Infostealer

🔍 Contexte Rapport publié le 17 septembre 2026 par la LastPass Threat Intelligence, Mitigation, and Escalation (TIME) Team en partenariat avec Delphos Labs. L’investigation a débuté le 13 août 2026 suite à la détection d’une fausse organisation GitHub usurpant l’identité de LastPass Authenticator. 🎯 Nature de la campagne Campagne de type Malware-as-a-Service (MaaS) utilisant GitHub comme réseau de distribution. Le kit albinofennel[.]com héberge des pages d’impersonation dynamiques pour au moins 40 marques simultanément. La campagne est active depuis plusieurs mois et présente des chevauchements avec la campagne BoryptGrab documentée par Trend Micro en mars 2026. ...

🔍 Contexte Publié le 15 septembre 2026 par CrowdStrike Counter Adversary Operations, cet article présente l’analyse technique et le profil d’un acteur de menace financièrement motivé ayant développé et distribué un infostealer JavaScript nommé PhantomRaven via la plateforme npm. 🎭 Profil de l’acteur L’acteur, actif depuis novembre 2022, se présente comme un bug bounty hunter et a collecté des primes auprès d’au moins neuf entités dans les secteurs technologique, retail et hôtellerie via des plateformes comme Bugcrowd, Intigriti, YesWeHack, HackenProof et HackerOne. Il opère sous plusieurs pseudonymes npm incluant jpdhellonpm1, jpd15, jpd12, jpd13, npmhell, npmpackagejpd, npmtestdharsh, jpdhackerone11, packagedharsh. L’adresse email jpdtester01@gmail.com lui est associée. ...

🗓️ Contexte Article publié le 15 septembre 2026 par Hudson Rock, basé sur des informations partagées par l’équipe d’investigation Duel, qui a établi un contact direct avec le hacker responsable de l’incident Revolut. 🎯 Méthode d’attaque L’attaque repose sur une combinaison de compromission technique via infostealers et d’ingénierie sociale élaborée : Accès initial : Le hacker a utilisé des logs d’infostealers contenant des identifiants de webmail pec.interno.it (Ministère de l’Intérieur italien), achetés ou récupérés depuis des bases de données cybercriminelles existantes — et non obtenus par infection directe des employés. Persistance discrète : Après connexion aux boîtes mail compromises, le hacker ajoutait une adresse de récupération sous son contrôle, surveillait les échanges 24h/24 et supprimait immédiatement les emails sortants frauduleux ainsi que les réponses reçues (téléchargées en .eml avant suppression). Ciblage précis : Après avoir tenté de forger des ordonnances judiciaires génériques, le hacker a identifié que la filiale lituanienne de Revolut, Revolut Bank UAB, était juridiquement contrainte de répondre à un European Investigation Order. Campagne de 5 mois : Une seule demande frauduleuse initiale a suffi à obtenir la conformité de Revolut. Les demandes ont ensuite été répétées sur cinq mois sans que Revolut ne remette en question leur authenticité. 🔍 Analyse Hudson Rock Hudson Rock a identifié environ 300 identifiants webmail pec.interno.it compromis dans sa base de données cybercriminelle, issus de machines infectées par des infostealers. Cette découverte contredit la version initiale du hacker (qui évoquait un RAT), et suggère fortement l’utilisation de logs d’infostealers préexistants plutôt qu’une infection active et ciblée. ...

📰 Source : franceinfo, publiée le 8 septembre 2026. Une note de la commission des finances du Sénat (Claude Raynal, PS, et Jean-François Husson, LR), envoyée le 4 septembre 2026, détaille le mode opératoire des cyberattaques ayant ciblé la Direction générale des finances publiques (DGFiP) au cours de l’été 2026. 🔓 Première attaque (23-25 juin puis 21-23 juillet) : L’assaillant a utilisé les identifiants volés d’un agent de l’Éducation nationale pour accéder au Réseau interministériel de l’État (RIE). Il a ensuite exploité des identifiants légitimes d’agents DGFiP, probablement dérobés au préalable par des infostealers, pour se connecter à un portail d’accès aux applications DGFiP réservé aux administrations partenaires. Il a ainsi accédé à l’application e-contact et exfiltré les données de 350 000 particuliers et 250 000 professionnels. ...

🔍 Contexte Publié le 9 septembre 2026 par Jeremy Kirk, Director of Okta Threat Intelligence, cet article constitue la deuxième partie d’une série de recherches sur la fraude liée aux services d’IA générative. Il s’appuie sur l’analyse d’un dump d’infostealer publié gratuitement sur Telegram le 2 août 2026. 📦 Dataset analysé Le dump analysé comprend 5 871 dossiers représentant 5 871 machines infectées pour un total de 7 Go de données, réparties sur 162 pays. Chaque dossier contient des données d’authentification : credentials, session tokens, clés API, JWTs. ...

🗓️ Source : Blackfog, publié le 7 septembre 2026 🔍 Contexte Blackfog a identifié et analysé un nouvel infostealer Windows baptisé Bee Stealer, distribué sur des réseaux cybercriminels sous forme de Malware-as-a-Service (MaaS). La version analysée est la 2.1. 🤖 Fonctionnalité de profilage IA Bee Stealer v2.1 introduit une fonctionnalité appelée “AI PC profile” : un réseau de neurones analyse les logs volés et génère deux fichiers de profil victimes — ProfileEn.txt (anglais) et ProfileRu.txt (russe). Le profil couvre l’identité probable, l’activité et les services fréquemment utilisés de la victime. Ce traitement s’effectue après exfiltration des logs vers l’infrastructure attaquante, et non dans le payload Windows. Il s’agit d’un outil de triage permettant aux opérateurs d’identifier rapidement les victimes à haute valeur avant expiration des sessions. ...

