Le malware des faux emplois nord-coréens : quatre raisons pour lesquelles mon antivirus est resté muet

En bref : j’ai été piégé deux fois par de fausses missions Upwork, et mon antivirus n’a rien dit, ni l’une ni l’autre fois. Les sources donnent quatre raisons pour lesquelles il n’avait rien à redire : j’ai lancé le code moi-même, donc les contrôles du Mac se sont effacés ; il utilisait des outils de confiance comme node, curl et bash ; les variantes étaient nouvelles, donc les signatures sont arrivées après ; et une session de connexion volée peut contourner la 2FA. La parade vers laquelle pointent les sources : traitez chaque installation comme du code, méfiez-vous de quiconque vous demande de lancer une commande dans le terminal, et vérifiez ce que fait le code avant sa première exécution.

Muet, deux fois

C’est ma propre histoire ; j’ai raconté les deux épisodes dans Deux fausses missions Upwork, un Mac infecté. Ce qui m’a le plus dérangé : « neither macOS's built-in XProtect nor traditional antivirus made a sound, either time. » (ni XProtect, intégré à macOS, ni les antivirus traditionnels n’ont réagi, ni l’une ni l’autre fois).

Cela ne veut pas dire que l’antivirus est inutile. Les sources ci-dessous disent qu’il est en retard et qu’on le contourne, pas qu’il ne sert à rien.

1. Je l’ai lancé moi-même

Microsoft Threat Intelligence décrit une campagne macOS de l’acteur nord-coréen Sapphire Sleet « that relies on social engineering rather than software vulnerabilities. » (qui repose sur l’ingénierie sociale plutôt que sur des vulnérabilités logicielles).

Selon les mots de Microsoft : « By persuading users to manually execute AppleScript or Terminal‑based commands, Sapphire Sleet shifts execution into a user‑initiated context, allowing the activity to proceed outside of macOS protections such as Transparency, Consent, and Control (TCC), Gatekeeper, quarantine enforcement, and notarization checks. » (en persuadant les utilisateurs d’exécuter manuellement des commandes AppleScript ou Terminal, Sapphire Sleet place l’exécution dans un contexte initié par l’utilisateur, ce qui permet à l’activité de se dérouler en dehors des protections de macOS telles que Transparence, consentement et contrôle (TCC), Gatekeeper, la mise en quarantaine et les contrôles de notarisation).

2. Des outils de confiance

Microsoft, encore : « This activity demonstrates how threat actors continue to rely on user interaction and trusted system utilities to bypass macOS platform security protections, rather than exploiting traditional software vulnerabilities. » (cette activité montre comment les acteurs malveillants continuent de s’appuyer sur l’interaction de l’utilisateur et sur des utilitaires système de confiance pour contourner les protections de sécurité de la plateforme macOS, plutôt que d’exploiter des vulnérabilités logicielles classiques).

Cela correspond à ce que j’ai vu : « These attacks come in new packaging every time and use the most ordinary tools there are, like node, curl and bash, so traditional antivirus has no reason to find them suspicious. » (ces attaques arrivent chaque fois sous un nouvel emballage et utilisent les outils les plus ordinaires qui soient, comme node, curl et bash : les antivirus traditionnels n’ont aucune raison de les trouver suspectes).

3. Nouveau, donc sans signature

Les signatures finissent par arriver, une fois une campagne connue : Microsoft note qu’« Apple has also deployed XProtect signatures to detect and block the malware families associated with this campaign—macOS devices receive these signature updates automatically. » (Apple a aussi déployé des signatures XProtect pour détecter et bloquer les familles de malwares associées à cette campagne ; les appareils macOS reçoivent ces mises à jour de signatures automatiquement).

Mais de nouvelles variantes peuvent passer inaperçues au moment où on les découvre. SentinelOne, début 2025, signalait des « newly discovered samples that we have labelled 'FlexibleFerret' and which remain undetected by XProtect at the time of writing. » (échantillons récemment découverts que nous avons baptisés « FlexibleFerret » et qui restent non détectés par XProtect à l’heure où nous écrivons).

Retirer les paquets n’y met pas fin non plus. Socket : « Since our July 14, 2025 update, we have identified and analyzed more than 338 malicious packages with over 50,000 cumulative downloads. » (depuis notre mise à jour du 14 juillet 2025, nous avons identifié et analysé plus de 338 paquets malveillants totalisant plus de 50 000 téléchargements cumulés). Et : « We continue to see weekly upload bursts, rapid re-uploads after takedowns, and iterative changes to loaders and postinstall scripts. » (nous continuons d’observer des rafales de mises en ligne chaque semaine, des remises en ligne rapides après les retraits, et des modifications successives des loaders et des scripts postinstall).

