Infostealer

🔍 Contexte Cet article est une publication de recherche présentée par Damien Schaeffer (ESET Canada) à la conférence Virus Bulletin en octobre 2026. Il documente en détail un nouveau groupe d’espionnage cyber nommé Gorbag, identifié par ESET et actif depuis au moins février 2025 contre des cibles ukrainiennes. 🎯 Victimologie Gorbag cible exclusivement des entités ukrainiennes, réparties en trois catégories principales : ~25% organisations judiciaires et forces de l’ordre (surveillance des enquêtes sur crimes de guerre russes) ~25% administrations locales (conseils municipaux en zones frontalières, évaluation des dommages de frappes aériennes) ~50% secteur défense (notamment fabricants de drones) et autres entités dont un hub de transit d’aide militaire étrangère ⚙️ Chaînes de compromission Chaîne 2025 : ...

🔍 Contexte Publié le 31 octobre 2026 par Ryan Fetterman sur le blog Talos Intelligence (Cisco), cet article présente une analyse technique approfondie du malware VOLTA-AUTODOXER, découvert dans le cadre de l’effort de recherche CAIRN. Il s’agit d’un infostealer Windows mature intégrant une couche d’intelligence artificielle pour automatiser la priorisation des victimes. 🧬 Description du malware VOLTA-AUTODOXER est un infostealer PE32+ x86-64 auto-supprimant ciblant Windows, sans infrastructure propre à l’attaquant. Il opère selon un modèle de builder : l’auteur vend l’accès, le client fournit ses paramètres (clés API, canal Telegram), et un binaire personnalisé est compilé pour chaque commande. ...

🌐 Contexte Source : BleepingComputer, publié le 28 octobre 2026. Le Département de Justice américain (DOJ) et le FBI, en coopération avec des autorités européennes, ont procédé à la saisie du domaine principal de Virtualine, un service d’hébergement bulletproof actif depuis au moins 2022. 🎯 Entités impliquées Virtualine opérait également sous les noms Secury, Massgod, Spamhouse, Lanedo et Omegatech. Le service se commercialisait sur des forums cybercriminels en promettant de protéger ses clients des plaintes légales et des demandes des autorités. ...

📅 Source : SOCRadar, publié le 13 octobre 2026. Cet article analyse une vague d’extorsion massive ciblant le secteur maritime mondial, orchestrée par le groupe n0n, apparu en septembre 2026. 🎯 Contexte de l’attaque Le 12 octobre 2026, n0n a ajouté 38 organisations en une seule publication sur son site de fuite Dark Web, doublant ainsi son nombre total de victimes publiques. Les cibles couvrent l’ensemble de la chaîne logistique maritime : terminaux à conteneurs, compagnies maritimes, fournisseurs IT portuaires et agences logistiques, répartis dans 18 pays. ...

🔍 Contexte Publié le 12 octobre 2026 par Elastic Security Labs (auteurs : Jia Yu Chan et Daniel Stepanic), cet article présente une analyse technique approfondie de la campagne REF8801, attribuée à un groupe opérant sous le nom fictif Apex Accelerator / Apex Arena. 🎭 Présentation de l’opération L’opération se présente comme un accélérateur Web3 privé prétendant avoir plus de 200 projets en portefeuille et 124 millions de dollars levés. Elle cible des fondateurs de crypto-startups avec des offres de crédits IA gratuits (Claude, Gemini), des outils de codage, des audits de sécurité et des événements en présentiel (notamment TOKEN2049 à Singapour). Des faux avis et une présence publique soignée (site web, Luma, réseaux sociaux) sont utilisés pour paraître légitime. ...

🔍 Contexte Publié le 14 octobre 2026 par ANY.RUN sur leur blog de cybersécurité, cet article présente une analyse détaillée de campagnes de faux outils IA observées entre le 15 avril et le 5 octobre 2026, couvrant 1 258 analyses publiques en sandbox liées à ces activités. 🎯 Nature des campagnes Ces campagnes usurpent les marques d’IA les plus connues pour tromper les employés : Claude (48%, 601 analyses) et ChatGPT/Codex (33%, 418 analyses) représentent 81% des cas Autres marques ciblées : GitHub Copilot, Gemini, Ollama, OpenClaw, Perplexity, Manus Les États-Unis se classent 2e source mondiale de soumissions (16%, 69/422 enregistrements) et 1er dans les campagnes « Download Claude » et ChatGPT. ...

