Blockchain Malware

🔍 Contexte Publié le 3 septembre 2026 par Netskope Threat Labs (auteur : John Carlo Marquez), cet article présente l’analyse technique d’une campagne malveillante en cours exploitant la technique EtherHiding — l’utilisation de smart contracts blockchain comme stockage de payload résistant aux takedowns. 🌐 Périmètre de la campagne Plus de 5 400 sites compromis identifiés dans la fenêtre d’observation Plus de 2 200 organisations touchées dans le monde Plusieurs centaines de sites actifs chaque jour, avec une tendance à la hausse depuis le printemps Plus de 300 sites actifs chaque jour ouvrable Victimes : petites entreprises (cliniques, plombiers, boutiques e-commerce), sans lien géographique, sectoriel ou de propriété commun CMS principalement : WordPress, parfois PrestaShop ⛓️ Mécanisme de livraison (chaîne d’attaque) Script injecté (inline obfusqué ou faux package) sur le site compromis Appel JSON-RPC eth_call vers un smart contract sur le BSC testnet (BNB Smart Chain testnet) Récupération d’un second script stocké on-chain et exécuté dans le navigateur Affichage d’un overlay ClickFix (faux CAPTCHA) invitant la victime à ouvrir une boîte Run et coller une commande La commande collée est un downloader PowerShell qui télécharge et exécute le payload final Le payload final est variable : l’opérateur peut modifier le contenu du contrat pour servir différents payloads à différentes victimes. ...

🗞️ Contexte Article de presse spécialisée publié le 11 avril 2026 par PCMag, basé sur des informations exclusives fournies par les chercheurs de Ransom-ISAC et Crystal Intelligence. L’enquête a débuté lorsque le vice-président ingénierie de Crystal Intelligence a reçu une fausse offre d’emploi sur LinkedIn, révélant une campagne d’attaque d’envergure mondiale. 🎯 Description de l’attaque La chaîne d’attaque repose sur plusieurs étapes : Vecteur initial : fausses offres d’emploi diffusées via LinkedIn, Upwork, Telegram et Discord, ciblant des développeurs freelance (notamment en Inde et en Asie du Sud) Infection : les cibles sont invitées à exécuter du code depuis des dépôts GitHub infectés Infrastructure C2 blockchain : le code malveillant contacte les blockchains TRON ou Aptos pour récupérer un pointeur vers la Binance Smart Chain, qui héberge le payload final Persistance : le malware est encodé dans des transactions blockchain, le rendant impossible à supprimer et de plus en plus difficile à tracer 🦠 Malware : Omnistealer Le malware baptisé Omnistealer est compatible avec : ...