Malware Analysis

SentinelLABS benchmark les LLM frontier sur l'analyse autonome de malware avec fast16

🔬 Contexte Publié le 22 juillet 2026 par Juan Andrés Guerrero-Saade et Gabriel Bernadett-Shapiro (SentinelLABS), cet article présente un benchmark original conçu pour évaluer les capacités des modèles de langage frontier dans le cadre d’une investigation autonome de malware sur le long terme. 🧪 Le benchmark : fast16 comme cas d’étude Le benchmark s’appuie sur fast16, un implant Windows de sabotage datant de 2005, conçu pour altérer des solveurs haute précision utilisés dans la modélisation d’armes nucléaires. Ce malware présente une architecture en couches : ...

Analyse du malware Lorem Ipsum via trois outils Rust développés avec assistance IA

📅 Article publié le 6 juin 2026 sur le blog personnel d’Antonio Parata, présentant une expérience d’analyse dynamique du malware Lorem Ipsum à l’aide de trois outils personnalisés développés en Rust avec assistance de l’IA Claude Pro. 🔬 Contexte malware : Le malware Lorem Ipsum, déjà documenté dans un billet BlueVoyant, est disponible sur MalwareBazaar. Il nécessite Node.js pour s’exécuter, dépose son binaire dans C:\ProgramData\Microsoft Edge Updates Helper qZWpLKQXEGaa\Microsoft Edge Updates Helper.exe, et est fortement obfusqué, rendant l’analyse statique très difficile (IDA ne peut pas décompiler le code). ...

Analyse de malware : l'importance du mindset face aux limites des outils CTI

📰 Source : secjuice.com — publié le 31 mai 2026. Article de fond destiné aux analystes malware, junior comme senior, abordant la méthodologie et la philosophie de l’analyse de malware. 🎯 Contexte général L’article pose la question centrale : l’analyse de malware se résume-t-elle à la maîtrise d’outils ? La réponse développée est non : le mindset de l’analyste est l’élément différenciateur, les outils n’étant que des facilitateurs. 🛠️ Outils mentionnés L’article cite une liste d’outils courants utilisés en analyse statique et dynamique : ...

Elastic Security Labs publie nightMARE v0.16, une boîte à outils Python pour l’analyse de malwares

Source: Elastic Security Labs. Elastic Security Labs annonce nightMARE v0.16, une bibliothèque Python open source dédiée à l’analyse de malwares et au reverse engineering, accompagnée d’un tutoriel détaillé pour construire un extracteur de configuration du stealer LUMMA. 🛠️ nightMARE v0.16 s’appuie sur le framework Rizin (via rz-pipe) pour le désassemblage et l’analyse, unifiant en un seul socle des capacités auparavant réparties sur plusieurs dépendances (remplacement de LIEF, Capstone, SMDA). Le module propose de l’analyse statique, de l’émulation d’instructions, et des implémentations d’algorithmes spécifiques aux malwares. ...

Campagne malware sur Steam: patch malveillant de BlockBlasters déploie StealC et un backdoor

Selon G DATA (blog), une campagne sophistiquée a compromis le jeu BlockBlasters sur Steam via un patch malveillant (Build 19799326), touchant des centaines de joueurs en 2025 et s’inscrivant dans une tendance croissante de compromissions sur la plateforme. L’attaque débute par un fichier batch malveillant nommé game2.bat qui collecte des informations système, détecte les antivirus et récupère des identifiants Steam. Deux chargeurs VBS exécutent ensuite d’autres scripts batch pour inventorier les extensions de navigateurs et les données de portefeuilles crypto. ...

AgentHopper : un virus d’IA exploite des prompt injections pour se propager via Git

Selon le blog Embrace The Red, un chercheur de sécurité a démontré AgentHopper, un malware conceptuel ciblant des agents de codage via des injections de prompts et se propageant au travers de dépôts Git. Les vulnérabilités référencées ont été corrigées, et la recherche met en lumière la nécessité de contrôles de sécurité renforcés (protection des branches, passphrases pour clés SSH, principe du moindre privilège pour les agents d’IA). AgentHopper abuse d’injections de prompt indirectes pour atteindre une exécution de code arbitraire sur plusieurs agents d’IA populaires. Le malware utilise des payloads universels conditionnels capables de déclencher des chemins d’exploitation spécifiques selon l’agent ciblé, facilitant une infection multi‑plateforme à partir d’un seul contenu malveillant dans le dépôt. ...

Volexity publie GoStringExtractor et ajoute le parsing RTTI à GoResolver pour doper l’analyse de malware Golang

Selon Volexity (blog), de nouveaux outils et mises à jour ciblent les difficultés d’analyse des binaires Golang, en particulier pour le malware, en améliorant l’extraction des chaînes et l’exploitation des informations de types au runtime afin de réduire la charge des analystes. 🛠️ GoStringExtractor: ce nouvel utilitaire génère des rapports JSON listant les chaînes référencées et les noms de fonctions, définit correctement les chaînes dans les bases SRE, et permet un filtrage par noms de packages pour organiser l’analyse. ...

Découverte d'un malware NPM drainant des portefeuilles de cryptomonnaies

Des chercheurs en sécurité ont identifié un package NPM malveillant sophistiqué généré par l’IA, ciblant les développeurs en tant que drain de portefeuille de cryptomonnaies. Le package, nommé @kodane/patch-manager, se fait passer pour un gestionnaire de cache de registre légitime mais inclut des fonctionnalités avancées pour voler des fonds de cryptomonnaies. Le malware procède à une infection en plusieurs étapes : installation via un script post-installation, établissement de la persistance à travers des processus en arrière-plan, connexion à un serveur C2 à l’adresse sweeper-monitor-production.up.railway.app, découverte de fichiers de portefeuille, et extraction des fonds vers une adresse Solana spécifique (B2XwbrGSXs3LAAcqFqKqGUug5TFA1Bug2NNGH3F3mWNK). ...

Analyse des menaces de Red Canary : émergence de nouveaux malwares

Le rapport mensuel de Red Canary sur le renseignement sur les menaces révèle des changements significatifs dans le paysage des menaces, avec un accent particulier sur les nouvelles menaces ciblant les systèmes Windows et macOS. Amber Albatross conserve sa position de menace principale, tandis que CleanUpLoader fait son entrée dans le top 10 par le biais de campagnes de malvertising visant le personnel informatique. Ce malware fonctionne en tant que DLL exécutée via rundll32.exe, établissant une persistance à travers des tâches planifiées qui s’exécutent toutes les 3 minutes. Il est distribué via des domaines typo-squattés imitant des sites de logiciels légitimes. ...

Deux campagnes APT sophistiquées ciblent la communauté tibétaine

Zscaler ThreatLabz a publié un rapport détaillant deux campagnes APT sophistiquées, nommées Operation GhostChat et Operation PhantomPrayers, qui ciblent la communauté tibétaine à l’occasion du 90e anniversaire du Dalaï Lama. Les acteurs de menace liés à la Chine ont compromis des sites web légitimes et ont utilisé des techniques de social engineering pour distribuer des applications vérolées contenant les malwares Ghost RAT et PhantomNet. Ces campagnes utilisent des chaînes d’infection multi-étapes sophistiquées, exploitant des vulnérabilités de DLL sideloading, des injections de code, et des charges utiles chiffrées. ...