🔍 Contexte

Publié le 12 octobre 2026 par Elastic Security Labs (auteurs : Jia Yu Chan et Daniel Stepanic), cet article présente une analyse technique approfondie de la campagne REF8801, attribuée à un groupe opérant sous le nom fictif Apex Accelerator / Apex Arena.

🎭 Présentation de l’opération

L’opération se présente comme un accélérateur Web3 privé prétendant avoir plus de 200 projets en portefeuille et 124 millions de dollars levés. Elle cible des fondateurs de crypto-startups avec des offres de crédits IA gratuits (Claude, Gemini), des outils de codage, des audits de sécurité et des événements en présentiel (notamment TOKEN2049 à Singapour). Des faux avis et une présence publique soignée (site web, Luma, réseaux sociaux) sont utilisés pour paraître légitime.

📦 Packages npm malveillants

Deux packages npm malveillants ont été identifiés :

  • @apexacc/cli : agent de codage IA (repackaging du projet légitime Oh My Pi)
  • @apexacc/audit : serveur MCP proposant 18 outils d’audit de sécurité

Ces packages téléchargent et exécutent des binaires spécifiques à la plateforme depuis GitHub Releases, puis contactent vrf.apexaccs[.]org/api/v1/vrf pour récupérer des commandes distantes.

🔗 Chaînes de livraison

Windows :

  • Bootstrap JS → POST vers vrf.apexaccs[.]org → PowerShell/VBScript → drop.ps1 → bludness.exe → install.exe/exegis.exe → updater_loader.exe → shellcode → stealer natif
  • Bypass UAC via réimplémentation de UACME ucmDebugObjectMethod
  • Vérifications anti-VM (15 listes de blocage d’environnement)
  • Loader Golang avec tentatives de décrochage de ntdll.dll, patching AMSI/ETW

macOS :

  • Bootstrap JS → binaire Rust (apex-verify-darwin) → curl → script bash → package.tar.gz → binaire installer → CloudSyncD
  • CloudSyncD : binaire Mach-O universel (ARM64 + x86_64), obfuscation de chaînes XOR, vol du mot de passe via dialog, C2 ccmihr[.]com/macos/jquery.js, chiffrement ChaCha20

🕵️ Interception du trafic LLM et MCP

  • Le bootstrap redirige les requêtes OpenRouter vers arena.apexaccs[.]org/api/llm/v1, permettant à l’attaquant de lire les prompts, l’historique de conversation, les snippets de code et les sorties d’outils
  • Un serveur MCP contrôlé par l’attaquant est enregistré de façon persistante dans ~/.apex/agent/mcp.json
  • Les 18 outils d’audit @apexacc/audit retournent des résultats fabriqués (hard-codés, aléatoires ou dérivés de la date)

💾 Stealer Windows : données collectées

  • Informations système, presse-papiers, captures d’écran, processus, profils Wi-Fi
  • Wallets crypto, extensions navigateur, clients de messagerie, VPN, FTP, clients de jeux
  • Fichiers de configuration d’agents IA : Claude, Cursor, Windsurf
  • Navigateurs : Chrome (avec contournement App-Bound Encryption via impersonation SYSTEM), Edge, Firefox, Yandex
  • Exfiltration via Telegram (deux bots distincts : notification de démarrage + envoi de ZIP)

🌐 Infrastructure et rotation de domaines

Plusieurs domaines ont été utilisés successivement avec obfuscation XOR/Base64 dans le code source. Des commentaires en russe ont été trouvés dans l’historique des commits (anti-debug, anti-agent), sans permettre d’attribution formelle.

📊 Type d’article

Analyse technique et de threat intelligence publiée par Elastic Security Labs, visant à documenter la campagne REF8801, exposer ses mécanismes techniques et fournir des IOCs et règles de détection exploitables.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • REF8801 (unknown) —

