folderOpen non autorisée ; (4) utiliser des clés de sécurité matérielles pour protéger les portefeuilles cryptographiques.

Comment vérifier si mon système a été infecté ?

Exécutez les commandes de vérification rapide : utilisateurs MacOS/Linux exécutent netstat -an | grep 195.201.104.53 ; les utilisateurs Windows exécutent netstat -an | findstr 195.201.104.53. Si vous constatez une connexion persistante à un serveur C2 connu, déconnectez immédiatement le réseau et procédez à un scan complet des logiciels malveillants.

Pourquoi HexagonalRodent choisit-il NodeJS et Python comme langages de logiciels malveillants ?

Les développeurs Web3 ont généralement déjà NodeJS et Python installés sur leurs systèmes. Ainsi, les processus malveillants peuvent s’intégrer aux activités normales des développeurs sans déclencher d’alertes. Ces deux langages ne sont pas non plus les principaux objets de surveillance des systèmes anti-malware traditionnels. En plus, l’utilisation d’outils commerciaux de confusion de code rend la détection des signatures extrêmement difficile.