EtherHiding

🌐 Contexte Publié le 17 septembre 2026 par l’équipe Chainalysis, cet article de recherche documente l’émergence et la prolifération des Blockchain Dead Drops (BDD), une technique permettant à des acteurs malveillants de stocker des instructions de malware ou des configurations C2 sur des blockchains publiques, rendant ces infrastructures quasi impossibles à démanteler. 📈 Tendances et chiffres clés Les écriture malveillantes sur blockchain ont augmenté de 440% depuis l’émergence de LLMs open-source chinois sans restrictions sur la génération de code malveillant Passage de 2,06 écritures/jour à 11,1 écritures/jour Hausse de 420% sur les 12 derniers mois En Q2 2026, les groupes liés à des États représentent deux tiers des nouvelles activités BDD par trimestre Activité tracée sur 5 blockchains majeures et plus d’une douzaine de souches malware 🕰️ Historique des BDD 2013 : Variante du botnet Necurs stockant des domaines C2 sur Namecoin 2019 : Adresses IP C2 encodées dans des montants de Satoshis ; botnet Glupteba utilisant le champ OP_RETURN de Bitcoin Mi-2023 : Apparition d’EtherHiding sur Binance Smart Chain (BSC) par les opérateurs ClearFake Décembre 2023 : Botnet DDoS Smargaft actif sur BSC via smart contract C2 Fin 2024 : Acteurs iraniens liés au Ministère du Renseignement intégrant des données C2 dans des transactions Bitcoin Début 2025 : Agents nord-coréens renforçant leur campagne de faux entretiens d’embauche avec EtherHiding 🎯 Acteurs et techniques Corée du Nord – UNC5342 (DPRK) Utilisation de smart contracts sur blockchains publiques pour livrer des malwares à des développeurs crypto cherchant un emploi Technique de relay multi-chaînes : TRON et Aptos comme pointeurs redondants vers BSC où le payload est stocké Le malware déchiffre les instructions C2 depuis les données d’entrée de transactions BSC Déploiement de malwares voleurs de credentials pour drainer des actifs crypto Attribution confirmée via le même wallet déployeur BSC identifié par Google GTIG/Mandiant Iran – Ministère du Renseignement Écriture de données de routage C2 encodées dans des transactions Bitcoin via le champ OP_RETURN Utilisation d’une adresse Bitcoin historiquement liée à Satoshi Nakamoto comme point de lookup permanent Rotation d’infrastructure via de nouvelles transactions Bitcoin Attribution basée sur la famille de malware, la logique de décodage, le timing opérationnel et l’infrastructure C2 Cybercriminels russophones – MaaS sur Polygon Smart contracts sur Polygon utilisés comme résolveurs C2 Modèle Malware-as-a-Service (MaaS) avec panel opérateur en russe et abonnement Un wallet opérateur contrôle une flotte de contrats de stockage liés à différents clients/campagnes Liens avec des tokens frauduleux imitant des stablecoins, des campagnes de clipboard hijacking, et plus de 50 contrats résolveurs BSC quasi-identiques 🔧 Techniques BDD identifiées Transaction-based storage : C2 encodé dans des champs de transaction (OP_RETURN, calldata, memos) Contract-based storage : Smart contracts comme stockage résilient de pointeurs C2 (modèle EtherHiding) Phantom wallets : Adresses sans paire de clés privées contenant l’IP C2 dans les octets de l’adresse 📋 Type d’article Il s’agit d’une publication de recherche produite par Chainalysis, visant à documenter une nouvelle catégorie de techniques d’attaque (BDD), à attribuer l’activité à des acteurs spécifiques, et à promouvoir ses capacités d’analyse blockchain pour la détection et l’attribution de ces menaces. ...

🔍 Contexte Publié le 18 septembre 2026 par le groupe Adversary Pursuit Group (APG) de Blackpoint Cyber, cet article présente l’analyse technique complète d’un RAT Node.js jusqu’alors non documenté, désormais suivi sous le nom ChainScript. La découverte a eu lieu lors d’une investigation sur une campagne ClickFix. 🎯 Vecteur d’infection et chaîne d’exécution L’infection débute par une activité ClickFix conduisant l’utilisateur à exécuter msiexec.exe, qui contacte api-configuard[.]com via l’endpoint capher.php pour télécharger un MSI malveillant se présentant comme Spotify (ComponentTask33-4d14e6ac.msi). Le MSI : ...

