Infostealer

🔍 Contexte Source : BleepingComputer, publié le 30 août 2026. Anthropic, l’entreprise derrière l’assistant IA Claude, a notifié par email certains de ses utilisateurs d’une campagne d’abus exploitant des sessions Claude volées via des infostealers. 🎯 Nature de l’attaque Des acteurs malveillants utilisent des malwares de type infostealer pour dérober des sessions de connexion actives à Claude directement depuis les ordinateurs des victimes. Ces sessions volées permettent aux attaquants de se connecter aux comptes Claude sans avoir besoin de passer par l’authentification classique (mot de passe, 2FA), car les cookies de session déjà authentifiés sont copiés. ...

🔍 Contexte Rapport publié le 25 août 2026 par MalBeacon / Deception.Pro, basé sur une opération de déception conduite par Trinity Cyber. L’intrusion a été capturée dans un environnement honeypot Active Directory simulant une organisation de gestion de patrimoine (1 500+ endpoints, 500+ utilisateurs), entre le 6 et le 8 août 2026, soit une fenêtre d’environ 54 heures. 🎯 Vecteur initial et exécution La chaîne d’infection débute par un malspam PDF livrant un fichier batch (Project_docs_file.bat) exécuté depuis le dossier Downloads de Chrome. Ce script effectue une reconnaissance hôte (net session, énumération temp/dir), teste la connectivité C2 via Test-NetConnection, puis télécharge silencieusement un MSI ScreenConnect depuis une infrastructure attaquante via curl. ...

🔍 Contexte Publié le 27 août 2026 par Rapid7 (Alexandra Blia & Maor Weinberger), cet article de threat research documente le fonctionnement de trois marketplaces dark web spécialisées dans la vente de numéros de sécurité sociale (SSN) ciblant des executives d’entreprises. L’analyse s’appuie sur la télémétrie d’alertes Rapid7 collectée depuis début 2026. 📊 Données de télémétrie Rapid7 (2026) 476 instances de SSN compromis identifiées, représentant 395 individus uniques 73%+ des expositions ciblent des dirigeants de haut niveau C-suite (CEO, CFO, COO, CTO…) : 44,6% Présidents & Vice-Présidents : 28,6% 95,6% des fuites proviennent d’organisations basées aux États-Unis Secteurs les plus touchés : Finance (>25%), Industrie (17%) 🏪 Les trois marketplaces analysées Xilo (actif depuis mars 2025) Hébergé en Tor hidden service + miroirs clear web Recherche par nom, état, pays (US/Canada), année de naissance Prix fixe : 0,25 $ par SSN, reverse lookup à 0,50 $ Accepte : Bitcoin, Litecoin, Monero, Ether, USDT Canal Telegram de communication (>500 abonnés) Publicité sur forums XSS, WWH-Club, Altenens 40,8% des fuites du dataset Rapid7 Bankomat (actif depuis mars 2022) Successeur partiel de Joker’s Stash et SSNDOB Marketplace Tor hidden service + multiples domaines clear web Prix fixe : 4 $ par SSN ; cartes de paiement volées ~10 $ Intègre des services de validation de cartes (Viper, 4chk) Paiement exclusivement en Bitcoin 21,8% des fuites du dataset PeopleFinder (actif depuis février 2023) Successeur direct du SSNDOB Marketplace (saisi en juin 2022) Réutilise la base de données originale : >24 millions de records PII américains Code source front-end conserve le titre/logo “ssndob” Prix fixe : 1,50 $ par SSN Paiement exclusivement en Bitcoin Publicité sur WWH-Club et Exploit 18,9% des fuites du dataset ⚙️ Chaîne d’approvisionnement underground Ces plateformes fonctionnent comme des clearinghouses alimentées par : ...

🎯 Contexte Source : Huntress, publié le 20 août 2026. Dans les jours suivant Black Hat et DEF CON, un chercheur Huntress a été ciblé par un acteur malveillant via des messages directs sur X (Twitter), exploitant le contexte post-conférence comme prétexte social. 🕵️ Vecteur initial Le compte X @HartmansDoeke s’est fait passer pour le VP Marketing de CoinDesk, contactant des participants à DEF CON avec un prétexte de planification de conférence. L’acteur a partagé un Google Doc malveillant accompagné d’une « clé d’accès » par DM. ...