4. Une session volée contourne la 2FA

Microsoft, à propos du phishing, en 2022 : « Once the attacker obtains the session cookie, they can inject it into their browser to skip the authentication process, even if the target's MFA is enabled. » (une fois le cookie de session obtenu, l’attaquant peut l’injecter dans son navigateur pour sauter l’étape d’authentification, même si la MFA de la cible est activée).

Chez Bybit, selon le FBI, « North Korea was responsible for the theft of approximately $1.5 billion USD in virtual assets from cryptocurrency exchange, Bybit » (la Corée du Nord est responsable du vol d’environ 1,5 milliard de dollars d’actifs virtuels à la plateforme d’échange de cryptomonnaies Bybit). Safe{Wallet}, cité par The Hacker News : « The attack involved the compromise of a Safe{Wallet} developer's laptop ('Developer1') and the hijacking of AWS session tokens to bypass multi-factor authentication ('MFA') controls. » (l’attaque a impliqué la compromission de l’ordinateur portable d’un développeur de Safe{Wallet} (« Developer1 ») et le détournement de jetons de session AWS pour contourner les contrôles d’authentification multifacteur (« MFA »)).

Même les experts se font avoir

Le FBI : « Given the scale and persistence of this malicious activity, even those well versed in cybersecurity practices can be vulnerable to North Korea's determination to compromise networks connected to cryptocurrency assets. » (étant donné l’ampleur et la persistance de cette activité malveillante, même les personnes rompues aux pratiques de cybersécurité peuvent être vulnérables à la détermination de la Corée du Nord à compromettre les réseaux liés à des actifs en cryptomonnaies).

La parade

1. Vérifier ce que fait le code avant sa première exécution, pas son nom. C’est ce que je retiens de mes deux épisodes.
2. Chaque installation est du code. Socket : « Treat every npm install as code execution and block risky behavior before it reaches developer machines or pipelines. » (traitez chaque npm install comme une exécution de code et bloquez les comportements à risque avant qu’ils n’atteignent les machines des développeurs ou les pipelines).
3. Ne jamais coller la commande d’un inconnu. Microsoft recommande : « Educate users about social engineering threats originating from social media and external platforms, particularly unsolicited outreach requesting software downloads, virtual meeting tool installations, or execution of terminal commands. » (sensibiliser les utilisateurs aux menaces d’ingénierie sociale venant des réseaux sociaux et de plateformes externes, en particulier aux sollicitations non désirées qui demandent de télécharger un logiciel, d’installer un outil de réunion virtuelle ou d’exécuter des commandes dans le terminal).

Après mes deux épisodes, j’ai construit Tsuba, une app Mac gratuite qui repose sur une seule idée : « before unfamiliar code runs for the first time, it takes a look for you. » (avant que du code inconnu s’exécute pour la première fois, elle y jette un œil pour vous).

Sources

• Oliver Zhang, Deux fausses missions Upwork, un Mac infecté, 28 oct. 2026
• Microsoft Threat Intelligence, Dissecting Sapphire Sleet's macOS intrusion from lure to compromise, 16 avr. 2026
• SentinelOne, macOS FlexibleFerret: Further Variants of DPRK Malware Family Unearthed, mis à jour le 2 sept. 2025
• Socket, North Korea's Contagious Interview Campaign Escalates: 338 Malicious npm Packages, 50,000 Downloads, 10 oct. 2025
• Microsoft, From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud, 12 juil. 2022
• The Hacker News, Safe{Wallet} Confirms North Korean TraderTraitor Hackers Stole $1.5 Billion in Bybit Heist, 7 mars 2025
• FBI, PSA 250226 (Bybit), 26 févr. 2025
• FBI, PSA 240903: North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks, 3 sept. 2024

La vidéo est animée en code et le script a été écrit avec l’aide de l’IA ; chaque citation ci-dessus est vérifiée auprès des sources. Illustratif : le bouclier « aucune menace », les barrières qui s’écartent, le scanner et sa radiographie, la frise des signatures et le cookie de session. Cet article explique le risque et la parade, pas le fonctionnement du malware. La vidéo est en anglais. Réalisée avec Shotloop, mon app Mac gratuite pour faire des vidéos explicatives en code, corrigées un plan à la fois.