MaaS

🔍 Contexte En septembre 2026, la SOCRadar Threat Research Unit (STRU) a identifié ICMacOS (alias Icarus macOS), un nouveau malware macOS distribué sous modèle MaaS (Malware-as-a-Service), activement promu sur des forums cybercriminels russophones par l’acteur GlowComa. L’analyse technique complète a été publiée le 12 octobre 2026. 🎭 Acteur de la menace GlowComa : acteur russophone à motivation financière, actif depuis janvier 2026 Opère sous la bannière du groupe d’affiliation crypto MADHASH Présent sur les forums XSS, Exploit.in et Rehub Identifiants Telegram : @ObjectCollision, @SaykatChain, @layer7king Canal Telegram principal : https://t.me/s/icmacos/ Tarification : 699 $/semaine, 1 199 $/quinzaine, 1 699 $/mois (899 $ pour utilisateurs Icarus ClickFix) Réputation mitigée : plusieurs litiges d’arbitrage sur Exploit.in pour faibles taux de conversion et détection rapide ⚙️ Chaîne d’infection Vecteur initial : pages ClickFix incitant la victime à coller des commandes terminal malveillantes Script Bash télécharge le dropper depuis https://escapeai.live/icmacos_run_v2.command Le dropper : Journalise dans /tmp/.update-helper.log Modifie les préférences com.apple.Terminal pour masquer les fenêtres Affiche un faux dialogue “System Preferences” via osascript pour capturer le mot de passe Valide le mot de passe contre le Keychain macOS (jusqu’à 5 tentatives) Détecte l’architecture CPU (arm64 ou amd64) via uname -m Télécharge le payload final depuis https://escapeai.live/ICMacOs?arch={architecture} Lance le payload en arrière-plan via osascript et nohup, puis ferme le terminal 🦠 Analyse technique des variantes Version 1 – Stealer Exécutable Mach-O 64 bits compilé en Go. Modules de vol : ...

🗓️ Contexte Publié le 7 octobre 2026 sur infostealers.com, cet article analyse Warden Stealer, un malware de type infostealer/clipper/loader commercialisé en Malware-as-a-Service (MaaS) sur le forum dark web Exploit.in. Le projet a débuté début 2026 et est disponible publiquement depuis le 21 juillet 2026. 🧬 Caractéristiques techniques distinctives Protocole de transfert binaire propriétaire : trafic chiffré, indétectable par les sondes réseau standard (pas de HTTP/JSON) Morphing AST/LLVM multi-niveaux : altération du binaire à quatre niveaux (PE layout, AST, IR, ASM), rendant les antivirus à base de signatures (Windows Defender, Avast) inefficaces Décryptage côté serveur : aucune logique cryptographique sur la machine victime, binaire très léger (~350 Ko) Livraison par chunks : envoi fragmenté des données, sessions liées aux hardware IDs pour éviter les doublons Développé en Rust, avec assistance de LLMs pour la recherche et le développement 🎯 Capacités et cibles 360+ applications ciblées dans 13 catégories : navigateurs Chromium/Gecko, Discord, Telegram, Steam, gestionnaires de mots de passe, VPN, clients FTP Ciblage explicite des environnements IA et développeurs (v1.9) : Claude Code (Anthropic), Codex CLI, GitHub, SSH Keys Exfiltration de fichiers .claude.json contenant des primaryApiKey et données OAuth Exfiltration de fichiers SSH (config, known_hosts) pour faciliter le mouvement latéral 200+ extensions de portefeuilles crypto sur 96 réseaux (EVM et non-EVM) 💰 Moteur de bruteforce crypto Warden intègre un moteur d’auto-bruteforce qui construit dynamiquement un dictionnaire personnalisé à partir des données volées de la victime (mots de passe, emails, historique, autocomplete), applique 490+ règles de mutation et génère jusqu’à 20 millions de candidats par portefeuille. En quelques jours, le système a scanné 61 700 adresses, cracké 66% des portefeuilles avec solde, pour un volume cumulé revendiqué de plus de 485 000 USD. ...

