Bee Stealer : un infostealer Windows avec profilage IA des victimes ciblant Codex et Claude

🗓️ Source : Blackfog, publié le 7 septembre 2026

🔍 Contexte Blackfog a identifié et analysé un nouvel infostealer Windows baptisé Bee Stealer, distribué sur des réseaux cybercriminels sous forme de Malware-as-a-Service (MaaS). La version analysée est la 2.1.

🤖 Fonctionnalité de profilage IA Bee Stealer v2.1 introduit une fonctionnalité appelée “AI PC profile” : un réseau de neurones analyse les logs volés et génère deux fichiers de profil victimes — ProfileEn.txt (anglais) et ProfileRu.txt (russe). Le profil couvre l’identité probable, l’activité et les services fréquemment utilisés de la victime. Ce traitement s’effectue après exfiltration des logs vers l’infrastructure attaquante, et non dans le payload Windows. Il s’agit d’un outil de triage permettant aux opérateurs d’identifier rapidement les victimes à haute valeur avant expiration des sessions.

🎯 Ciblage des outils IA Bee Stealer cible explicitement Codex et Claude parmi ses nouvelles cibles, collectant données d’authentification et historiques de conversation. L’analyse statique d’un échantillon généré par le builder a confirmé la présence de chemins de collecte dédiés .codex et .claude dans le payload x64.

📦 Capacités de collecte

• Navigateurs Chromium et Firefox : cookies, identifiants, données de navigation, autofill, extensions
• Clients email et messagerie
• Logiciels de transfert de fichiers
• Gestionnaires de mots de passe
• Services et portefeuilles de cryptomonnaies
• File-grabber ciblant Desktop, Downloads et Documents
• Capture d’écran et profilage système

🖥️ Infrastructure opérateur

• Panel web : filtrage par pays, date, cookies, mots de passe, wallets, tags de domaines personnalisés ; recherche en texte intégral ; téléchargement de logs en masse
• Outil Google token : traitement de tokens d’accès Google volés avec support proxy
• Distribution via Tor et I2P
• Payload : exécutable 64 bits Windows, sans import du runtime C Microsoft, utilisant des fonctions Windows conventionnelles

📄 Type d’article Analyse technique et de menace produite par un éditeur de sécurité, visant à documenter les capacités d’un nouveau malware commercial et à alerter sur l’usage de l’IA dans la chaîne d’exploitation post-infection.

🧠 TTPs et IOCs détectés

TTP

• T1555 — Credentials from Password Stores (Credential Access)
• T1539 — Steal Web Session Cookie (Credential Access)
• T1113 — Screen Capture (Collection)
• T1005 — Data from Local System (Collection)
• T1041 — Exfiltration Over C2 Channel (Exfiltration)
• T1083 — File and Directory Discovery (Discovery)
• T1082 — System Information Discovery (Discovery)
• T1560 — Archive Collected Data (Collection)
• T1657 — Financial Theft (Impact)

IOC

• Fichiers : ProfileEn.txt
• Fichiers : ProfileRu.txt
• Chemins : .codex
• Chemins : .claude

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 10 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• Bee Stealer (stealer)

🟡 Indice de vérification factuelle : 50/100 (moyenne)

• ⬜ blackfog.com — source non référencée (0pts)
• ✅ 5909 chars — texte complet (fulltext extrait) (15pts)
• ✅ 4 IOCs (IPs/domaines/CVEs) (10pts)
• ⬜ pas d’IOC vérifié (0pts)
• ✅ 9 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.blackfog.com/bee-stealer-uses-ai-to-profile-victims/