Malware

Selon HackRead, le FBI a émis une alerte à destination des joueurs 🎮 après la découverte d’un malware dissimulé dans plusieurs jeux Steam, qui a opéré entre mai 2024 et janvier 2026. L’alerte indique que le logiciel malveillant, intégré à des titres disponibles sur Steam, a procédé au vol de données de navigateur et au drainage de portefeuilles de cryptomonnaies 💸. La période d’activité mentionnée couvre près de vingt mois, suggérant une campagne prolongée. ...

Selon BleepingComputer, le FBI demande aux joueurs qui ont installé des titres Steam contenant des malwares de fournir des informations dans le cadre d’une enquête en cours. Points clés: Huit jeux malveillants ont été mis en ligne sur la plateforme Steam. Le FBI cherche des informations auprès des joueurs qui ont installé ces titres. L’appel s’inscrit dans une enquête en cours visant ces jeux publiés de manière malveillante. FBI : enquête sur des jeux Steam contenant des malwares Résumé Le FBI (division de Seattle) enquête sur plusieurs jeux publiés sur la plateforme Steam qui contenaient des malwares destinés à voler des cryptomonnaies et des identifiants. ...

Endor Labs publie une analyse détaillée du retour de la campagne PhantomRaven, révélant trois nouvelles vagues (2, 3 et 4) réparties entre novembre 2025 et février 2026, totalisant 88 paquets npm malveillants, dont 81 encore disponibles au moment de l’écriture, et 2 C2 sur 3 toujours actifs. Une mise à jour précise que l’opérateur a modifié l’infrastructure et les charges utiles servies à distance (ex. un script minimal « Hello, world! » désormais renvoyé par le domaine de la vague 2), illustrant le risque des dépendances URL qui permettent de changer silencieusement le code sans nouvelle version publiée. ...

Cyberattaque contre les systèmes IT du comté de Passaic (New Jersey) Contexte Le comté de Passaic (New Jersey, États-Unis) a subi une cyberattaque impliquant un malware ayant perturbé plusieurs systèmes informatiques et les lignes téléphoniques de l’administration locale. L’incident a été signalé le 5 mars 2026, après que les services téléphoniques ont cessé de fonctionner mercredi matin. Les autorités locales travaillent actuellement avec des agences fédérales et étatiques pour enquêter sur l’incident et restaurer les services. ...

Selon Securelist (Kaspersky), des chercheurs ont analysé « Arkanix Stealer », un infostealer en C++ et Python opéré en MaaS avec panneau de contrôle, modules configurables et programme de parrainage. Découvert via des annonces de forums en octobre 2025, il a fonctionné plusieurs mois avant que le panel et le Discord ne soient retirés vers décembre 2025. L’outil visait un large spectre de données, du système aux navigateurs, en passant par Telegram, Discord, VPN et fichiers sensibles. ...

Source: U.S. Department of Justice (Office of Public Affairs) — Communiqué officiel. Le DOJ annonce qu’un grand jury fédéral dans le District du Nebraska a inculpé six individus pour leur rôle dans une vaste conspiration de jackpotting d’ATM via malware, visant des distributeurs aux États‑Unis. Ces poursuites s’inscrivent dans une série d’affaires liées au groupe criminel Tren de Aragua (TdA), désigné organisation terroriste étrangère. 🚔 Nouvelles inculpations: six personnes — Wester Eduardo Dugarte Goicochea, Mauro Angel Briceno Caldera, Henry Rafael Gonzalez-Gutierrez, Giovanny Miguel Ocanto Yance, Jelfenson David Bolivar Diaz et Arlinzon Jose Reyes Villegas — sont poursuivies pour cinq chefs, dont complot en vue de commettre une fraude bancaire, cambriolage bancaire et fraude informatique, fraude bancaire, cambriolage bancaire et dégâts à des ordinateurs. Les peines maximales encourues vont de 20 à 335 ans de prison. ...

Source : Elliptic (20 février 2026). Le billet fait le point douze mois après l’exploit de Bybit, attribué au DPRK et confirmé par le FBI, et décrit l’évolution des vols et du blanchiment crypto associés à la Corée du Nord. Elliptic rappelle que l’attaque contre Bybit (21 février 2025) a abouti au vol d’environ 1,46 Md$ en cryptoactifs – le plus grand vol confirmé à ce jour – et que la majorité des fonds a depuis été blanchie, notamment via des adresses de remboursement, la création de tokens sans valeur et une diversification inédite entre mixers, avec un recours important à des services OTC chinois suspectés (plus de 1 Md$ déjà blanchi à mi‑2025). ...

ESET Research (WeLiveSecurity) publie l’analyse de PromptSpy, « premier » malware Android observé à intégrer de l’IA générative dans son flux d’exécution. Découvert en février 2026, il s’appuie sur Google Gemini pour guider des interactions d’interface contextuelles et maintenir la persistance, tout en déployant un module VNC pour un accès à distance complet. Les échantillons semblent viser prioritairement l’Argentine et pourraient avoir été développés dans un environnement sinophone. 🧪 Fonctionnalité IA générative (Gemini) 🤖: PromptSpy sérialise en XML l’état courant de l’UI (texte, types, packages, bounds) et l’envoie à Gemini, qui renvoie des instructions JSON (taps, swipes, long press) pour exécuter le geste « verrouiller l’app dans les applications récentes » — un mécanisme de persistance résistant aux variations d’UI selon les modèles et versions Android. Le malware boucle jusqu’à confirmation explicite de réussite par l’IA. ...

Source et contexte : Cato Networks (Cato CTRL Threat Research) publie une analyse technique d’un nouveau loader baptisé « Foxveil », actif depuis août 2025, qui s’appuie sur des plateformes cloud de confiance pour le staging et déploie du shellcode en mémoire avec des techniques d’injection et d’évasion avancées. Foxveil s’appuie sur des infrastructures « de confiance » (Cloudflare Pages, Netlify, Discord) pour héberger ses charges de second étage, ce qui brouille les signaux réseau et rend inefficaces les simples listes de blocage. Deux variantes sont observées : v1 (staging surtout via Cloudflare/Netlify) et v2 (staging souvent via pièces jointes Discord). La campagne est en cours depuis août 2025. ...

Selon une publication spécialisée diffusée le 16 février 2026, des acteurs malveillants ont introduit une nouvelle technique au sein des campagnes ClickFix d’ingénierie sociale. Les attaquants abusent des requêtes DNS comme canal au cœur de ces campagnes, marquant la première utilisation connue du DNS dans ce contexte. Cette évolution de la tactique sert à livrer des malwares via le mécanisme DNS, intégrée à l’ingénierie sociale propre à ClickFix. ClickFix : abus de nslookup et du DNS pour livrer une charge PowerShell (ModeloRAT) Source : BleepingComputer — “New ClickFix attack abuses nslookup to retrieve PowerShell payload via DNS” https://www.bleepingcomputer.com/news/security/new-clickfix-attack-abuses-nslookup-to-retrieve-powershell-payload-via-dns/ ...