🔍 Contexte En septembre 2026, la SOCRadar Threat Research Unit (STRU) a identifié ICMacOS (alias Icarus macOS), un nouveau malware macOS distribué sous modèle MaaS (Malware-as-a-Service), activement promu sur des forums cybercriminels russophones par l’acteur GlowComa. L’analyse technique complète a été publiée le 12 octobre 2026. 🎭 Acteur de la menace GlowComa : acteur russophone à motivation financière, actif depuis janvier 2026 Opère sous la bannière du groupe d’affiliation crypto MADHASH Présent sur les forums XSS, Exploit.in et Rehub Identifiants Telegram : @ObjectCollision, @SaykatChain, @layer7king Canal Telegram principal : https://t.me/s/icmacos/ Tarification : 699 $/semaine, 1 199 $/quinzaine, 1 699 $/mois (899 $ pour utilisateurs Icarus ClickFix) Réputation mitigée : plusieurs litiges d’arbitrage sur Exploit.in pour faibles taux de conversion et détection rapide ⚙️ Chaîne d’infection Vecteur initial : pages ClickFix incitant la victime à coller des commandes terminal malveillantes Script Bash télécharge le dropper depuis https://escapeai.live/icmacos_run_v2.command Le dropper : Journalise dans /tmp/.update-helper.log Modifie les préférences com.apple.Terminal pour masquer les fenêtres Affiche un faux dialogue “System Preferences” via osascript pour capturer le mot de passe Valide le mot de passe contre le Keychain macOS (jusqu’à 5 tentatives) Détecte l’architecture CPU (arm64 ou amd64) via uname -m Télécharge le payload final depuis https://escapeai.live/ICMacOs?arch={architecture} Lance le payload en arrière-plan via osascript et nohup, puis ferme le terminal 🦠 Analyse technique des variantes Version 1 – Stealer Exécutable Mach-O 64 bits compilé en Go. Modules de vol : ...

🗓️ Contexte Article publié le 6 octobre 2026 par The Register (Jessica Lyons), relatant deux revendications de compromission distinctes visant Trump Mobile, opérateur de téléphonie mobile de marque Trump, fonctionnant comme MVNO (Mobile Virtual Network Operator) via Liberty Mobile. 🎯 Incident principal — Groupe BYOD BYOD est un groupe ransomware-as-a-service (RaaS) émergent, Trump Mobile étant seulement la troisième victime publiée sur son site de fuite. Le groupe revendique avoir : Infecté un employé de Liberty Mobile avec un infostealer Accédé à Trump Mobile via la relation MVNO Exfiltré les données de 3 615 clients incluant : noms, adresses e-mail, numéros de téléphone, adresses postales, détails de commandes et informations télécom Maintenu un accès persistant aux systèmes de Trump Mobile au moment de la publication BYOD signale également qu’aucun des deux opérateurs (Trump Mobile et Liberty Mobile) n’utilisait de MFA. ...

🗓️ Contexte Publié le 7 octobre 2026 sur infostealers.com, cet article analyse Warden Stealer, un malware de type infostealer/clipper/loader commercialisé en Malware-as-a-Service (MaaS) sur le forum dark web Exploit.in. Le projet a débuté début 2026 et est disponible publiquement depuis le 21 juillet 2026. 🧬 Caractéristiques techniques distinctives Protocole de transfert binaire propriétaire : trafic chiffré, indétectable par les sondes réseau standard (pas de HTTP/JSON) Morphing AST/LLVM multi-niveaux : altération du binaire à quatre niveaux (PE layout, AST, IR, ASM), rendant les antivirus à base de signatures (Windows Defender, Avast) inefficaces Décryptage côté serveur : aucune logique cryptographique sur la machine victime, binaire très léger (~350 Ko) Livraison par chunks : envoi fragmenté des données, sessions liées aux hardware IDs pour éviter les doublons Développé en Rust, avec assistance de LLMs pour la recherche et le développement 🎯 Capacités et cibles 360+ applications ciblées dans 13 catégories : navigateurs Chromium/Gecko, Discord, Telegram, Steam, gestionnaires de mots de passe, VPN, clients FTP Ciblage explicite des environnements IA et développeurs (v1.9) : Claude Code (Anthropic), Codex CLI, GitHub, SSH Keys Exfiltration de fichiers .claude.json contenant des primaryApiKey et données OAuth Exfiltration de fichiers SSH (config, known_hosts) pour faciliter le mouvement latéral 200+ extensions de portefeuilles crypto sur 96 réseaux (EVM et non-EVM) 💰 Moteur de bruteforce crypto Warden intègre un moteur d’auto-bruteforce qui construit dynamiquement un dictionnaire personnalisé à partir des données volées de la victime (mots de passe, emails, historique, autocomplete), applique 490+ règles de mutation et génère jusqu’à 20 millions de candidats par portefeuille. En quelques jours, le système a scanné 61 700 adresses, cracké 66% des portefeuilles avec solde, pour un volume cumulé revendiqué de plus de 485 000 USD. ...

🗓️ Contexte Publié le 28 septembre 2026 sur BleepingComputer, cet article est un contenu sponsorisé par SOCRadar présentant les conclusions de leur rapport AI Identity Exposure Report. Il fait suite à l’incident Anthropic de fin août 2026, où des sessions Claude avaient été détournées via des infostealers. 📊 Données clés du rapport SOCRadar SOCRadar a analysé plus d’un million de logs d’infostealers liés à des services IA, couvrant plus de 80 000 domaines d’entreprises. L’étude s’est concentrée sur 482 grandes entreprises établies dans 36 pays et 8 secteurs, dont 68% sont des organisations milliardaires, plusieurs étant classées Forbes. ...