📅 Source : Microsoft Security Blog, publié le 18 août 2026. Cette publication émane de Microsoft Defender Experts et Microsoft Security Research, en complément d’un premier signalement de RST Cloud (mai 2026). 🎯 Contexte général MacSync Stealer est un infostealer ciblant exclusivement macOS, conçu pour exfiltrer des données sensibles via une infrastructure C2 à rotation rapide. L’analyse de Microsoft a permis de connecter plus de 30 domaines liés à cette activité grâce à une approche comportementale, là où RST Cloud n’en avait initialement identifié qu’un nombre limité. ...

🗓️ Contexte Article publié le 16 août 2026 par Hudson Rock sur la plateforme Infostealers.com. Il documente une campagne d’exfiltration active ciblant les tenants Azure/Microsoft Entra de plusieurs grandes entreprises mondiales. 🎯 Acteur de la menace Un acteur opérant sous le pseudonyme “TheHatman” publie massivement sur des forums cybercriminels (dark web) des annuaires internes d’employés appartenant à des entreprises Fortune 500. Il revendique avoir téléchargé ces données directement depuis les portails Azure Tenant des organisations via des identifiants compromis. ...

🗞️ Contexte Source : VnExpress International, publié le 27 mars 2026. La police de la province de Thanh Hoa (Vietnam) a annoncé l’inculpation de 12 suspects dans le cadre d’un réseau mondial de distribution de malware ayant infecté plus de 94 000 ordinateurs en Europe, dans les Amériques et en Asie. 👤 Acteurs identifiés Le développeur principal est un lycéen de terminale (12e année), identifié uniquement par son nom de famille Nguyen, originaire du quartier Hac Thanh. Il a commencé à apprendre Python et C++ en 2023 en autodidacte. Les autres membres clés du réseau sont : ...

🔍 Contexte Le 13 août 2026, Jamf Threat Labs publie une analyse technique détaillée d’AmnesiaStealer, un nouvel infostealer macOS multi-étapes découvert dans la nature. Le malware est nommé d’après son panneau de contrôle backend « Amnesia Panel » et la clé de déchiffrement de sa configuration embarquée (4mn3s1a_2o26!xK). 🎣 Vecteur d’infection : ClickFix via fausse page GitHub La distribution repose sur une page GitHub contrefaite (github.aoitour[.]com) reproduisant fidèlement le thème sombre de GitHub avec un badge « Verified Publisher ». La page incite la victime à coller une commande dans le Terminal (technique ClickFix), qui télécharge et exécute silencieusement le payload via curl | nohup bash. ...

🔍 Contexte Le Sophos Counter Threat Unit (CTU) a publié le 11 août 2026 une analyse technique d’une campagne observée en juin 2026, dans laquelle des acteurs malveillants ont exploité le runtime JavaScript Deno comme mécanisme d’exécution central dans une chaîne d’intrusion pilotée par ClickFix. 🎯 Vecteur initial et chaîne d’attaque Les 3 et 4 juin 2026, des sites WordPress compromis ont servi des leurres à thème Cloudflare via la technique ClickFix : un script JavaScript malveillant injecté dans les pages principales invitait les utilisateurs à exécuter une commande PowerShell via le terminal Windows. La commande était délivrée par le presse-papiers. ...

🌐 Contexte Publié le 31 juillet 2026 par Microsoft Threat Intelligence, cet article détaille la campagne CaptiveCrunch, attribuée à Storm-2945, un sous-cluster opérationnel de Midnight Blizzard (SVR russe). L’activité est observée depuis début mai 2026 et cible principalement les voyageurs d’affaires dans des environnements hôteliers et de conférence à l’échelle mondiale. 🎯 Vecteur d’attaque Storm-2945 manipule le trafic DNS et HTTP des réseaux servis par des portails captifs Wi-Fi pour rediriger les utilisateurs vers une infrastructure contrôlée par l’acteur. Les techniques employées incluent : ...