Des acteurs malveillants nord-coréens liés à la campagne « Contagious Interview » ont été observés utilisant la stéganographie dans des fichiers image SVG pour dissimuler des charges utiles malveillantes dans le cadre d’une campagne utilisant de fausses offres d’emploi et des défis de programmation.

« Tout utilisateur ayant exécuté le projet s’est retrouvé avec une charge utile en quatre étapes alignée sur OTTERCOOKIE : un voleur d’identifiants de navigateur et de portefeuille crypto, un voleur de fichiers, un cheval de Troie d’accès à distance (RAT) basé sur Socket.IO et un voleur de presse-papiers », a déclaré Elastic Security Labs dans un rapport partagé avec The Hacker News.

Ces découvertes mettent une fois de plus en lumière le ciblage persistant des développeurs de logiciels par des pirates informatiques affiliés à l’État de la République populaire démocratique de Corée (RPDC), dans le but de voler des données sensibles et de piller des portefeuilles de cryptomonnaies. Cette activité est suivie sous le nom de code REF9403.

La branche cybersécurité de la plateforme néerlandaise de recherche et d’observabilité d’entreprise a déclaré avoir découvert la campagne après que les acteurs malveillants ont ciblé les membres de son espace de travail Slack communautaire avec des leurres d’ingénierie sociale pour de prétendues offres d’emploi, mettant en évidence une nouvelle voie d’accès initiale non documentée auparavant dans les attaques associées à Contagious Interview, une opération d’ingénierie sociale sophistiquée en cours depuis au moins décembre 2022.

Les messages, publiés par un utilisateur nommé Maxwell sur le canal Slack #jobs fin mai 2026, recherchaient un développeur expérimenté pour aider à mettre à niveau leur plateforme de commerce électronique vers une « architecture moderne et évolutive utilisant Next.js (v14), NestJS, PostgreSQL et Auth.js » ainsi que l’intégration de Stripe.

Les personnes ayant manifesté leur intérêt pour l’offre ont été contactées par messages privés leur demandant de réaliser un test de programmation dans le cadre de l’offre d’emploi, une pratique courante des campagnes d’embauche frauduleuses. Ce test consistait à exécuter un dépôt piégé contenant un logiciel malveillant conçu pour exfiltrer des données sensibles et à configurer une porte dérobée Socket.IO.

Plus précisément, les dépôts distribués dans le cadre de ce programme intègrent un code entièrement fonctionnel, mais incorporent également du code malveillant sous forme d’images SVG afin de contourner la détection.

« Bien que ces projets d’apparence légitime fonctionnent parfaitement, le code malveillant s’exécute silencieusement en arrière-plan », a déclaré Elastic. « Les charges utiles sont divisées en fragments Base64 insérés dans des commentaires HTML présents dans chaque image SVG de drapeau d’un répertoire d’actifs. Ces fichiers semblent être des images normales de drapeaux de pays (AE.svg, AF.svg), mais chacun d’eux contient un bloc de commentaires injecté avec des données encodées en Base64. »

La charge utile est ensuite assemblée par un fichier JavaScript (« serverValidation.js ») présent dans le dépôt. La chaîne d’attaque est conçue de manière à ce que le logiciel malveillant s’exécute à chaque démarrage du serveur. Elastic a indiqué que la charge utile principale présente des similitudes avec OtterCookie , un logiciel malveillant multiplateforme apparu pour la première fois en septembre 2024.

« OtterCookie a évolué d’un outil de base permettant d’exécuter des commandes à distance et de rechercher des clés cryptographiques vers un programme modulaire capable de vol de données à plus grande échelle, avec la possibilité de vérifier les environnements de machines virtuelles, d’installer des clients de communication comme socket.io pour le C2, d’exfiltrer des informations, d’exécuter des commandes shell arbitraires, de charger d’autres modules pour collecter des données spécifiques et de rendre compte des résultats », a noté Microsoft en mars dernier.

Le logiciel malveillant intègre quatre modules distincts qui lui permettent de collecter des données à partir de navigateurs Web et de portefeuilles de cryptomonnaies, de collecter des fichiers correspondant à une liste spécifique d’extensions, de faciliter un contrôle à distance persistant à l’aide d’un cheval de Troie basé sur Socket.IO capable d’exécuter des commandes shell, de capturer le contenu du presse-papiers et de déposer des exécutables Windows.

Parmi les fichiers collectés par OtterCookie figurent des extensions d’outils de codage d’intelligence artificielle (IA) telles que .claude, .cursor, .gemini, .windsurf, .pearai et .llama, ce qui suggère que l’acteur malveillant affine activement son arsenal pour aspirer autant d’informations que possible.

Il convient de noter que le logiciel malveillant présente également des similitudes fonctionnelles avec un voleur de données et un cheval de Troie distribués via de faux packages npm se faisant passer pour des outils de polyfill Rollup, ce qui suggère que les acteurs malveillants utilisent plusieurs vecteurs de propagation.

« Cette campagne confirme que les développeurs restent une cible privilégiée, la compromission d’un seul individu pouvant fournir l’accès initial nécessaire à des attaques de grande envergure contre la chaîne d’approvisionnement et les organisations en aval », a déclaré Elastic. « Le succès de ces opérations souligne comment la compromission d’un développeur peut ouvrir la voie à un impact organisationnel beaucoup plus important. »