Maliciel Relay : Une fausse application de réunion IA vole les wallets crypto des candidats à des emplois Web3
2026/07/30 12:05:00
Des entretiens d'embauche AI falsifiés ciblent les professionnels Web3 avec un malware volant des cryptomonnaies
Des chercheurs en sécurité de SlowMist ont identifié une campagne sophistiquée de vol d'informations ciblant les professionnels Web3 via des processus de recrutement falsifiés. Les attaquants se font passer pour des recruteurs, organisent des entretiens et orientent les candidats vers un site web à l'adresse relay.lc qui promeut une plateforme de réunions pilotée par l'IA appelée Relay. La plateforme affirme proposer des fonctionnalités telles que la transcription en temps réel, des notes collaboratives, des résumés générés par l'IA et des clients bureau pour Windows et macOS.
Une fois que les candidats téléchargent et exécutent les installateurs, le logiciel déploie un malware conçu pour extraire les identifiants des navigateurs, les données des wallets de cryptomonnaies provenant de dizaines d'extensions, le contenu du Keychain macOS, les sessions Telegram et les informations système. La campagne a été détectée par MistEye après des signalements de la communauté et a fait l'objet d'une analyse statique détaillée des installateurs. Cette opération illustre comment les attaquants combinent l'ingénierie sociale avec des astuces techniques spécifiques à la plateforme pour contourner les avertissements de sécurité standards et collecter des données cryptomonnaies de haute valeur auprès de chercheurs d'emploi qui pensent participer à une étape standard du processus de recrutement.
Les fausses sollicitations de recrutement préparent le terrain à l'infection
Les attaquants commencent par contacter des professionnels Web3 via des réseaux professionnels ou des plateformes de messagerie avec des offres d'entretiens pour des postes qui semblent légitimes. Les communications font référence à des noms d'entreprises plausibles et à des descriptions de poste adaptées aux développeurs blockchain, aux chercheurs en sécurité ou aux spécialistes de l'écosystème. Après un échange initial, le recruteur oriente le candidat vers relay.lc pour la prochaine étape du processus, présentant le site comme un outil nécessaire pour l'entretien vidéo. Le site affiche un langage marketing soigné décrivant Relay comme une plateforme de collaboration avancée basée sur l'IA, accompagné de liens de téléchargement pour les deux principaux systèmes d'exploitation de bureau. Cette approche exploite l'attente selon laquelle le recrutement à distance implique souvent un logiciel de réunion spécialisé, réduisant ainsi la probabilité que les candidats examinent attentivement le domaine ou l'installateur.
Les signalements de la communauté concernant des comportements suspects ont poussé MistEye à classer le site comme à haut risque et à lancer un examen technique complet des fichiers distribués. L'absence de toute fonctionnalité de réunion réelle à l'intérieur des packages confirme que toute la présentation ne sert qu'à transporter le charge utile suivant. Les chercheurs soulignent que l'ingénierie sociale réussit précisément parce que la demande d'installer un logiciel semble ordinaire dans le contexte d'un entretien technique à distance. Les victimes qui procèdent accordent ainsi au malware un point d'ancrage initial en supposant qu'elles se préparent simplement à une conversation avec un potentiel employeur.
La conception du site Relay imite des outils de collaboration légitimes
Les pages publiques de relay.lc reproduisent soigneusement le style visuel et textuel des applications de productivité établies. Les descriptions mettent en avant la transcription en temps réel, la prise de notes partagée, la génération automatique d’actions et les clients bureau sans faille, créant l’impression d’un service de réunion moderne amélioré par l’IA. Les boutons de téléchargement pour Windows et macOS apparaissent de manière prominente, renforçant l’idée que l’installation est une condition préalable standard pour participer. Aucun signe évident d’alerte, comme une mauvaise grammaire ou une marque incomplète, ne semble apparaître sur les pages de surface, ce qui aide le site à passer l’inspection superficielle. Toutefois, une fois les fichiers obtenus, un examen révèle que aucun des installateurs ne contient une application de réunion fonctionnelle.