🌐 Contexte Publié le 17 septembre 2026 par l’équipe Chainalysis, cet article de recherche documente l’émergence et la prolifération des Blockchain Dead Drops (BDD), une technique permettant à des acteurs malveillants de stocker des instructions de malware ou des configurations C2 sur des blockchains publiques, rendant ces infrastructures quasi impossibles à démanteler. 📈 Tendances et chiffres clés Les écriture malveillantes sur blockchain ont augmenté de 440% depuis l’émergence de LLMs open-source chinois sans restrictions sur la génération de code malveillant Passage de 2,06 écritures/jour à 11,1 écritures/jour Hausse de 420% sur les 12 derniers mois En Q2 2026, les groupes liés à des États représentent deux tiers des nouvelles activités BDD par trimestre Activité tracée sur 5 blockchains majeures et plus d’une douzaine de souches malware 🕰️ Historique des BDD 2013 : Variante du botnet Necurs stockant des domaines C2 sur Namecoin 2019 : Adresses IP C2 encodées dans des montants de Satoshis ; botnet Glupteba utilisant le champ OP_RETURN de Bitcoin Mi-2023 : Apparition d’EtherHiding sur Binance Smart Chain (BSC) par les opérateurs ClearFake Décembre 2023 : Botnet DDoS Smargaft actif sur BSC via smart contract C2 Fin 2024 : Acteurs iraniens liés au Ministère du Renseignement intégrant des données C2 dans des transactions Bitcoin Début 2025 : Agents nord-coréens renforçant leur campagne de faux entretiens d’embauche avec EtherHiding 🎯 Acteurs et techniques Corée du Nord – UNC5342 (DPRK) Utilisation de smart contracts sur blockchains publiques pour livrer des malwares à des développeurs crypto cherchant un emploi Technique de relay multi-chaînes : TRON et Aptos comme pointeurs redondants vers BSC où le payload est stocké Le malware déchiffre les instructions C2 depuis les données d’entrée de transactions BSC Déploiement de malwares voleurs de credentials pour drainer des actifs crypto Attribution confirmée via le même wallet déployeur BSC identifié par Google GTIG/Mandiant Iran – Ministère du Renseignement Écriture de données de routage C2 encodées dans des transactions Bitcoin via le champ OP_RETURN Utilisation d’une adresse Bitcoin historiquement liée à Satoshi Nakamoto comme point de lookup permanent Rotation d’infrastructure via de nouvelles transactions Bitcoin Attribution basée sur la famille de malware, la logique de décodage, le timing opérationnel et l’infrastructure C2 Cybercriminels russophones – MaaS sur Polygon Smart contracts sur Polygon utilisés comme résolveurs C2 Modèle Malware-as-a-Service (MaaS) avec panel opérateur en russe et abonnement Un wallet opérateur contrôle une flotte de contrats de stockage liés à différents clients/campagnes Liens avec des tokens frauduleux imitant des stablecoins, des campagnes de clipboard hijacking, et plus de 50 contrats résolveurs BSC quasi-identiques 🔧 Techniques BDD identifiées Transaction-based storage : C2 encodé dans des champs de transaction (OP_RETURN, calldata, memos) Contract-based storage : Smart contracts comme stockage résilient de pointeurs C2 (modèle EtherHiding) Phantom wallets : Adresses sans paire de clés privées contenant l’IP C2 dans les octets de l’adresse 📋 Type d’article Il s’agit d’une publication de recherche produite par Chainalysis, visant à documenter une nouvelle catégorie de techniques d’attaque (BDD), à attribuer l’activité à des acteurs spécifiques, et à promouvoir ses capacités d’analyse blockchain pour la détection et l’attribution de ces menaces. ...

🔍 Contexte Publié le 25 septembre 2026 sur le blog de Wiz (wiz.io), cet article de recherche est co-signé par Gili Tikochinski et Shahar Dorfman. Il s’appuie sur une analyse des données de la plateforme NordStellar pour cartographier les types de credentials ciblés par les familles d’infostealers et évaluer leur impact potentiel sur les environnements cloud, code et IA. 🎯 Menace principale Les infostealers constituent un vecteur d’accès initial majeur pour compromettre les environnements cloud d’entreprise. Ils opèrent via un écosystème cybercriminel industrialisé reposant sur des plateformes Malware-as-a-Service (MaaS), des Initial Access Brokers (IABs) et des marketplaces souterrains. Trois familles dominent le paysage : ...

🔍 Contexte Publié le 24 septembre 2026 par Sergey Puzan sur Securelist (Kaspersky), cet article présente une analyse technique approfondie d’une nouvelle variante du stealer macOS MacSync, détectée pour la première fois dans la nature en septembre 2026. 🧬 Origine et évolution du malware MacSync est une famille de crypto/info stealers relativement récente, d’abord annoncée sur le dark web en 2025 sous le nom Mac.c, puis renommée par ses créateurs. Les versions initiales étaient implémentées en AppleScript et ressemblaient à la famille AMOS. La nouvelle version marque une rupture significative : ...

