Infostealer

🔍 Contexte Publié le 2 septembre 2026 par Jan Michael Alcantara (Netskope Threat Labs), cet article présente l’analyse technique d’une nouvelle variante de Python NodeStealer découverte en août 2026. Ce malware est suivi par Netskope depuis 2023, initialement comme infostealer ciblant les données de navigateur et les comptes Facebook. 🦠 Nouvelles capacités spyware La variante d’août 2026 intègre des fonctionnalités spyware inédites : Keylogger : utilisation de la bibliothèque pynput, enregistrement des frappes dans keylog({ip}).txt (dossier temporaire), exfiltration vers le C2 Telegram toutes les 120 secondes, persistance indéfinie Surveillance du presse-papiers : via la bibliothèque pyperclip, capture de tout texte collé avec l’IP de la victime Capture d’écran : via pyautogui, deux captures effectuées (début et fin d’exécution), envoyées au C2 Telegram Nouveaux vecteurs de vol : mots de passe Wi-Fi, dossier Pictures complet, deux navigateurs web supplémentaires 📡 Architecture C2 duale Telegram La variante introduit deux bots Telegram distincts : ...

🔍 Contexte Source : Help Net Security, publié le 31 août 2026. Anthropic, l’entreprise derrière l’assistant IA Claude, a notifié des utilisateurs affectés par une campagne de compromission de comptes via des infostealers. 🎯 Nature de l’incident Des sessions de connexion à la plateforme Claude ont été compromises à la suite d’infections par des malwares de type infostealer. Anthropic a procédé au verrouillage préventif des comptes concernés et a communiqué directement avec les utilisateurs affectés par email. ...

🔍 Contexte Source : BleepingComputer, publié le 30 août 2026. Anthropic, l’entreprise derrière l’assistant IA Claude, a notifié par email certains de ses utilisateurs d’une campagne d’abus exploitant des sessions Claude volées via des infostealers. 🎯 Nature de l’attaque Des acteurs malveillants utilisent des malwares de type infostealer pour dérober des sessions de connexion actives à Claude directement depuis les ordinateurs des victimes. Ces sessions volées permettent aux attaquants de se connecter aux comptes Claude sans avoir besoin de passer par l’authentification classique (mot de passe, 2FA), car les cookies de session déjà authentifiés sont copiés. ...

🔍 Contexte Rapport publié le 25 août 2026 par MalBeacon / Deception.Pro, basé sur une opération de déception conduite par Trinity Cyber. L’intrusion a été capturée dans un environnement honeypot Active Directory simulant une organisation de gestion de patrimoine (1 500+ endpoints, 500+ utilisateurs), entre le 6 et le 8 août 2026, soit une fenêtre d’environ 54 heures. 🎯 Vecteur initial et exécution La chaîne d’infection débute par un malspam PDF livrant un fichier batch (Project_docs_file.bat) exécuté depuis le dossier Downloads de Chrome. Ce script effectue une reconnaissance hôte (net session, énumération temp/dir), teste la connectivité C2 via Test-NetConnection, puis télécharge silencieusement un MSI ScreenConnect depuis une infrastructure attaquante via curl. ...