Le package Windows est un exécutable auto-extrait NSIS construit autour du framework Electron, qui n'affiche qu'une interface de progression, tandis que l'image disque macOS cache son exécutable dans un répertoire que Finder cache par défaut. L'analyse statique du code ne révèle aucune fonctionnalité de collaboration légitime, uniquement des routines de collecte de données et de transmission réseau. Cette disparité entre la présentation marketing et le contenu réel du binaire est centrale à l'efficacité de la campagne. Les candidats à l'emploi ayant déjà investi du temps dans le processus de recrutement sont plus susceptibles de terminer les étapes d'installation sans vérification approfondie. La conception exploite donc à la fois la légitimité visuelle et l'engagement psychologique pour augmenter le taux d'infection parmi les professionnels ciblés.
Le chemin d'installation macOS supprime les protections de quarantaine
Sur macOS, l’image disque téléchargée contient un court script shell intitulé Installer.file, un raccourci vers Terminal et un dossier caché nommé .back qui contient l’exécutable réel de 5,2 Mo. Les utilisateurs sont invités à ouvrir Terminal, à faire glisser le script dans la fenêtre, puis à appuyer sur Entrée. Le script copie le binaire caché vers un emplacement temporaire, supprime ses attributs étendus avec la commande xattr, accorde les autorisations d’exécution et le lance silencieusement en arrière-plan à l’aide de nohup. La suppression de l’attribut de quarantaine désactive l’avertissement standard de macOS qui s’affiche normalement lorsqu’un utilisateur ouvre pour la première fois un fichier téléchargé depuis Internet. Aucune vulnérabilité système n’est requise ; l’utilisateur exécute lui-même les commandes qui neutralisent la protection.
Une fois exécuté, la charge utile affiche une boîte de dialogue AppleScript stylisée comme une « erreur d’application » qui prétend des problèmes de compatibilité avec la version actuelle de macOS et demande le mot de passe système. Le mot de passe saisi est capturé et associé à une copie de la base de données du Keychain de connexion pour une transmission ultérieure. Étant donné que le Keychain de connexion est généralement déverrouillé par le même mot de passe, cette combinaison fournit à la fois les données chiffrées et les moyens de les déchiffrer. Des routines supplémentaires ciblent les stockages des navigateurs, les extensions de wallet, les fichiers de session Telegram et le contenu des Notes Apple qui peuvent contenir des phrases de récupération ou des clés. Le processus est conçu pour terminer son exfiltration en une seule exécution, sans établir une persistance à long terme via redémarrage.
Le chemin Windows repose sur une progression simulée et des privilèges élevés
L'installateur Windows affiche une barre de progression marquée « Mise à jour » qui avance selon un minuteur aléatoire, et non selon une activité réelle de téléchargement ou de vérification. Les messages d'état tels que « Chargement des composants principaux » et « Vérification des fichiers locaux » s'enchaînent mécaniquement tandis que la barre progresse vers 80 %. Lorsque ce seuil est atteint, le code exécute une commande PowerShell demandant des privilèges administrateur et lance un binaire non signé de 116 Mo nommé updater.exe. Le processus avec privilèges élevés tente d'abord d'établir une persistance en copiant lui-même vers un emplacement caché sous le répertoire AppData de l'utilisateur, puis en créant des entrées dans les clés Registry Run, RunOnce et le dossier Démarrage, toutes étiquetées pour ressembler à des composants de Windows Update.
Après avoir assuré sa persistance, le malware analyse les processus Chrome et Brave en cours pour rechercher des paramètres liés aux extensions de wallet déverrouillées, puis prépare les valeurs extraites pour transmission accompagnées d’un identifiant de machine. Le même payload contient des modules destinés à collecter les identifiants du navigateur, les cookies, les données Telegram et les informations système. Étant donné que l’interface de progression ne reflète jamais d’activité réelle, l’utilisateur n’a aucun indicateur visuel indiquant que l’installation a dévié d’une mise à jour logicielle normale. La combinaison de la pression sociale issue de l’interview en cours et de l’apparence familière d’un écran de mise à jour encourage la validation de la demande d’élévation des privilèges. Une fois les droits administrateur accordés, le malware acquiert la capacité de persister à travers les redémarrages et d’accéder à la mémoire des processus protégés.
