Qui a été approché, et par quel canal ?

Plusieurs professionnels de la cybersécurité ont été contactés début août par un compte X se présentant comme le représentant d'un grand site d'actualité crypto. Les approches ont eu lieu par réponses publiques et par messages privés, pendant la période des conférences Black Hat et Def Con. Dans un anglais approximatif, l'interlocuteur demandait à sa cible si elle comptait assister à une prochaine conférence, puis mentionnait un événement prétendument organisé par ce média. Un chercheur de Huntress, société de sécurité informatique, a fait mine d'entrer dans le jeu pour observer la suite des opérations. L'entreprise a publié son compte rendu mercredi 19 août, repris le lendemain par TechCrunch.

Pourquoi un document Google rendait la manœuvre crédible ?

Le faux organisateur partageait un document Google authentique, présenté comme le fichier de préparation de la conférence. Le document affichait une barre latérale imitant un contenu chiffré et réclamait une clé de déchiffrement, que l'attaquant fournissait lui-même. Saisir cette fausse clé constituait la première étape de la chaîne d'infection. Cette barre latérale reposait sur Google Apps Script, un outil officiel qui permet aux développeurs d'ajouter des menus et des panneaux personnalisés dans les documents Google. Aucun lien falsifié, aucun faux domaine. C'est l'emploi détourné d'une fonction légitime qui donnait à l'ensemble son apparence professionnelle, souligne TechCrunch. Le procédé ne casse aucun chiffrement et n'intercepte rien sur le réseau, à la différence d'une interception de transaction entre deux machines : il manipule seulement ce que la cible voit à l'écran, comme le fait un script malveillant injecté dans une page web.

Que devait installer la victime ?

Selon Huntress, la charge finale dépendait du système d'exploitation de la cible. La campagne mobilisait trois outils distincts :

  • un infostealer, programme conçu pour aspirer identifiants et données stockées, destiné aux ordinateurs Apple
  • un outil légitime de prise de contrôle à distance, réemployé comme logiciel malveillant sur Windows
  • un faux installeur Ledger, du nom du portefeuille crypto

Ni Huntress ni TechCrunch ne précisent ce que ce faux installeur cherchait à récupérer une fois lancé. Un logiciel de portefeuille téléchargé ailleurs que chez son éditeur reste l'un des vecteurs les plus directs de perte de fonds, un point que reprennent les règles de base pour protéger un portefeuille crypto.

Pourquoi viser des chercheurs en sécurité ?

TechCrunch rappelle que ce public a déjà été pris pour cible, par des pirates gouvernementaux équipés de logiciels espions avancés comme par des opérateurs nord-coréens utilisant de faux profils Twitter. Ce sont aussi les cibles les plus susceptibles de repérer l'attaque et de la documenter, ce que confirme cet épisode : le chercheur approché a suivi l'échange jusqu'à en reconstituer le déroulé complet. La période des deux conférences concentre chaque année un grand nombre de ces professionnels, ce qui rendait plausible une invitation à un événement du secteur.

Ce qui n'est pas établi

Aucune attribution n'est avancée. Le compte X identifié par les chercheurs de Huntress n'a pas répondu au message privé envoyé par TechCrunch. Google n'a pas répondu dans l'immédiat lorsque le média lui a demandé si l'entreprise avait déjà observé ce type de campagne s'appuyant sur ses documents. Le nom du site d'actualité crypto usurpé n'est pas donné par les deux publications. Aucun décompte de victimes n'a été rendu public.