TTP

  • T1195.001 — Compromise Software Dependencies and Development Tools (Initial Access)
  • T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
  • T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
  • T1548.002 — Abuse Elevation Control Mechanism: Bypass User Account Control (Privilege Escalation)
  • T1134.001 — Access Token Manipulation: Token Impersonation/Theft (Privilege Escalation)
  • T1134.004 — Access Token Manipulation: Parent PID Spoofing (Privilege Escalation)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1562.001 — Disable or Modify Tools (Defense Evasion)
  • T1036 — Masquerading (Defense Evasion)
  • T1497.001 — Virtualization/Sandbox Evasion: System Checks (Defense Evasion)
  • T1055 — Reflective Code Loading (Defense Evasion)
  • T1140 — Deobfuscate/Decode Files or Information (Defense Evasion)
  • T1070.004 — Indicator Removal: File Deletion (Defense Evasion)
  • T1564.001 — Hide Artifacts: Hidden Files and Directories (Defense Evasion)
  • T1564.003 — Hide Artifacts: Hidden Window (Defense Evasion)
  • T1112 — Modify Registry (Defense Evasion)
  • T1105 — Ingress Tool Transfer (Command and Control)
  • T1573.001 — Encrypted Channel: Symmetric Cryptography (Command and Control)
  • T1041 — Exfiltration Over Web Service (Exfiltration)
  • T1560 — Archive Collected Data (Collection)
  • T1115 — Clipboard Data (Collection)
  • T1113 — Screen Capture (Collection)
  • T1005 — Data from Local System (Collection)
  • T1539 — Steal Web Session Cookie (Credential Access)
  • T1555.003 — Credentials from Password Stores: Credentials from Web Browsers (Credential Access)
  • T1217 — Browser Information Discovery (Discovery)
  • T1057 — Process Discovery (Discovery)
  • T1082 — System Information Discovery (Discovery)
  • T1016 — System Network Configuration Discovery (Discovery)
  • T1033 — System Owner/User Discovery (Discovery)
  • T1566 — Social Engineering (Initial Access)
  • T1608.001 — Stage Capabilities: Upload Malware (Resource Development)
  • T1056.002 — Input Capture: GUI Input Capture (Collection)
  • T1132.001 — Data Encoding: Standard Encoding (Command and Control)

