https://cyberveille.ch/tags/python-nodestealer/ Recent content in Python NodeStealer on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sat, 05 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-05-python-nodestealer-evolue-en-spyware-complet-avec-assistance-ia-et-20-endpoints-facebook/ Sat, 05 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-05-python-nodestealer-evolue-en-spyware-complet-avec-assistance-ia-et-20-endpoints-facebook/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 2 septembre 2026 par Jan Michael Alcantara (Netskope Threat Labs), cet article présente l&rsquo;analyse technique d&rsquo;une nouvelle variante de <strong>Python NodeStealer</strong> découverte en août 2026. Ce malware est suivi par Netskope depuis 2023, initialement comme infostealer ciblant les données de navigateur et les comptes Facebook.</p> <h2 id="-nouvelles-capacités-spyware">🦠 Nouvelles capacités spyware</h2> <p>La variante d&rsquo;août 2026 intègre des fonctionnalités spyware inédites :</p> <ul> <li><strong>Keylogger</strong> : utilisation de la bibliothèque <code>pynput</code>, enregistrement des frappes dans <code>keylog({ip}).txt</code> (dossier temporaire), exfiltration vers le C2 Telegram toutes les <strong>120 secondes</strong>, persistance indéfinie</li> <li><strong>Surveillance du presse-papiers</strong> : via la bibliothèque <code>pyperclip</code>, capture de tout texte collé avec l&rsquo;IP de la victime</li> <li><strong>Capture d&rsquo;écran</strong> : via <code>pyautogui</code>, deux captures effectuées (début et fin d&rsquo;exécution), envoyées au C2 Telegram</li> <li><strong>Nouveaux vecteurs de vol</strong> : mots de passe Wi-Fi, dossier Pictures complet, deux navigateurs web supplémentaires</li> </ul> <h2 id="-architecture-c2-duale-telegram">📡 Architecture C2 duale Telegram</h2> <p>La variante introduit <strong>deux bots Telegram distincts</strong> :</p>