RAT

🔍 Contexte En septembre 2026, la SOCRadar Threat Research Unit (STRU) a identifié ICMacOS (alias Icarus macOS), un nouveau malware macOS distribué sous modèle MaaS (Malware-as-a-Service), activement promu sur des forums cybercriminels russophones par l’acteur GlowComa. L’analyse technique complète a été publiée le 12 octobre 2026. 🎭 Acteur de la menace GlowComa : acteur russophone à motivation financière, actif depuis janvier 2026 Opère sous la bannière du groupe d’affiliation crypto MADHASH Présent sur les forums XSS, Exploit.in et Rehub Identifiants Telegram : @ObjectCollision, @SaykatChain, @layer7king Canal Telegram principal : https://t.me/s/icmacos/ Tarification : 699 $/semaine, 1 199 $/quinzaine, 1 699 $/mois (899 $ pour utilisateurs Icarus ClickFix) Réputation mitigée : plusieurs litiges d’arbitrage sur Exploit.in pour faibles taux de conversion et détection rapide ⚙️ Chaîne d’infection Vecteur initial : pages ClickFix incitant la victime à coller des commandes terminal malveillantes Script Bash télécharge le dropper depuis https://escapeai.live/icmacos_run_v2.command Le dropper : Journalise dans /tmp/.update-helper.log Modifie les préférences com.apple.Terminal pour masquer les fenêtres Affiche un faux dialogue “System Preferences” via osascript pour capturer le mot de passe Valide le mot de passe contre le Keychain macOS (jusqu’à 5 tentatives) Détecte l’architecture CPU (arm64 ou amd64) via uname -m Télécharge le payload final depuis https://escapeai.live/ICMacOs?arch={architecture} Lance le payload en arrière-plan via osascript et nohup, puis ferme le terminal 🦠 Analyse technique des variantes Version 1 – Stealer Exécutable Mach-O 64 bits compilé en Go. Modules de vol : ...

📅 Source : Malwarebytes Threat Intel, publié le 25 septembre 2026. 🔍 Contexte général Malwarebytes a découvert et analysé un RAT (Remote Access Trojan) inédit nommé Kothamine Agent, écrit en C et C++, distribué notamment via des packages npm malveillants. Le malware est actif depuis au moins juillet 2026, selon les dépôts VirusTotal et les commits GitHub. ⚙️ Architecture et fonctionnement Kothamine se compose de deux éléments principaux : Un injecteur (Kothamine Injector) qui prépare l’environnement et injecte le DLL agent dans explorer.exe Un agent DLL (Kothamine Agent) supportant plus de 30 commandes permettant le contrôle total du système infecté L’injecteur effectue les opérations suivantes : ...

🔍 Contexte Publié le 24 septembre 2026 par Xiaopeng Zhang (FortiGuard Labs / FGIR), cet article présente l’analyse technique d’un incident impliquant une variante de SectopRAT (alias ArechClient2), un RAT .NET dissimulé dans un logiciel audio légitime développé par une entreprise italienne. 🧩 Vecteur d’infection et structure malveillante Le dossier malveillant, localisé sous C:\ProgramData (hors du répertoire d’installation normal), contient : ReportDump.exe : composant légitime du logiciel, configuré comme tâche planifiée Windows FrameworkBase.dll : falsifiée pour importer sdkcra.dll via modification de l’IAT sdkcra.dll : DLL d’entrée malveillante Activation.Desktop.db : contient du code ASM chiffré pool.db : contient le payload SectopRAT chiffré L’analyse exclut une attaque de la chaîne d’approvisionnement : le logiciel légitime a été modifié localement sans compromission du fournisseur. ...

