PHANTOMPULSE : Obsidian détourné contre finance et crypto

Ce qui s'est passé

Les chercheurs d'Elastic Security Labs ont publié le 14 avril 2026 une analyse détaillée d'une campagne de social engineering baptisée REF6598, qui vise spécifiquement des professionnels des secteurs financier et crypto. Le vecteur d'intrusion repose sur un abus du marketplace de plugins communautaires d'Obsidian, application de prise de notes massivement adoptée ces dernières années dans les équipes techniques et les fonds d'investissement. Concrètement, les opérateurs se présentent comme les représentants d'un venture capital fictif, engagent la discussion sur LinkedIn, puis redirigent leurs cibles vers un groupe Telegram où plusieurs faux associés interviennent pour renforcer la crédibilité du scénario. La victime est ensuite invitée à installer Obsidian pour accéder à un coffre-fort partagé hébergé chez un prestataire cloud, et à activer des plugins spécifiques pour consulter un tableau de bord de liquidité censé orienter la conversation commerciale.

C'est à ce stade que le piège se referme. Le coffre Obsidian fourni par les attaquants embarque un plugin communautaire de type Shell Commands, qui exécute du code arbitraire au nom de l'utilisateur dès l'ouverture du fichier. Le payload déposé, identifié comme PHANTOMPULSE par Elastic, est décrit par les analystes comme un RAT partiellement généré par IA, écrit pour Windows et macOS. Une fois actif, il collecte la télémétrie système, exfiltre fichiers et frappes clavier, envoie des captures d'écran et reçoit ses ordres via WinHTTP.

Originalité technique de la campagne : le malware ne contacte pas directement un serveur C2 statique. Il interroge la blockchain Ethereum pour récupérer la dernière transaction associée à un portefeuille codé en dur, et en extrait l'adresse active du serveur de commande. Ce schéma rend le blocage par liste DNS ou IP largement inefficace.

Pourquoi c'est important

La campagne PHANTOMPULSE illustre une bascule qui devient structurelle dans les attaques ciblées : la supply chain applicative ne se limite plus aux dépendances logicielles, elle inclut désormais les plugins d'outils de productivité. Obsidian, Notion ou VS Code partagent tous des marketplaces communautaires faiblement modérés, où l'exécution de code local est la norme. Les contrôles classiques (antivirus, EDR, proxy web) peinent à distinguer une activité plugin légitime d'une porte dérobée embarquée dans un coffre. Ce mode opératoire rappelle le ciblage géographique du malware bancaire JanelaRAT en Amérique latine, où le vecteur social précède toujours le vecteur technique.

Pour les équipes cybersécurité, deux enseignements s'imposent. D'abord, le social engineering LinkedIn + Telegram s'inscrit dans une logique long cycle qui ressemble aux opérations d'APT étatiques telles qu'APT28 et son malware PRISMEX : plusieurs semaines de mise en confiance avant l'intrusion. Ensuite, l'utilisation d'Ethereum pour la résolution C2 annonce la fin des stratégies de détection basées sur la réputation d'infrastructure, une tendance déjà observée dans les opérations nord-coréennes ciblant les plateformes crypto et dans la campagne de la fausse application Ledger Live sur l'App Store.

Ce qu'il faut retenir

• Limitez l'installation de plugins Obsidian aux seules extensions signées et auditées, en particulier celles qui exposent des commandes shell.
• Surveillez les communications sortantes vers les nœuds RPC Ethereum publics depuis les postes métier, un indicateur faible mais révélateur.
• Sensibilisez explicitement les équipes finance et crypto aux approches LinkedIn suivies d'une demande d'installation d'outils de productivité.