L'extension wallet cible les principaux clients de cryptomonnaies
Le malware intègre une table de correspondance extensive des identifiants d'extensions de navigateur, référencée des centaines de fois dans le code. La liste comprend 286 identifiants distincts correspondant à des portefeuilles de cryptomonnaies populaires tels que MetaMask, Phantom et Trust Wallet, ainsi qu'à des gestionnaires de mots de passe incluant 1Password, LastPass, Proton Pass et Dashlane. Sur les deux systèmes d'exploitation, la logique de collecte extrait les mots de passe enregistrés, les cookies, les jetons de session et les données de remplissage automatique de Chrome, Brave, Edge et Arc. Pour les extensions spécifiques aux portefeuilles, le code recherche des états déverrouillés ou du matériel de récupération stocké pouvant être utilisé pour vider les fonds. Sous Windows, l'analyse de la mémoire du processus se concentre sur les instances de Chrome et Brave qui peuvent contenir des sessions de portefeuille actives.
La portée de la cible signifie qu'une seule infection réussie peut compromettre plusieurs wallets et banques d'identifiants simultanément. Les professionnels qui conservent des wallets basés sur navigateur pour la commodité ou qui stockent des notes associées dans des applications système sont exposés à un risque accru. La conception privilégie une collecte rapide et complète plutôt qu'un vol sélectif, maximisant la valeur de chaque machine compromise. Les équipes de sécurité notent que l'inclusion d'extensions de gestionnaires de mots de passe élargit le potentiel de dommages au-delà des crypto-actifs purs pour inclure des prises de contrôle de comptes plus larges.
Vol de la trousse de clés et de la session Telegram amplifie les dommages
Au-delà des données du navigateur, la variante macOS lit spécifiquement la base de données Keychain de connexion et l'associe au mot de passe obtenu via la fenêtre falsifiée. La transmission réussie de ces deux éléments permet le déchiffrement à distance des identifiants stockés. Les fichiers de session de Telegram Desktop situés dans le répertoire tdata sont également ciblés ; la possession de ces fichiers peut permettre la restauration d'une session active sur un appareil contrôlé par l'attaquant. Le contenu des Notes Apple est collecté en parcourant les comptes et les dossiers, puis en enregistrant les corps de notes sous forme de fichiers HTML, ce qui crée un risque si les utilisateurs y ont enregistré leur phrase secrète ou leurs clés API.
Des identifiants système tels que l'UUID matériel, l'adresse IP et le pays sont collectés pour identifier la machine de la victime. Sous Windows, les mécanismes de persistance garantissent que les routines de collecte peuvent continuer après la fermeture de la fenêtre initiale d'entretien. La combinaison des données d'identifiants, de session et de notes crée plusieurs voies d'atteinte supplémentaires, y compris l'usurpation d'identité de la victime dans des discussions professionnelles ou des attaques secondaires contre les contacts. Les chercheurs soulignent que cette approche multi-vecteurs est typique des voleurs d'informations modernes optimisés pour cibler des actifs Web3 de haute valeur.
L'absence de persistance à long terme sous macOS limite certains risques
L'analyse statique de l'échantillon macOS n'a révélé aucune trace de LaunchAgents, LaunchDaemons ou autres mécanismes persistants après redémarrage. Le lancement via nohup permet au processus de continuer après la fermeture du Terminal, mais un redémarrage système le termine. Ce choix de conception suggère que les opérateurs privilégient l'exfiltration rapide des données pendant la fenêtre d'entretien en direct plutôt qu'une présence prolongée. En revanche, la version Windows met en œuvre trois méthodes distinctes de persistance. Cette différence peut refléter des contraintes spécifiques à chaque plateforme ou un compromis calculé entre discrétion et fiabilité.
Pour les victimes qui redémarrent rapidement après avoir remarqué des anomalies, l'infection macOS peut être limitée aux données collectées lors de la première session. Néanmoins, la première collecte de données du Keychain, des navigateurs et de Telegram peut encore entraîner des pertes irréversibles si les wallets sont vidés avant toute mesure de remédiation. L'absence de persistance ne réduit pas la menace immédiate pour les fonds détenus dans les hot wallets ou les extensions de navigateur. Les opérateurs semblent accepter une fenêtre opérationnelle plus courte en échange d'un payload plus simple et moins détectable sur les systèmes Apple.