🔍 Contexte Publié le 2 septembre 2026 par Elastic Security Labs (auteurs : Daniel Stepanic, Salim Bitam, Jia Yu Chan), cet article présente une analyse technique détaillée de REVSTEALER, un infostealer émergent suivi sous la référence interne REF2859. Gen Threat Labs avait déjà couvert ce malware plus tôt dans l’été 2026. 📦 Distribution et vecteur d’attaque REVSTEALER est distribué principalement via ingénierie sociale ciblant les joueurs, notamment : 17 chaînes YouTube compromises promouvant de faux cheats et mod menus via des vidéos générées par IA Domaines malveillants associés : elitecheatsx[.]live et resight-cheats[.]net Usurpation de logiciels légitimes (Slack, qBittorrent, Steel Series GG, Blender) pour des campagnes multi-thèmes ~4 700 échantillons identifiés sur VirusTotal via Retrohunt YARA sur un an Majorité des samples packés avec VMProtect ⚙️ Fonctionnalités principales Anti-analyse Système de scoring sandbox (10 vérifications pondérées) : si score ≥ 7, auto-terminaison Vérifications : nombre de cœurs CPU, RAM, GPU/PCI vendor, uptime, CPUID, virtualisation, Media Foundation, liste de processus/usernames bloqués, timing checks Exclusion CIS : vérification de la langue système et du layout clavier via hash FNV-1a ; terminaison si locale CIS détectée Syscalls indirects, API hashing, chiffrement de chaînes, contournement des hooks user-mode, gestion d’exceptions personnalisée Watermarking de payload : jeton de 16 octets en fin de fichier, fenêtre de vérification à 6 caractères (similaire à LummaStealer/AuraStealer) Collecte de credentials 225 identifiants d’extensions Chromium (wallets crypto, gestionnaires de mots de passe) 51 applications wallet standalone Clients de messagerie, VPN, FTP, OBS Studio, Windows Sticky Notes, applications 2FA Bypass App-Bound Encryption (ABE) : lancement du navigateur sous contrôle débogueur, hardware breakpoint pour lire la clé déchiffrée en mémoire (inspiré de ElevationKatz/ChromeKatz) Collecte de documents, fichiers de configuration, données clipboard, screenshot, liste de processus, applications installées Plateformes gaming ciblées Battle.net, EA Desktop, Steam, Roblox (via CryptUnprotectData), Minecraft (multiples launchers) Dead drop Polygon (EtherHiding) Chaque build contient une adresse C2 primaire et une adresse de smart contract Polygon En cas d’indisponibilité du C2 primaire : interrogation de jusqu’à 5 endpoints JSONRPC Polygon publics, déchiffrement AES d’un C2 de fallback 🧩 Quatre modules C2 additionnels Module Capacité ProManager Vol de wallets/extensions, overlays de phishing, capture d’input, livraison de payload WinUpdate Remplacement d’adresses crypto dans le clipboard, vol de mnémoniques SoftManager Proxy SOCKS5 inversé, accès backconnect via WebSocket chiffré LockAppHost Déploiement XMRig, suspension de concurrents, persistance Tous les modules partagent : configuration obfusquée, protection VMProtect, dead drops Polygon. ...

🔍 Contexte Source : ITrust (https://www.itrust.fr), publiée le 2 septembre 2026. L’analyse fait suite à une alerte EDR déclenchée mi-juillet 2026 chez un client, bloquant une communication réseau issue d’une exécution PowerShell. Le CERT ITrust a rétro-ingénié la chaîne complète malgré le blocage de l’attaque. 🎯 Vecteur initial : ClickFix + PowerShell La compromission débute par un mail de phishing exploitant la technique ClickFix (social engineering simulant un crash technique). Une commande PowerShell est exécutée entièrement en mémoire (fileless), téléchargeant et exécutant du code arbitraire depuis une URL distante. Le paramètre ?sid=1785227193742-lf6op6dy dans l’URL constitue un mécanisme de tracking par victime. Une polymorphie anti-signature est assurée par des commentaires aléatoires rendant chaque instance unique. ...

🔍 Contexte Publié le 2 septembre 2026 par Jan Michael Alcantara (Netskope Threat Labs), cet article présente l’analyse technique d’une nouvelle variante de Python NodeStealer découverte en août 2026. Ce malware est suivi par Netskope depuis 2023, initialement comme infostealer ciblant les données de navigateur et les comptes Facebook. 🦠 Nouvelles capacités spyware La variante d’août 2026 intègre des fonctionnalités spyware inédites : Keylogger : utilisation de la bibliothèque pynput, enregistrement des frappes dans keylog({ip}).txt (dossier temporaire), exfiltration vers le C2 Telegram toutes les 120 secondes, persistance indéfinie Surveillance du presse-papiers : via la bibliothèque pyperclip, capture de tout texte collé avec l’IP de la victime Capture d’écran : via pyautogui, deux captures effectuées (début et fin d’exécution), envoyées au C2 Telegram Nouveaux vecteurs de vol : mots de passe Wi-Fi, dossier Pictures complet, deux navigateurs web supplémentaires 📡 Architecture C2 duale Telegram La variante introduit deux bots Telegram distincts : ...

🔍 Contexte Source : Help Net Security, publié le 31 août 2026. Anthropic, l’entreprise derrière l’assistant IA Claude, a notifié des utilisateurs affectés par une campagne de compromission de comptes via des infostealers. 🎯 Nature de l’incident Des sessions de connexion à la plateforme Claude ont été compromises à la suite d’infections par des malwares de type infostealer. Anthropic a procédé au verrouillage préventif des comptes concernés et a communiqué directement avec les utilisateurs affectés par email. ...