PHANTOMPULSE : Obsidian détourné contre finance et crypto

Ce qui s'est passé

Le 14 avril 2026, Elastic Security Labs a publié une analyse approfondie de REF6598, une campagne d'ingénierie sociale visant spécifiquement les professionnels de la finance et des crypto-actifs. Le vecteur d'intrusion n'exploite aucune vulnérabilité logicielle : il détourne la confiance accordée au marketplace de plugins communautaires d'Obsidian, application de prise de notes largement adoptée par les analystes, traders et gestionnaires d'actifs. Les attaquants y diffusent des extensions malveillantes, présentées comme des outils de productivité, pour déployer une porte dérobée baptisée PHANTOMPULSE. Le tandem PHANTOMPULSE Obsidian s'appuie sur une faiblesse structurelle : les plugins s'exécutent avec les privilèges de l'utilisateur, sans signature ni revue de sécurité systématique. Cette campagne confirme le déplacement des acteurs malveillants vers les écosystèmes d'extensions, maillon de la chaîne d'approvisionnement logicielle encore peu surveillé par les équipes de défense.

C'est à ce stade que le piège se referme. Le coffre Obsidian fourni par les attaquants embarque un plugin communautaire de type Shell Commands, qui exécute du code arbitraire au nom de l'utilisateur dès l'ouverture du fichier. Le payload déposé, identifié comme PHANTOMPULSE par Elastic, est décrit par les analystes comme un RAT partiellement généré par IA, écrit pour Windows et macOS. Une fois actif, il collecte la télémétrie système, exfiltre fichiers et frappes clavier, envoie des captures d'écran et reçoit ses ordres via WinHTTP.

Originalité technique de la campagne : le malware ne contacte pas directement un serveur C2 statique. Il interroge la blockchain Ethereum pour récupérer la dernière transaction associée à un portefeuille codé en dur, et en extrait l'adresse active du serveur de commande. Ce schéma rend le blocage par liste DNS ou IP largement inefficace.

Pourquoi c'est important (2)

La campagne PHANTOMPULSE illustre une bascule qui devient structurelle dans les attaques ciblées : la supply chain applicative ne se limite plus aux dépendances logicielles, elle inclut désormais les plugins d'outils de productivité. Obsidian, Notion ou VS Code partagent tous des marketplaces communautaires faiblement modérés, où l'exécution de code local est la norme. Les contrôles classiques (antivirus, EDR, proxy web) peinent à distinguer une activité plugin légitime d'une porte dérobée embarquée dans un coffre. Ce mode opératoire rappelle le ciblage géographique du malware bancaire JanelaRAT en Amérique latine, où le vecteur social précède toujours le vecteur technique.

Pour les équipes cybersécurité, deux enseignements s'imposent. D'abord, le social engineering LinkedIn + Telegram s'inscrit dans une logique long cycle qui ressemble aux opérations d'APT étatiques telles qu'APT28 et son malware PRISMEX : plusieurs semaines de mise en confiance avant l'intrusion. Ensuite, l'utilisation d'Ethereum pour la résolution C2 annonce la fin des stratégies de détection basées sur la réputation d'infrastructure, une tendance déjà observée dans les opérations nord-coréennes ciblant les plateformes crypto et dans la campagne de la fausse application Ledger Live sur l'App Store.

Ce qu'il faut retenir

• Limitez l'installation de plugins Obsidian aux seules extensions signées et auditées, en particulier celles qui exposent des commandes shell.
• Surveillez les communications sortantes vers les nœuds RPC Ethereum publics depuis les postes métier, un indicateur faible mais révélateur.
• Sensibilisez explicitement les équipes finance et crypto aux approches LinkedIn suivies d'une demande d'installation d'outils de productivité.

Pourquoi c'est important

PHANTOMPULSE s'inscrit dans une tendance déjà documentée par plusieurs éditeurs de threat intelligence : le ciblage de professionnels de la finance et de la crypto via de fausses opportunités d'investissement sur LinkedIn, une technique historiquement associée à des groupes comme BlueNoroff ou Lazarus, connus pour leurs campagnes contre des exchanges et des fonds crypto depuis 2022. Ce qui distingue REF6598, c'est le choix d'Obsidian comme vecteur : contrairement aux campagnes classiques qui abusent de fichiers PDF ou d'installateurs trojanisés, les attaquants exploitent ici la confiance accordée à un écosystème de plugins communautaires peu audité, un schéma déjà observé sur le Marketplace de Visual Studio Code et sur npm, où des extensions malveillantes ont permis l'exfiltration de identifiants et de portefeuilles crypto. Cette convergence confirme que les marketplaces d'extensions, quels que soient l'éditeur ou la popularité de l'application hôte, constituent une surface d'attaque désormais systématiquement testée par les groupes financièrement motivés.

L'usage de la blockchain Ethereum comme mécanisme de résolution C2 illustre par ailleurs une évolution notable des techniques d'évasion : en interrogeant une transaction publique plutôt qu'un domaine ou une IP statique, les opérateurs rendent le blocage réseau traditionnel largement inopérant, puisque la blockchain elle-même ne peut être filtrée sans bloquer l'accès légitime à Ethereum. Cette approche, déjà repérée dans quelques campagnes isolées depuis 2023, gagne en maturité et pourrait inspirer d'autres familles de malwares cherchant à contourner les listes de blocage DNS et les passerelles de filtrage web. Pour les équipes de sécurité des fonds d'investissement et plateformes crypto, cela signifie que la détection doit désormais reposer davantage sur le comportement du poste (exécution de plugins, appels WinHTTP suspects) que sur la seule inspection du trafic réseau.