🔍 Contexte Publié le 27 août 2026 par Rapid7 (Alexandra Blia & Maor Weinberger), cet article de threat research documente le fonctionnement de trois marketplaces dark web spécialisées dans la vente de numéros de sécurité sociale (SSN) ciblant des executives d’entreprises. L’analyse s’appuie sur la télémétrie d’alertes Rapid7 collectée depuis début 2026. 📊 Données de télémétrie Rapid7 (2026) 476 instances de SSN compromis identifiées, représentant 395 individus uniques 73%+ des expositions ciblent des dirigeants de haut niveau C-suite (CEO, CFO, COO, CTO…) : 44,6% Présidents & Vice-Présidents : 28,6% 95,6% des fuites proviennent d’organisations basées aux États-Unis Secteurs les plus touchés : Finance (>25%), Industrie (17%) 🏪 Les trois marketplaces analysées Xilo (actif depuis mars 2025) Hébergé en Tor hidden service + miroirs clear web Recherche par nom, état, pays (US/Canada), année de naissance Prix fixe : 0,25 $ par SSN, reverse lookup à 0,50 $ Accepte : Bitcoin, Litecoin, Monero, Ether, USDT Canal Telegram de communication (>500 abonnés) Publicité sur forums XSS, WWH-Club, Altenens 40,8% des fuites du dataset Rapid7 Bankomat (actif depuis mars 2022) Successeur partiel de Joker’s Stash et SSNDOB Marketplace Tor hidden service + multiples domaines clear web Prix fixe : 4 $ par SSN ; cartes de paiement volées ~10 $ Intègre des services de validation de cartes (Viper, 4chk) Paiement exclusivement en Bitcoin 21,8% des fuites du dataset PeopleFinder (actif depuis février 2023) Successeur direct du SSNDOB Marketplace (saisi en juin 2022) Réutilise la base de données originale : >24 millions de records PII américains Code source front-end conserve le titre/logo “ssndob” Prix fixe : 1,50 $ par SSN Paiement exclusivement en Bitcoin Publicité sur WWH-Club et Exploit 18,9% des fuites du dataset ⚙️ Chaîne d’approvisionnement underground Ces plateformes fonctionnent comme des clearinghouses alimentées par : ...

🎯 Contexte Source : Huntress, publié le 20 août 2026. Dans les jours suivant Black Hat et DEF CON, un chercheur Huntress a été ciblé par un acteur malveillant via des messages directs sur X (Twitter), exploitant le contexte post-conférence comme prétexte social. 🕵️ Vecteur initial Le compte X @HartmansDoeke s’est fait passer pour le VP Marketing de CoinDesk, contactant des participants à DEF CON avec un prétexte de planification de conférence. L’acteur a partagé un Google Doc malveillant accompagné d’une « clé d’accès » par DM. ...

📅 Source : Microsoft Security Blog, publié le 18 août 2026. Cette publication émane de Microsoft Defender Experts et Microsoft Security Research, en complément d’un premier signalement de RST Cloud (mai 2026). 🎯 Contexte général MacSync Stealer est un infostealer ciblant exclusivement macOS, conçu pour exfiltrer des données sensibles via une infrastructure C2 à rotation rapide. L’analyse de Microsoft a permis de connecter plus de 30 domaines liés à cette activité grâce à une approche comportementale, là où RST Cloud n’en avait initialement identifié qu’un nombre limité. ...

🗓️ Contexte Article publié le 16 août 2026 par Hudson Rock sur la plateforme Infostealers.com. Il documente une campagne d’exfiltration active ciblant les tenants Azure/Microsoft Entra de plusieurs grandes entreprises mondiales. 🎯 Acteur de la menace Un acteur opérant sous le pseudonyme “TheHatman” publie massivement sur des forums cybercriminels (dark web) des annuaires internes d’employés appartenant à des entreprises Fortune 500. Il revendique avoir téléchargé ces données directement depuis les portails Azure Tenant des organisations via des identifiants compromis. ...

🗞️ Contexte Source : VnExpress International, publié le 27 mars 2026. La police de la province de Thanh Hoa (Vietnam) a annoncé l’inculpation de 12 suspects dans le cadre d’un réseau mondial de distribution de malware ayant infecté plus de 94 000 ordinateurs en Europe, dans les Amériques et en Asie. 👤 Acteurs identifiés Le développeur principal est un lycéen de terminale (12e année), identifié uniquement par son nom de famille Nguyen, originaire du quartier Hac Thanh. Il a commencé à apprendre Python et C++ en 2023 en autodidacte. Les autres membres clés du réseau sont : ...

🔍 Contexte Le 13 août 2026, Jamf Threat Labs publie une analyse technique détaillée d’AmnesiaStealer, un nouvel infostealer macOS multi-étapes découvert dans la nature. Le malware est nommé d’après son panneau de contrôle backend « Amnesia Panel » et la clé de déchiffrement de sa configuration embarquée (4mn3s1a_2o26!xK). 🎣 Vecteur d’infection : ClickFix via fausse page GitHub La distribution repose sur une page GitHub contrefaite (github.aoitour[.]com) reproduisant fidèlement le thème sombre de GitHub avec un badge « Verified Publisher ». La page incite la victime à coller une commande dans le Terminal (technique ClickFix), qui télécharge et exécute silencieusement le payload via curl | nohup bash. ...