REX Cyber · Veille du 2026-09-04. Faits attribués à www.jamf.com.
Jamf Threat Labs a découvert des installateurs macOS factices liés à l'infrastructure des attaques Git hook et VS Code.
Ce qui s’est passé
Les auteurs de www.jamf.com rapportent les constatations suivantes :
- Jamf Threat Labs a découvert des installateurs macOS factices liés à l'infrastructure des attaques Git hook et VS Code.
- Jamf Threat Labs a identifié un cluster de DMG et PKG macOS se connectant à la même infrastructure de staging.
- L’application modifiée exécute le fichier .macos au double-clic, affichant l’interface standard tout en effectuant des actions malveillantes en arrière‑plan.
Acteurs et cibles
Acteurs rapportés
DPRK
Cibles rapportées
Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.
Relations explicites de renseignement
- Acteurs associés : DPRK
Ces relations publiques sont liées au rapport. Elles peuvent décrire une activité plus large que l’événement résumé ci-dessus.
MITRE ATT&CK
Techniques directement associées au rapport
Aucune technique MITRE structurée directement associée à ce rapport dans les données disponibles.
Répertoire associé aux acteurs et aux malwares
Les techniques suivantes sont liées à une entité présente dans le rapport. Cette association décrit son répertoire connu ; elle ne prouve pas leur emploi dans cet incident.
DPRK
| Technique source | Nom | Tactiques | Confiance source | Statut dans ATT&CK |
|---|---|---|---|---|
| Identifiant absent | TA0008 | Non renseignées dans les données | 50 | Non vérifié dans le catalogue officiel |
| Identifiant absent | TA0001 | Non renseignées dans les données | 50 | Non vérifié dans le catalogue officiel |
| Identifiant absent | TA0040 | Non renseignées dans les données | 50 | Non vérifié dans le catalogue officiel |
| Identifiant absent | TA0007 | Non renseignées dans les données | 50 | Non vérifié dans le catalogue officiel |
Les identifiants proviennent des objets de renseignement. Les champs absents sont signalés ; aucune technique n’est ajoutée par déduction du texte.
Entités et contexte du rapport
- Malware : OtterCookie ; alias : js.otter_cookie ; is_family : True ; malware_types : bot ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
- Groupe d’activité : DPRK ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
Cette liste présente les objets associés par la source. La présence d’un pays, d’un secteur, d’un outil ou d’une CVE ne suffit pas à établir son rôle dans le cas. Les acteurs et les cibles confirmés par le récit sont précisés plus haut.
Relations entre les entités nommées
| Origine | Relation déclarée | Destination | Confiance / statut |
|---|---|---|---|
| DPRK | utilise | OtterCookie | 50/100 |
IOC et observables pour la recherche
38 valeurs typées issues des objets publics du rapport. Les valeurs ci-dessous sont neutralisées pour éviter les liens actifs. L’export CSV conserve les valeurs exactes.
Statuts de validité calculés au 2026-10-10T07:38:41+00:00, à partir du snapshot collecté. Ils doivent être réévalués avant un usage opérationnel ultérieur.
La confiance est le score de la source sur 100 ; elle n’est pas une probabilité de compromission.
| Type | Valeur neutralisée | Qualification | Confiance | Usage / validité |
|---|---|---|---|---|
| domain | kikaiverse[.]com |
Indicateur | 50 | Dans la période de validité déclarée |
| domain | lalitae[.]com |
Indicateur | 50 | Dans la période de validité déclarée |
| domain | pobel[.]studio |
Indicateur | 50 | Dans la période de validité déclarée |
| domain | pobelstudio[.]com |
Indicateur | 50 | Dans la période de validité déclarée |
| domain | softcus[.]net |
Indicateur | 50 | Dans la période de validité déclarée |
| domain | w3pi[.]social |
Indicateur | 50 | Dans la période de validité déclarée |
| ipv4 | 147[.]124[.]202[.]205 |
Indicateur | 50 | Révoqué — recherche historique |
| ipv4 | 162[.]0[.]239[.]85 |
Indicateur | 50 | Révoqué — recherche historique |
| sha256 | 01955691147a036e2104a16f9c3b34d11cb3304e184ed9d533325705599b876b |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 08425172a2dc19516ba9a3fcca8a0a789962d9b95d1792974f69c086ee64aec9 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 0882bb158878a1ca19320f5160dc93f4608c862f3ab652671bb92a82b2f1eb39 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 0d306f347999e02cbbe41d6ff1c47aecbc994213b3cc65bbf4aa723469e6e5ab |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 0e12f41c2d3d2e48b5a004bff4c126bf8e907bc6c20648f3844ed4ebad126a29 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 1abbdeee6d03894c0c53240f7ba873fadf9367e312ada1d280420bc88f986e91 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 24a252e72d767d62f3076f4f59780511288ea9eedd0e30f234c9cdd5b7644cbf |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 3a7fedfeb42f13b2c368c195ec83b8e8c952df7fd506133210868f3eeb06b51d |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 3cda9d3522d471a0018bc58499a424f8084b29e21776d8d63d09fe2d7eca4b49 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 42620128470e26d473a128f354b77ca2c5fe9e5782e7addc1e3f863dbd0cd9b0 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 46d382b234dcd63e66b17799b2e6cefe24ae60e10bef758c6ccf8e72ba0aaa6c |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 4c025bda19d6b7b1f9cc209876099b20130a198c18ae22b7809470dde93c62db |
Indicateur | 50 | Dans la période de validité déclarée |
Affichage des 20 premières valeurs ; les exports contiennent la liste complète.
Télécharger les IOC en CSV · Lire les IOC neutralisés (TXT) · Télécharger les renseignements structurés (JSON)
Comment utiliser les exports
Le CSV sert à rechercher les valeurs dans les journaux DNS, proxy, réseau et EDR selon leur type. La présence d’un observable dans un rapport ne suffit pas à justifier son blocage. Les indicateurs révoqués ou expirés sont conservés pour la recherche historique, avec leur statut.
Couverture et provenance
Rapport publié le 2026-09-03T22:07:29.610Z ; 82 objets publics et 121 relations publiques explicitement associées. Pagination complète. Une entité mentionnée n’établit pas, à elle seule, une attribution ou un ciblage. 4 patterns non pris en charge ou valeurs invalides ont été exclus de l’export. La fiche est générée automatiquement depuis les données du rapport et ses références publiques ; elle ne décrit pas un incident observé chez Gringao.
Texte de la source publique lu : extrait de 8526 caractères retenu, dans la limite de 12000 caractères. Le récit est vérifié sur cet extrait.
- Titre source : Contagious Interview steps outside the developer workflow
- Types de rapport : threat-report
- Labels : fake job interview, macos, ottercookie, trojanized installers
- Confiance du rapport : 50/100
- Création déclarée par la source : 2026-09-03T22:07:29.610Z
- Modification déclarée par la source : 2026-09-25T12:10:44.287Z
- Import de l’objet de renseignement : 2026-09-25T12:10:43.584Z
- Mise à jour de l’objet de renseignement : 2026-09-25T12:10:44.287Z
Le JSON rassemble les métadonnées, les alias, les attributs structurés, les références, les relations, les techniques MITRE et tous les IOC retenus. Les dates d’import et de mise à jour sont distinctes de la date d’incident.
Source
Contagious Interview steps outside the developer workflow — www.jamf.com.