🔍 Contexte Publié le 25 septembre 2026 par DCSO CyTec Blog, cet article présente une analyse technique approfondie d’une nouvelle famille de malware baptisée Sauron Loader, découverte lors de plusieurs engagements clients en Allemagne. Le malware est vendu sous forme de Malware-as-a-Service (MaaS) dans des forums souterrains russes, exclusivement à des cybercriminels russophones. 🎯 Vecteurs d’accès initial Les campagnes observées utilisent deux techniques d’ingénierie sociale : ClickFix-style attacks : manipulation de l’utilisateur pour exécuter du code malveillant Voice phishing (vishing) : les victimes sont d’abord inondées de spams, puis contactées par des attaquants se faisant passer pour le support IT, les incitant à initier des sessions Microsoft Quick Assist ou AnyDesk 🧬 Analyse technique du malware L’échantillon analysé est un installateur MSI (SHA256 : ee727d639eaa4ee2e0d7cafbe496e14aaac8df0955d9fb599f2c11dfa1d0f8f2) écrit en C++. À l’exécution, il dépose trois fichiers dans C:\ProgramData\keyroll : ...

🔍 Contexte Publié le 21 septembre 2026 par l’équipe TDR de Sekoia, cet article détaille la découverte et l’analyse technique d’Exvicy, un nouveau framework de distribution de malware de type ClickFix vendu en Malware-as-a-Service (MaaS) sur le forum cybercriminel russophone Exploit.IN. 🧵 Origine de la découverte L’équipe TDR a identifié Exvicy à partir d’une capture d’écran du panneau d’administration partagée sur Exploit.IN par le threat actor @Exvicy. En pivotant sur une paire de nameservers Cloudflare visible dans cette capture (randy.ns.cloudflare.com / stevie.ns.cloudflare.com), les analystes ont identifié 5 domaines enregistrés depuis mi-mai 2026, puis localisé l’infrastructure active de l’opérateur. ...

🔍 Contexte Rapport publié le 17 septembre 2026 par la LastPass Threat Intelligence, Mitigation, and Escalation (TIME) Team en partenariat avec Delphos Labs. L’investigation a débuté le 13 août 2026 suite à la détection d’une fausse organisation GitHub usurpant l’identité de LastPass Authenticator. 🎯 Nature de la campagne Campagne de type Malware-as-a-Service (MaaS) utilisant GitHub comme réseau de distribution. Le kit albinofennel[.]com héberge des pages d’impersonation dynamiques pour au moins 40 marques simultanément. La campagne est active depuis plusieurs mois et présente des chevauchements avec la campagne BoryptGrab documentée par Trend Micro en mars 2026. ...

🗓️ Source : Blackfog, publié le 7 septembre 2026 🔍 Contexte Blackfog a identifié et analysé un nouvel infostealer Windows baptisé Bee Stealer, distribué sur des réseaux cybercriminels sous forme de Malware-as-a-Service (MaaS). La version analysée est la 2.1. 🤖 Fonctionnalité de profilage IA Bee Stealer v2.1 introduit une fonctionnalité appelée “AI PC profile” : un réseau de neurones analyse les logs volés et génère deux fichiers de profil victimes — ProfileEn.txt (anglais) et ProfileRu.txt (russe). Le profil couvre l’identité probable, l’activité et les services fréquemment utilisés de la victime. Ce traitement s’effectue après exfiltration des logs vers l’infrastructure attaquante, et non dans le payload Windows. Il s’agit d’un outil de triage permettant aux opérateurs d’identifier rapidement les victimes à haute valeur avant expiration des sessions. ...

🔍 Contexte En août 2026, l’équipe Threat Response Unit (TRU) d’eSentire publie une analyse technique détaillée de campagnes observées fin juillet 2026, combinant deux services Malware-as-a-Service (MaaS) : ErrTraffic et Cruciferra. 🎯 Vecteur d’accès initial Les victimes atterrissent sur des sites WordPress compromis contenant un inject JavaScript obfusqué généré par ErrTraffic. Ce script : Est encodé en base64 et chiffré par XOR à un octet Résout son domaine C2 via un smart contract Polygon (méthode getDomain, RPC eth_call) Charge dynamiquement le code source JavaScript du leurre ClickFix Le leurre ClickFix copie une commande PowerShell malveillante dans le presse-papiers et incite la victime à l’exécuter via Windows Key + X -> I. ...