Les rapports de la communauté ont déclenché l'enquête MistEye
MistEye, la plateforme d'intelligence sur les menaces Web3 de SlowMist, a reçu des notifications de la communauté concernant un logiciel d'entretien suspect avant le début de l'analyse complète. Le système a signalé relay.lc comme à haut risque, incitant l'équipe de sécurité à acquérir et à réverser les deux installateurs sans les exécuter ni contacter l'infrastructure distante. L'examen au niveau du code source des scripts, de l'interface Electron et des binaires intégrés a confirmé l'absence de fonctionnalité de réunion légitime et la présence de routines de collecte étendues.
Le rapport technique résultant détaille les structures de fichiers exactes, les chaînes décodées, le texte des dialogues et les chemins de persistance, fournissant aux défenseurs des indicateurs concrets. La publication des résultats le 29 juillet 2026 a permis une diffusion rapide à travers les canaux de sécurité. L'épisode illustre la valeur du signalement communautaire combiné à une surveillance spécialisée axée sur les menaces Web3. La détection précoce a limité la fenêtre pendant laquelle la campagne pouvait opérer sans contestation. Une surveillance continue est maintenue pour les domaines associés ou les charges utiles variantes qui pourraient apparaître sous une nouvelle identité.
Schéma plus large des campagnes de vol de cryptomonnaies basées sur des entretiens
Des campagnes exploitant le processus de recherche d'emploi ont récemment réapparu dans le secteur Web3, utilisant souvent des applications de rendez-vous falsifiées ou des outils de signature de documents pour délivrer des logiciels volant des informations. Les variantes antérieures utilisaient des noms tels que Meeten, GrassCall ou des marques génériques de conférence et s'appuyaient sur des principes similaires d'ingénierie sociale. L'opération Relay affiner cette approche en intégrant une identité axée sur l'IA et un théâtre d'installation spécifique à la plateforme. L'accent constant mis sur les wallets de navigateur et les données de session reflète la forte concentration d'actifs liquides parmi les professionnels qui maintiennent des environnements de développement ou de trading actifs.
Les chercheurs en sécurité observent que l'incitation économique reste forte, car un seul prélèvement réussi peut générer des rendements substantiels par rapport au coût de la création de l'appât. La prise de conscience défensive s'est améliorée, mais l'introduction continue de nouveaux domaines et d'interfaces raffinées maintient cette technique viable. Les organisations qui recrutent à distance sont invitées à standardiser l'utilisation de plateformes de réunion vérifiées et à interdire l'installation de logiciels fournis par les candidats. Les candidats individuels bénéficient de traiter toute demande de téléchargement d'outils d'entretien comme un signal à haut risque nécessitant une vérification indépendante.
Défenses pratiques contre les pièges d’installation de logiciels
Les candidats peuvent réduire leur exposition en vérifiant l'identité des recruteurs via les canaux officiels de l'entreprise, plutôt que de s'appuyer sur des messages non sollicités. Les liens de réunion doivent provenir uniquement de domaines reconnus associés à l'employeur supposé. Toute demande d'installation de logiciel de bureau avant un entretien mérite un scepticisme immédiat et une recherche indépendante sur l'application et son éditeur. Les mots de passe système ne doivent jamais être saisis dans des boîtes de dialogue apparaissant pendant un processus d'installation. Les portefeuilles matériels et les pratiques de stockage à froid limitent l'impact du vol basé sur le navigateur.
Des examens réguliers des extensions de navigateur et la suppression des clients wallet inutilisés réduisent davantage la surface d'attaque. Lorsqu'une entrevue doit avoir lieu, les candidats peuvent proposer des plateformes alternatives vérifiées et refuser tout installateur qui ne peut être validé. Ces mesures ne suppriment pas tous les risques, mais augmentent le coût opérationnel pour les attaquants qui dépendent d'une conformité rapide et non examinée. Les équipes de sécurité au sein des entreprises Web3 peuvent intégrer des conseils similaires dans les modèles de communication avec les candidats. L'éducation continue reste essentielle, car la composante d'ingénierie sociale évolue parallèlement aux charges techniques.