🔍 Contexte Publié le 8 septembre 2026 par Cisco Talos (blog.talosintelligence.com), cet article présente une analyse technique approfondie de deux chaînes d’infection parallèles découvertes après l’observation en avril 2026 d’une exécution de DLL via WebDAV dans la télémétrie d’une organisation gouvernementale ukrainienne. 🎯 Vecteur initial et mécanisme de livraison Les deux chaînes reposent sur un Cloudflare Worker malveillant injectant du JavaScript dans des sites compromis. Ce code interroge des contrats BNB Smart Chain (technique EtherHiding) pour récupérer du code JavaScript encodé, puis affiche une fausse vérification Google CAPTCHA (ClickFix) incitant la victime à exécuter une commande via la boîte de dialogue Windows Run. La commande ouvre un chemin WebDAV et exécute une DLL déguisée via rundll32.exe par ordinal #1. ...

🔍 Contexte Publié le 2 septembre 2026 par Elastic Security Labs (auteurs : Daniel Stepanic, Salim Bitam, Jia Yu Chan), cet article présente une analyse technique détaillée de REVSTEALER, un infostealer émergent suivi sous la référence interne REF2859. Gen Threat Labs avait déjà couvert ce malware plus tôt dans l’été 2026. 📦 Distribution et vecteur d’attaque REVSTEALER est distribué principalement via ingénierie sociale ciblant les joueurs, notamment : 17 chaînes YouTube compromises promouvant de faux cheats et mod menus via des vidéos générées par IA Domaines malveillants associés : elitecheatsx[.]live et resight-cheats[.]net Usurpation de logiciels légitimes (Slack, qBittorrent, Steel Series GG, Blender) pour des campagnes multi-thèmes ~4 700 échantillons identifiés sur VirusTotal via Retrohunt YARA sur un an Majorité des samples packés avec VMProtect ⚙️ Fonctionnalités principales Anti-analyse Système de scoring sandbox (10 vérifications pondérées) : si score ≥ 7, auto-terminaison Vérifications : nombre de cœurs CPU, RAM, GPU/PCI vendor, uptime, CPUID, virtualisation, Media Foundation, liste de processus/usernames bloqués, timing checks Exclusion CIS : vérification de la langue système et du layout clavier via hash FNV-1a ; terminaison si locale CIS détectée Syscalls indirects, API hashing, chiffrement de chaînes, contournement des hooks user-mode, gestion d’exceptions personnalisée Watermarking de payload : jeton de 16 octets en fin de fichier, fenêtre de vérification à 6 caractères (similaire à LummaStealer/AuraStealer) Collecte de credentials 225 identifiants d’extensions Chromium (wallets crypto, gestionnaires de mots de passe) 51 applications wallet standalone Clients de messagerie, VPN, FTP, OBS Studio, Windows Sticky Notes, applications 2FA Bypass App-Bound Encryption (ABE) : lancement du navigateur sous contrôle débogueur, hardware breakpoint pour lire la clé déchiffrée en mémoire (inspiré de ElevationKatz/ChromeKatz) Collecte de documents, fichiers de configuration, données clipboard, screenshot, liste de processus, applications installées Plateformes gaming ciblées Battle.net, EA Desktop, Steam, Roblox (via CryptUnprotectData), Minecraft (multiples launchers) Dead drop Polygon (EtherHiding) Chaque build contient une adresse C2 primaire et une adresse de smart contract Polygon En cas d’indisponibilité du C2 primaire : interrogation de jusqu’à 5 endpoints JSONRPC Polygon publics, déchiffrement AES d’un C2 de fallback 🧩 Quatre modules C2 additionnels Module Capacité ProManager Vol de wallets/extensions, overlays de phishing, capture d’input, livraison de payload WinUpdate Remplacement d’adresses crypto dans le clipboard, vol de mnémoniques SoftManager Proxy SOCKS5 inversé, accès backconnect via WebSocket chiffré LockAppHost Déploiement XMRig, suspension de concurrents, persistance Tous les modules partagent : configuration obfusquée, protection VMProtect, dead drops Polygon. ...

