Loader

🔍 Contexte Publié le 22 septembre 2026 par Malbear Labs en collaboration avec Threat Hunting Labs, cet article constitue une analyse technique exhaustive de quatre payloads récupérés lors d’une intrusion réelle. L’article complète un write-up de Threat Hunting Labs décrivant la chaîne d’attaque initiale (SEO poisoning → RMM personnalisé → Cobalt Strike). 🧩 PavokwiLoader PavokwiLoader est un loader C++ dont la fonction WinMain contient plus de 80 000 instructions entièrement inlinées. Il implémente de nombreuses techniques d’évasion : ...

🔍 Contexte Publié le 25 septembre 2026 par DCSO CyTec Blog, cet article présente une analyse technique approfondie d’une nouvelle famille de malware baptisée Sauron Loader, découverte lors de plusieurs engagements clients en Allemagne. Le malware est vendu sous forme de Malware-as-a-Service (MaaS) dans des forums souterrains russes, exclusivement à des cybercriminels russophones. 🎯 Vecteurs d’accès initial Les campagnes observées utilisent deux techniques d’ingénierie sociale : ClickFix-style attacks : manipulation de l’utilisateur pour exécuter du code malveillant Voice phishing (vishing) : les victimes sont d’abord inondées de spams, puis contactées par des attaquants se faisant passer pour le support IT, les incitant à initier des sessions Microsoft Quick Assist ou AnyDesk 🧬 Analyse technique du malware L’échantillon analysé est un installateur MSI (SHA256 : ee727d639eaa4ee2e0d7cafbe496e14aaac8df0955d9fb599f2c11dfa1d0f8f2) écrit en C++. À l’exécution, il dépose trois fichiers dans C:\ProgramData\keyroll : ...

🔍 Contexte Publié le 9 septembre 2026 par Unit 42 (Palo Alto Networks), cet article présente une analyse technique approfondie d’un cluster cybercriminel tracké sous l’identifiant CL-CRI-1171, opérant discrètement depuis au moins deux ans via une infrastructure de type pay-per-install (PPI). 🎯 Mode opératoire Le groupe exploite deux canaux de distribution principaux : 11 chaînes YouTube dédiées au gaming (optimisation FPS, fix de crashes, paramétrage de plateformes), cumulant des centaines de milliers d’abonnés et des millions de vues, avec des liens malveillants en description SEO poisoning ciblant des professionnels cherchant des logiciels légitimes (WinDirStat, drivers Bluetooth, logiciels crackés) Les deux funnels convergent vers une PPI gate commune qui filtre les victimes via un paramètre click_id encodé en Base64 contenant l’OS, le navigateur, le domaine référent, le mot-clé de recherche et l’IP publique de la victime. Ce mécanisme de ciblage empêche les scanners automatisés d’accéder aux payloads. ...

🔍 Contexte Publié le 15 avril 2026 par la Howler Cell Research Team de Cyderes, ce rapport présente l’analyse technique complète d’une chaîne d’infection en 5 étapes impliquant deux nouvelles familles de malwares : Direct-Sys Loader et CGrabber Stealer. 📦 Vecteur d’infection La campagne débute par la distribution d’archives ZIP hébergées sur l’infrastructure GitHub user-attachments. L’archive analysée (Eclipsyn.zip, SHA-256 : f464a4155526fa22c45a82d3aa75a13970189aad8cc3fa6050cf803a54d8baed) contient un binaire légitime signé Microsoft, Launcher_x64.exe, abusé pour du DLL sideloading via une DLL malveillante nommée msys-crypto-3.dll. ...

Source et contexte : Cato Networks (Cato CTRL Threat Research) publie une analyse technique d’un nouveau loader baptisé « Foxveil », actif depuis août 2025, qui s’appuie sur des plateformes cloud de confiance pour le staging et déploie du shellcode en mémoire avec des techniques d’injection et d’évasion avancées. Foxveil s’appuie sur des infrastructures « de confiance » (Cloudflare Pages, Netlify, Discord) pour héberger ses charges de second étage, ce qui brouille les signaux réseau et rend inefficaces les simples listes de blocage. Deux variantes sont observées : v1 (staging surtout via Cloudflare/Netlify) et v2 (staging souvent via pièces jointes Discord). La campagne est en cours depuis août 2025. ...