Contexte du marché pour une activité de recrutement accrue
La demande de talents spécialisés en blockchain continue de soutenir des recrutements actifs à distance dans les rôles de développement, de sécurité et d’écosystème. La présence de postes réellement bien rémunérés crée un environnement propice à l’usurpation. Les attaquants exploitent le volume de communications générées par les recruteurs légitimes, se fondant dans le bruit de fond des réseaux professionnels. Les fourchettes salariales et les structures privilégiant le travail à distance, caractéristiques de nombreuses offres Web3, normalisent davantage l’utilisation d’outils d’entretien spécialisés. La campagne Relay tire parti de cet environnement en présentant une exigence technique plausible au moment précis où les candidats sont motivés à démontrer leur flexibilité.
Alors que la participation institutionnelle dans les actifs numériques s'étend, le nombre de professionnels détenant à la fois des qualifications professionnelles et des crypto-actifs personnels augmente, ce qui accroît le gain potentiel par infection réussie. Les considérations de sécurité sont donc devenues une partie intégrante du processus de recrutement lui-même, et non une après-pensée. Les entreprises qui publient des procédures de vérification claires pour les entretiens aident les candidats à distinguer les processus authentiques des processus malveillants. L'interaction entre opportunité légitime et criminalité opportuniste façonne le paysage des risques actuel pour les chercheurs d'emploi dans le secteur.
Indicateurs et opportunités de détection pour les défenseurs
L'analyse statique révèle plusieurs indicateurs concrets pouvant être intégrés dans des outils de défense. La présence d'un répertoire .back contenant un fichier exécutable non signé au sein d'une image de disque prétendument liée à une réunion est anormale. Sous Windows, la combinaison d'une interface de progression Electron qui avance de manière aléatoire et d'un updater.exe non signé demandant une élévation de privilèges est distinctive. Les destinations réseau référencées dans les chaînes décodées, ainsi que la table d'ID d'extension spécifique, fournissent des signatures de détection supplémentaires. La surveillance comportementale qui signale la suppression des attributs de quarantaine suivie d'un accès au Keychain ou la création d'entrées masquées dans le dossier Démarrage peut révéler des infections en cours.
Les règles de détection d’endpoint qui surveillent les commandes PowerShell lançant des binaires masqués sous couvert de processus de mise à jour ajoutent une couche supplémentaire. Le partage de ces indicateurs entre les groupes industriels accélère la défense collective. Les organisations qui traitent un grand nombre d’entretiens techniques à distance peuvent bénéficier du blocage au niveau réseau des domaines récemment enregistrés associés à la marque des outils de réunion. La diffusion rapide des découvertes de SlowMist a déjà commencé à alimenter les flux d’intelligence sur les menaces utilisés par les plateformes de sécurité. L’analyse inversée continue de toute variante observée affinera l’ensemble des indicateurs au fil du temps.
|
KuCoin célèbre son 9e anniversaire avec une campagne spéciale sur la plateforme, remplie de récompenses exclusives, d'activités de trading et d'offres à durée limitée. Ne manquez pas l'occasion de participer et de profiter des avantages alors que la plateforme célèbre neuf ans de croissance et d'innovation. Visitez la page officielle de la campagne dès maintenant :
|
Conclusion
La campagne Relay souligne la nécessité de traiter chaque demande de téléchargement de logiciel pendant le recrutement comme un vecteur d'attaque potentiel. Les professionnels qui maintiennent des environnements de développement actifs ou détiennent des actifs significatifs dans des wallets de navigateur font face à un risque personnel accru. L'adoption de wallets matériels pour les actifs principaux, la séparation stricte des appareils d'entretien des systèmes de gestion d'actifs, et les audits réguliers des extensions de navigateur constituent des contrôles de base pratiques. Les entreprises peuvent réduire leur exposition collective en publiant des procédures d'entretien vérifiées et en formant les recruteurs à éviter toute exigence d'installation de logiciel côté candidat.