🔍 Contexte Publié le 3 septembre 2026 par Netskope Threat Labs (auteur : John Carlo Marquez), cet article présente l’analyse technique d’une campagne malveillante en cours exploitant la technique EtherHiding — l’utilisation de smart contracts blockchain comme stockage de payload résistant aux takedowns. 🌐 Périmètre de la campagne Plus de 5 400 sites compromis identifiés dans la fenêtre d’observation Plus de 2 200 organisations touchées dans le monde Plusieurs centaines de sites actifs chaque jour, avec une tendance à la hausse depuis le printemps Plus de 300 sites actifs chaque jour ouvrable Victimes : petites entreprises (cliniques, plombiers, boutiques e-commerce), sans lien géographique, sectoriel ou de propriété commun CMS principalement : WordPress, parfois PrestaShop ⛓️ Mécanisme de livraison (chaîne d’attaque) Script injecté (inline obfusqué ou faux package) sur le site compromis Appel JSON-RPC eth_call vers un smart contract sur le BSC testnet (BNB Smart Chain testnet) Récupération d’un second script stocké on-chain et exécuté dans le navigateur Affichage d’un overlay ClickFix (faux CAPTCHA) invitant la victime à ouvrir une boîte Run et coller une commande La commande collée est un downloader PowerShell qui télécharge et exécute le payload final Le payload final est variable : l’opérateur peut modifier le contenu du contrat pour servir différents payloads à différentes victimes. ...

🔍 Contexte Publié le 31 août 2026 par Plume Security Labs, ce rapport constitue la deuxième partie d’une série sur les réseaux de proxy résidentiels déployés sur les appareils de streaming SuperBox (Android). Il fait suite à l’analyse de Popanet (Part 1) et documente deux nouveaux SDKs malveillants ainsi que l’exploitation active des nœuds compromis. 📦 Netway SDK dans AppLinked AppLinked est une application de sideloading disponible sur le store custom de SuperBox. Elle embarque silencieusement le Netway SDK (io.netway) sans consentement utilisateur. Ce SDK : ...

🎯 Contexte Source : Malwarebytes (Gabriele Orini), publié le 20 juillet 2026. L’article présente une analyse technique détaillée de plusieurs campagnes malveillantes distribuant Amatera Stealer via de faux téléchargements de jeux, mods, cracks et logiciels. 🔗 Vecteur d’infection initial Les victimes téléchargent une archive contenant un fichier Setup.exe depuis : Des faux sites de téléchargement Des pages itch.io malveillantes Des services de partage de fichiers (Wormhole, GoFile, Google Drive, MEGA) Une fausse interface d’installation est affichée pendant que le malware s’exécute en arrière-plan. ...

🔍 Contexte L’article est publié le 2 juillet 2026 par la Flashpoint Intel Team sur le blog de Flashpoint. Il analyse l’émergence de Remus Stealer, un nouvel infostealer commercialisé sur des marchés cybercriminels souterrains depuis mars 2026, et examine ses similitudes avec le malware Lumma. 🧩 Description de Remus Stealer Remus est proposé selon un modèle Malware-as-a-Service (MaaS) à trois niveaux tarifaires : Basic : 250 USD Pro : 500 USD Enterprise : 1 000 USD Il intègre des fonctionnalités classiques des infostealers modernes, notamment : ...

🎯 Contexte Publié le 24 juin 2026 par la Darkatlas Squad sur darkatlas.io, cet article présente une analyse technique complète de LoaderClient, le payload de stage-1 de la campagne WeedHack, un service de Malware-as-a-Service (MaaS) ciblant les joueurs Minecraft depuis janvier 2026. 🧩 Origine et évolution de la campagne WeedHack est issu d’un stealer privé appelé Majanito (fin 2025), développé par un acteur utilisant le même pseudonyme. En début 2026, la base de code a été reprise et rebrandée en WeedHack, transformée en plateforme MaaS accessible sur le clearnet. Le namespace dev.majanito est préservé dans le code compilé du stage-2, confirmant la filiation. La campagne a enregistré plus de 116 000 compromissions uniques avec un rythme de 2 000 à 3 000 nouvelles infections par jour. ...

🔍 Contexte Publié le 16 juin 2026 par Sekoia TDR (Jeremy Scion et Quentin Bourgue), cet article est la version publique d’un rapport privé distribué aux clients le 2 juin 2026. Il documente en profondeur le framework ErrTraffic, un outil de distribution de malwares opéré sous modèle Malware-as-a-Service (MaaS). 🧩 Description du framework ErrTraffic ErrTraffic est un framework JavaScript injecté dans des sites WordPress compromis pour afficher des leurres ClickFix (faux BSOD, reCAPTCHA, Cloudflare Turnstile) et distribuer des malwares aux visiteurs. Il intègre un Traffic Distribution System (TDS) avec : ...