Cryptocurrency

🔍 Contexte Arctic Wolf Labs a publié le 24 septembre 2026 une analyse technique détaillée d’une campagne en cours ciblant principalement des utilisateurs ukrainiens via des sites web légitimes compromis. 🎯 Vecteur d’infection Les attaquants ont injecté des iframes malveillants dans plusieurs sites d’entreprises ukrainiennes légitimes (clinique capillaire, fabricant de maquettes, libraire, établissement psychologique, revendeur d’outils, revendeur automobile). L’iframe charge une fausse page de vérification Cloudflare en langue ukrainienne, imitant un CAPTCHA authentique. ...

🔍 Contexte Le 28 août 2026, l’équipe de recherche sur les menaces de ReliaQuest a publié une analyse technique détaillée d’un nouveau toolkit malveillant baptisé Gryxa, utilisé par un acteur financièrement motivé non nommé. Le toolkit a été identifié sur 324 hôtes compromis, dont 69 actifs au moment de l’analyse. 🤖 Développement assisté par IA ReliaQuest évalue avec haute confiance que des portions substantielles de Gryxa ont été développées à l’aide d’un agent de codage IA commercial jailbreaké. Les preuves incluent : ...

🔍 Contexte : Le 17 juin 2026, Microsoft Defender Security Research Team et Microsoft Defender Experts publient une analyse technique détaillée d’un crypto clipper Windows actif depuis février 2026, détecté sous le nom Trojan:Win32/CryptoBandits.A. ⚙️ Mécanisme d’infection : L’accès initial s’effectue via des fichiers de raccourci malveillants (.lnk) distribués sur des clés USB. Ces raccourcis dissimulent les fichiers originaux (.doc, .xlsx, .pdf), créent des copies malveillantes portant les mêmes noms, et déclenchent l’exécution d’un composant ver à l’ouverture. Le ver se propage automatiquement vers tout nouveau support USB inséré. ...

🔍 Contexte Analyse technique publiée le 20 mai 2026 par SafeDep, portant sur la compromission du package npm art-template (moteur de templates JavaScript, ~26 000 téléchargements hebdomadaires), confirmée par l’auteur original le 20 mai 2026. 🎯 Nature de l’attaque L’attaque repose sur une prise de contrôle de comptes mainteneurs npm (account takeover). Trois comptes npm non légitimes (v4v5qc, npmpacketmaintainmember7, daughtrymom) ont publié des versions malveillantes entre mars 2025 et mai 2026. Le compte GitHub original (aui) a été renommé en goofychris fin novembre 2024, précédant la compromission npm de trois mois. ...

🔍 Contexte Publié le 6 mai 2026 par la Microsoft Defender Security Research Team, cet article documente l’évolution d’une campagne ClickFix ciblant les utilisateurs macOS, active depuis fin janvier 2026. La campagne exploite des plateformes de contenu légitimes (Medium, Craft, Squarespace) pour héberger de fausses instructions de dépannage. 🎯 Mécanisme d’infection Les victimes sont incitées à copier-coller des commandes Terminal encodées en Base64 présentées comme des utilitaires système. Contrairement aux bundles applicatifs soumis à Gatekeeper, les scripts exécutés via Terminal échappent aux vérifications de signature et de notarisation Apple. ...

Source: TRM Labs — Dans un billet de type Security Operations, TRM Labs relate une opération de la Gendarmerie royale du Canada (GRC/RCMP) ayant abouti à la plus importante saisie de cryptomonnaies du pays, visant l’échange non enregistré TradeOgre. La GRC a saisi plus de 40 M$ US sur TradeOgre, présenté comme un hub facilitant le blanchiment d’argent pour des marchés noirs, des opérations de ransomware et des fraudes. L’enquête a montré que même des plateformes axées sur la confidentialité laissent des traces forensiques exploitables et souligne l’importance de la coopération internationale dans la lutte contre la criminalité financière numérique. 🚔 ...

Selon TRM Labs, à la suite du démantèlement de Garantex en mars 2025, des plateformes successeurs à haut risque — Grinex, ABCex et AEXbit — adoptent des tactiques opérationnelles similaires afin d’assurer la continuité et d’éviter l’attention des forces de l’ordre. L’analyse met en évidence, via des outils d’analyse blockchain, des schémas de co-spending entre des adresses attribuées à ABCex et AEXbit, indiquant avec une forte certitude un contrôle commun des deux plateformes. 🔗 ...

Selon Chainalysis, l’OFAC americaine a sanctionné plusieurs entités associées au réseau de stablecoin A7A5 lié au rouble, dont la société kirghize Old Vector et l’exchange Grinex. Le jeton est garanti par des dépôts au sein de la banque russe sanctionnée Promsvyazbank (PSB) et s’inscrit dans un effort systématique visant à bâtir une infrastructure financière alternative pour contourner les sanctions via les mixeurs crypto. Sur le plan technique, A7A5 opère sur les blockchains Tron et Ethereum. L’analyse on-chain met en évidence des connexions directes entre les exchanges sanctionnés Garantex et Grinex à travers des transferts de tokens et une infrastructure partagée. Le DEX A7A5 permet des échanges vers des stablecoins grand public, créant des ponts vers l’écosystème crypto plus large 🔗. ...

L’article publié sur le blog de PolySwarm met en lumière l’évolution significative du malware Atomic macOS Stealer (AMOS), qui intègre désormais un backdoor persistant permettant un accès à long terme aux systèmes infectés et l’exécution de commandes à distance. Cette transformation fait d’AMOS une menace persistante sophistiquée, touchant plus de 120 pays. Le malware cible principalement les détenteurs de cryptomonnaies et les freelances via des campagnes de spear phishing et la distribution de logiciels piratés, avec une activité notable aux États-Unis, au Royaume-Uni, en France, en Italie et au Canada. ...