La sophistication technique des pièges spécifiques à la plateforme indique que les attaquants continueront d'investir dans des paquets d'ingénierie sociale raffinés tant que les rendements économiques restent attractifs. Une collaboration continue entre les chercheurs en sécurité, les canaux de signalement communautaires et les organisations recruteuses est nécessaire pour rester en avance sur les nouvelles variantes. La connaissance des techniques spécifiques documentées dans l'analyse MistEye permet aux individus et aux équipes d'interrompre la chaîne d'infection dès le stade initial. L'incident met enfin en lumière que, dans le secteur Web3, la frontière entre opportunité professionnelle et vol ciblé devient de plus en plus fine, exigeant une vigilance accrue de la part de chaque participant au processus de recrutement.
FAQ
Comment le malware Relay atteint-il initialement les chercheurs d'emploi Web3 ?
Les attaquants se font passer pour des recruteurs et contactent des professionnels avec des invitations à des entretiens. Après avoir établi le contact, ils orientent le candidat vers le site relay.lc, le présentant comme la plateforme requise pour la réunion vidéo. La description soignée des fonctionnalités de transcription IA et de collaboration rend la demande apparemment courante, amenant de nombreuses victimes à télécharger et exécuter les installateurs sans vérification supplémentaire.
Quelles données spécifiques le malware tente-t-il de collecter ?
La charge utile cible les mots de passe enregistrés dans le navigateur, les cookies et les données de remplissage automatique de Chrome, Brave, Edge et Arc, ainsi que 286 identifiants d’extensions de wallet et de gestionnaires de mots de passe cryptomonnaies. Sur macOS, elle capture également la base de données Keychain de connexion associée à un mot de passe fourni par l’utilisateur, les fichiers de session Telegram, le contenu des Notes Apple et les identifiants système. Sur Windows, elle ajoute une analyse de la mémoire des processus pour les paramètres de wallet déverrouillés et établit des mécanismes de persistance.
Pourquoi l'installation sur macOS demande-t-elle aux utilisateurs de faire glisser un fichier dans Terminal ?
L'étape Terminal exécute un court script qui copie un fichier exécutable masqué, supprime son attribut de quarantaine et le lance en silence. La suppression de l'attribut de quarantaine désactive l'avertissement standard de macOS qui s'afficherait autrement lors de l'ouverture d'un fichier téléchargé depuis Internet, permettant ainsi au malware de s'exécuter sans la boîte de confirmation utilisateur habituelle.
Comment la version Windows crée-t-elle l'illusion d'une mise à jour légitime ?
Une interface basée sur Electron affiche une barre de progression qui avance selon un minuteur aléatoire non lié à toute activité réelle de téléchargement ou d'installation. Les messages d'état changent automatiquement jusqu'à ce que la barre atteigne 80 %, moment où une commande PowerShell demande des privilèges administrateur et lance un binaire secondaire masqué.
Les données du trousseau volées peuvent-elles être utilisées immédiatement par les attaquants ?
Oui. Le malware associe le mot de passe au faux dialogue avec une copie de la base de données Keychain de connexion. Étant donné que le Keychain est généralement déverrouillé par le même mot de passe, les opérateurs à distance reçoivent à la fois le magasin d’identifiants chiffré et la clé nécessaire pour le déchiffrer, ce qui permet d’accéder aux mots de passe stockés et autres secrets.
Quelles méthodes de persistance le malware Windows utilise-t-il ?
Après élévation, la charge utile se copie vers un emplacement masqué sous AppData et crée des entrées de démarrage dans la clé Run du Registre, la clé RunOnce et le dossier Démarrage. Les entrées sont nommées pour ressembler à des composants légitimes de Windows Update, permettant au malware de se relancer après un redémarrage du système.
Clause de non-responsabilité : Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil en investissement. Les investissements dans les cryptomonnaies comportent des risques. Veuillez effectuer vos propres recherches (DYOR).
Avertissement : Pour votre confort, cette page a été traduite à l'aide de la technologie IA. Pour obtenir les informations à la source, consultez la version anglaise originale.