En bref

• Les attaquants dissimulent des malwares dans des fichiers de projet Blender 3D partagés sur des places de marché de design populaires.
• Le StealC V2, un infostealer lié à des hackers russophones, cible les développeurs de jeux, animateurs et studios VFX.
• Les fichiers malveillants exécutent des scripts Python cachés dès leur ouverture dans Blender.
• Les victimes se trouvent principalement en Amérique du Nord, en Europe de l’Ouest et dans certaines régions d’Asie ; les zones russophones sont délibérément évitées.
• Des tactiques similaires ont déjà été utilisées lors de campagnes précédentes usurpant des groupes de défense des droits numériques pour cibler les communautés créatives.

Le cheval de Troie de l’art numérique

Imaginez une place de marché numérique animée : des créateurs du monde entier téléchargent et échangent des modèles 3D complexes pour alimenter leur prochaine animation ou jeu. Mais, tapie dans certains de ces fichiers, se cache une menace invisible - le cheval de Troie d’un cybercriminel, prêt à dérober des secrets dès qu’un designer ouvre sa dernière trouvaille.

Selon de nouvelles recherches de la société israélienne de cybersécurité Morphisec, des hackers liés à la Russie exploitent Blender, un outil de conception 3D open source, pour mener une série d’attaques furtives. Au cours des six derniers mois, ces attaquants ont glissé des fichiers Blender malveillants sur des plateformes de confiance comme CGTrader, une référence pour les modèles 3D. Les fichiers contenaient des scripts Python qui s’exécutaient automatiquement à l’ouverture du projet, libérant le StealC V2 - un pickpocket numérique conçu pour dérober données de navigation, portefeuilles de cryptomonnaies et identifiants sensibles d’applications.

Le double tranchant de Blender

Blender est apprécié pour sa flexibilité et son caractère open source, mais cette même ouverture offre une porte d’entrée aux attaquants. La façon dont Blender gère ses fichiers .blend permet aux scripts intégrés de s’exécuter automatiquement - un outil efficace pour les artistes, mais un cauchemar lorsqu’il est détourné. Dans ce cas, les scripts exécutaient les ordres des hackers, sans alerter l’utilisateur.

La dissimulation de malwares dans des fichiers de design n’est pas totalement nouvelle - des incidents similaires ont déjà eu lieu. Cependant, l’enquête de Morphisec marque la première fois que ces attaques sont directement reliées à StealC et à des schémas typiques de cybercriminels russophones. À noter : le malware est programmé pour éviter d’infecter les ordinateurs configurés en russe, ukrainien, biélorusse ou kazakh - un indice révélateur de ses origines probables.

Les communautés créatives dans le viseur

La chaîne d’approvisionnement des logiciels créatifs est devenue une cible de choix pour les cybercriminels. En compromettant les outils sur lesquels comptent artistes, animateurs et développeurs, les attaquants peuvent toucher un large public souvent peu méfiant. Le malware StealC V2, apparu sur les forums du dark web en 2023 pour 200 $ par mois, fait partie d’une panoplie d’outils de vol numérique - son code flexible lui permettant de piller tout, des mots de passe enregistrés aux portefeuilles de cryptomonnaies.

Des campagnes passées ont même usurpé des organisations respectées comme l’Electronic Frontier Foundation pour piéger leurs victimes, preuve d’une approche calculée de l’ingénierie sociale. L’essor du travail à distance et la collaboration créative mondiale élargissent encore la surface d’attaque, rendant la vigilance plus essentielle que jamais pour la communauté des artistes numériques.

WIKICROOK

• Blender : Blender est un outil de création 3D gratuit et open source utilisé pour la modélisation, l’animation et le rendu dans des secteurs comme le cinéma, le jeu vidéo et le design.
• Infostealer : Un infostealer est un malware conçu pour voler des données sensibles - comme des mots de passe, cartes de crédit ou documents - sur des ordinateurs infectés à l’insu de l’utilisateur.
• Script Python : Un script Python est un petit programme écrit en Python, souvent utilisé pour automatiser des tâches ou, en cybersécurité, pour déployer des malwares ou tester la sécurité.
• Attaque de la chaîne d’approvisionnement : Une attaque de la chaîne d’approvisionnement est une cyberattaque qui compromet des fournisseurs de logiciels ou matériels de confiance, propageant des malwares ou vulnérabilités à de nombreuses organisations en même temps.
• Forum du dark web : Un forum du dark web est une communauté en ligne cachée accessible avec des navigateurs spéciaux, souvent utilisée pour des activités illégales et l’échange de données volées ou d’outils de piratage.