BirdCall: ScarCruft étend son espionnage à travers la chaîne d'approvisionnement et cible les militants au Yanbian

Un groupe lié à l'État nord-coréen connu sous le nom de ScarCruft a effectué une opération d'espionnage de chaîne d'approvisionnement qui modifie les composants d'une plate-forme de jeux vidéo destinée à la communauté coréenne dans le nord-est de la Chine, selon des analyses techniques partagées par ESET et rapportées par des médias spécialisés. L'intrusion n'était pas limitée aux PC : en filetant et en réemballant les applications, les attaquants ont réussi à entrer dans une porte de derrière appelée Appel aux oiseaux dans les paquets Android, étendre la radio impact aux appareils mobiles.

La plate-forme engagée est destinée aux utilisateurs de la région yanbienne, une région à forte concentration de citoyens coréens et connue pour servir de couloir critique pour les personnes qui tentent de traverser la Corée du Nord ou qui ont déserté. Le choix de la cible suggère que ScarCruft poursuit Intérêts en matière de renseignement et de surveillance pour les militants, les universitaires et les déserteurs potentiels, ce qui accroît le risque au-delà du vol de données techniques pour porter atteinte directement aux droits de l'homme et à la sécurité personnelle.

Du point de vue technique, BirdCall est une évolution des familles précédentes (comme RokRAT), avec des fonctions de backdoor classiques : capture d'écran, enregistrement de presse, vol de presse, exécution de commande à distance et infiltration de fichiers. La campagne a utilisé des chaînes de chargement multi-étapes avec des scripts initiaux en Ruby ou Python et des composants cryptés par des clés spécifiques de chaque équipe, ce qui complique leur détection et leur analyse. Pour les communications de commandement et de contrôle, les attaquants continuent d'abuser des services de stockage en nuage légitimes, leur donnant une résilience et une couche de camouflage.

Les nouvelles inquiétantes sont l'adaptation à Android inclus dans l'APK distribué par le site affecté: la variante mobile recueille des listes de contacts, SMS, appels, médias, documents, capture et enregistrements audio environnementaux. Dans la pratique, cela transforme les téléphones personnels en capteurs à distance d'informations sensibles, ce qui est particulièrement nocif pour les communautés vulnérables qui peuvent dépendre du mobile pour coordonner des mouvements ou des communications sûrs.

La technique d'approvisionnement malveillante utilisée - la modification des fichiers téléchargeables sur le propre site du fournisseur - souligne pourquoi les chaînes d'approvisionnement sont des vecteurs privilégiés pour les attaquants: un paquet fileté signé ou hébergé par un fournisseur fiable peut éviter les contrôles du périmètre et atteindre massivement des victimes spécifiques. En outre, l'utilisation de services en nuage légitimes pour C2 rend difficile de classer le trafic malveillant par rapport à la normale.

Que peuvent faire les utilisateurs? Tout d'abord, évitez d'installer APKS à partir de sources non vérifiées et préférez les magasins officiels (bien qu'ils ne soient pas infaillibles). Vérifier l'intégrité et la signature des applications lorsque c'est possible, tenir le système d'exploitation et les applications à jour, et envisager d'utiliser des solutions de sécurité mobiles qui détectent des comportements anormaux. Si vous soupçonnez une infection, isolez l'appareil, changez les références d'un appareil propre et sauvegardez l'information critique avant de restaurer une copie propre.

Que devraient faire les opérateurs et les développeurs de la plateforme? Mettre en place des contrôles d'intégrité dans la chaîne de distribution : signatures de code robustes, vérification des appareils (SRI), enregistrements immuables de bâtiments, examen rigoureux des pipelines CI/CD, segmentation de l'accès et détection des intrusions sur les serveurs de publication. Il est également crucial de surveiller les pages de téléchargement et les artefacts exposés pour détecter les changements non autorisés et fournir des mécanismes de notification rapide aux utilisateurs.

Pour les équipes de défense et d'intervention en cas d'incident, il convient de rechercher des indicateurs d'engagement liés à l'utilisation de services cloud tels que pCloud, Yandex Disk et des outils collaboratifs que les attaquants ont utilisés pour le C2, et de déployer des règles de détection comportementale telles que l'extraction de messages de masse, l'accès au microphone sans interaction ou les connexions à des domaines suspects. Les inspections médico-légales des mises à jour livrées peuvent révéler des DL ou des chargeurs cassés qui activent des familles comme RokRAT / BirdCall.

La leçon stratégique est claire : les communautés à risque et les organisations qui les servent devraient considérer la sécurité de la chaîne d'approvisionnement comme une priorité et être coordonnées avec l'appui juridique et les services de protection des droits de l'homme. Les autorités et les ONG peuvent aider en créant des canaux sûrs et en surveillant activement les points de transit numériques critiques pour les populations vulnérables.

Pour ceux qui veulent approfondir les pratiques défensives et pourquoi la sécurité dans la chaîne d'approvisionnement est essentielle, je recommande d'examiner des conseils spécialisés comme celui de l'Agence américaine pour l'infrastructure et la cybersécurité. États-Unis. ( CISA - Sécurité de la chaîne d'approvisionnement) et suivre l'analyse technique et les menaces émergentes dans les publications de référence ( Sécurité WeLive / ESET et Les nouvelles Hacker).