IOC

  • Domaines : apexaccs.org — VT · URLhaus · ThreatFox
  • Domaines : arena.apexaccs.org — VT · URLhaus · ThreatFox
  • Domaines : token.apexaccs.org — VT · URLhaus · ThreatFox
  • Domaines : vrf.apexaccs.org — VT · URLhaus · ThreatFox
  • Domaines : arena.apexfdn.xyz — VT · URLhaus · ThreatFox
  • Domaines : verify.apexfdn.xyz — VT · URLhaus · ThreatFox
  • Domaines : ccmihr.com — VT · URLhaus · ThreatFox
  • Domaines : 0auth-chromium.com — VT · URLhaus · ThreatFox
  • Domaines : ehegisnightmare.icu — VT · URLhaus · ThreatFox
  • Domaines : arenapex.cloud — VT · URLhaus · ThreatFox
  • Domaines : cloudmain365duo.top — VT · URLhaus · ThreatFox
  • Domaines : fdn4apex.com — VT · URLhaus · ThreatFox
  • Domaines : main.router-apex.com — VT · URLhaus · ThreatFox
  • Domaines : update.apex-arena-router.com — VT · URLhaus · ThreatFox
  • URLs : https://vrf.apexaccs.org/api/v1/vrf — URLhaus
  • URLs : https://arena.apexaccs.org/api/llm/v1/chat/completions — URLhaus
  • URLs : https://arena.apexaccs.org/api/copilot/mcp — URLhaus
  • URLs : https://arena.apexaccs.org/dashboard/pilot — URLhaus
  • URLs : https://verify.apexfdn.xyz/macos/installer/terminal/interactive/bash — URLhaus
  • URLs : https://verify.apexfdn.xyz/unix/ab640649-3889-4169-8804-2a1a8ba0fe72 — URLhaus
  • URLs : https://ccmihr.com/macos/jquery.js — URLhaus
  • URLs : https://ehegisnightmare.icu/build/nTOugj-fWWMurYHg/bludness.exe — URLhaus
  • URLs : https://ehegisnightmare.icu/build/J2BkQFArlBUXf4MF/install.exe — URLhaus
  • URLs : https://main.router-apex.com/updater.sh — URLhaus
  • URLs : https://update.apex-arena-router.com/loader.sh — URLhaus
  • URLs : https://0auth-chromium.com/APIService — URLhaus
  • SHA256 : 985829083f3937df6c82419216f7697afae0caac8efca6257a756066fe2c0abb — VT · MalwareBazaar
  • SHA256 : 5ee7145061f05779f7f6f9b72e216713d17d53e183a92f408bfbbc44f2bfb95d — VT · MalwareBazaar
  • SHA256 : 42a760b15fea7c9af718ee45386c1c3ea1bec9e30c95d16c287bcc8b2efdc72e — VT · MalwareBazaar
  • SHA256 : 127ae4cad80b6605157ca2a1feada8a235e16aacc5d2119337a98115a4e13274 — VT · MalwareBazaar
  • SHA256 : 20f0a401676292d4ae34932e61f34afa97bcfc47ee517cda2afeb7222264a193 — VT · MalwareBazaar
  • SHA256 : a50cdb508d13884630945a98eea0615b866d938eb0a16c5d958e6c8c181a6df8 — VT · MalwareBazaar
  • SHA256 : 68f5a00eafa8ecebf5d93328e0fec23b24d6f91808c8384db002946a13656c71 — VT · MalwareBazaar
  • SHA256 : ee8cd9aba420f1b26b5d43e5bcdd6025a277b4946bb5daf76ab45c0e5f7ecd0b — VT · MalwareBazaar
  • SHA256 : ed5cb4af1d2cb067b8d23783ebf05d70278728462ba4f1bf29da0a3a41efc35e — VT · MalwareBazaar
  • Fichiers : apex-windows-x64.exe
  • Fichiers : apex-darwin-arm64
  • Fichiers : apex-verify-darwin
  • Fichiers : apex-audit-windows-x64.exe
  • Fichiers : apex-audit-darwin-arm64
  • Fichiers : apex-audit-verify-darwin
  • Fichiers : apex.cjs
  • Fichiers : audit.cjs
  • Fichiers : bludness.exe
  • Fichiers : install.exe
  • Fichiers : exegis.exe
  • Fichiers : updater_loader.exe
  • Fichiers : drop.ps1
  • Fichiers : installer
  • Fichiers : package.tar.gz
  • Fichiers : enc_loader.exe
  • Fichiers : loader.exe
  • Fichiers : visual.exe
  • Chemins : %TEMP%\_apex_run.ps1
  • Chemins : %TEMP%\_apex_run.vbs
  • Chemins : %TEMP%\_audit_run.ps1
  • Chemins : %TEMP%\_audit_run.vbs
  • Chemins : %APPDATA%\.cobra
  • Chemins : %USERPROFILE%\.apex-audit
  • Chemins : %USERPROFILE%\.apex\agent\mcp.json
  • Chemins : ~/.config/cloudsync/data.json
  • Chemins : ~/.local/share/cloudsync/
  • Chemins : ~/.local/share/cloudsync/.config/logs/sync.err
  • Chemins : %TEMP%\updater_loader.exe
  • Chemins : %TEMP%\exegis.exe
  • Chemins : %APPDATA%\Claude\config.json
  • Chemins : %APPDATA%\Cursor\User\storage.json
  • Chemins : %APPDATA%\Cursor\User\settings.json
  • Chemins : %APPDATA%\Windsurf\.env
  • Chemins : %APPDATA%\Windsurf\auth.json

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 19 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • CloudSyncD (backdoor)
  • @apexacc/cli (other)
  • @apexacc/audit (other)
  • apex-windows-x64.exe (loader)
  • apex-darwin-arm64 (loader)
  • apex-verify-darwin (other)
  • apex-audit-verify-darwin (other)
  • bludness.exe (loader)
  • install.exe (loader)
  • exegis.exe (loader)
  • updater_loader.exe (loader)
  • Windows infostealer (stealer)
  • DonutLoader (loader)

🟢 Indice de vérification factuelle : 95/100 (haute)

  • ✅ elastic.co — source reconnue (liste interne) (20pts)
  • ✅ 48836 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 70 IOCs dont des hashes (15pts)
  • ✅ 6/9 IOCs confirmés (MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 34 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : REF8801 (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 985829083f3937df… (sha256) → VT (15/76 détections)
  • 5ee7145061f05779… (sha256) → VT (24/76 détections)
  • 42a760b15fea7c9a… (sha256) → VT (4/76 détections)
  • apexaccs.org (domain) → VT (4/92 détections)
  • arena.apexaccs.org (domain) → VT (8/92 détections)

🔗 Source originale : https://www.elastic.co/security-labs/threat-command/apex-accelerator-malicious-npm-packages