🔍 Contexte Publié le 22 septembre 2026 par Aikido Security, cet article présente une analyse technique détaillée d’une extension de la campagne Graphalgo, initialement rapportée par ReversingLabs en février 2026. C’est la première fois que des malwares sont distribués via des providers Terraform. 📦 Vecteurs de distribution L’acteur malveillant a utilisé quatre packages compromis : Providers Terraform : gocommunity-io/dockerd kreuzwenker/docker (typosquat de kreuzwerker/docker, 56 millions de téléchargements) Modules Go : gocommunity.io/orderedbtree (publié le 11 août 2026) gogets.dev/btreex (publié le 8 septembre 2026, avec commits backdatés à novembre 2025) ⚙️ Mécanisme d’activation Les providers Terraform contiennent des points d’entrée cachés dans resource_docker_container_funcs.go, activés uniquement lorsque le hash SHA256 de la concaténation des variables containerName et networkID correspond à une valeur spécifique (b9966e3762e9a0d5d263b8cb3cca07294f81af9714d40ddf4628cb85d74e8ad5). Ce hash sert de clé AES pour déchiffrer un chemin de fichier ZIP (import-resource.sqlite3), décompresser et exécuter du code Go via go run .. ...

🔍 Contexte Le 15 septembre 2026, les chercheurs Asher Davila et Doel Santos d’Unit 42 (Palo Alto Networks) ont publié une analyse technique détaillée d’une famille de malware baptisée Neural Override, un RAT Python en cinq builds actif depuis juillet 2026. 🧠 Description du malware Neural Override est un RAT Python contrôlé via un bot Telegram (@Skibidi_16_bot, nom d’affichage « Pomoshnik ») et intégrant une boucle autonome d’attaque pilotée par LLM via l’API OpenRouter AI. Le LLM analyse les systèmes compromis et sélectionne de manière autonome les actions d’attaque parmi un catalogue incluant : ...

🔍 Contexte Publié le 16 septembre 2026 par Zimperium zLabs (auteurs : Gianluca Braga, Vishnu Pratapagiri, Fernando Ortega), cet article présente l’analyse technique complète de RatHat, un nouveau malware Android attribué à des acteurs opérant depuis la Chine. 🎯 Vecteurs d’infection RatHat est distribué via : Smishing (campagnes SMS/phishing) Malvertising redirigeant vers des portails de téléchargement tiers frauduleux Forums tiers proposant des APKs malveillants déguisés en applications légitimes 🏗️ Architecture technique Le malware repose sur trois composants principaux : ...

🗓️ Contexte Article publié le 15 septembre 2026 par Hudson Rock, basé sur des informations partagées par l’équipe d’investigation Duel, qui a établi un contact direct avec le hacker responsable de l’incident Revolut. 🎯 Méthode d’attaque L’attaque repose sur une combinaison de compromission technique via infostealers et d’ingénierie sociale élaborée : Accès initial : Le hacker a utilisé des logs d’infostealers contenant des identifiants de webmail pec.interno.it (Ministère de l’Intérieur italien), achetés ou récupérés depuis des bases de données cybercriminelles existantes — et non obtenus par infection directe des employés. Persistance discrète : Après connexion aux boîtes mail compromises, le hacker ajoutait une adresse de récupération sous son contrôle, surveillait les échanges 24h/24 et supprimait immédiatement les emails sortants frauduleux ainsi que les réponses reçues (téléchargées en .eml avant suppression). Ciblage précis : Après avoir tenté de forger des ordonnances judiciaires génériques, le hacker a identifié que la filiale lituanienne de Revolut, Revolut Bank UAB, était juridiquement contrainte de répondre à un European Investigation Order. Campagne de 5 mois : Une seule demande frauduleuse initiale a suffi à obtenir la conformité de Revolut. Les demandes ont ensuite été répétées sur cinq mois sans que Revolut ne remette en question leur authenticité. 🔍 Analyse Hudson Rock Hudson Rock a identifié environ 300 identifiants webmail pec.interno.it compromis dans sa base de données cybercriminelle, issus de machines infectées par des infostealers. Cette découverte contredit la version initiale du hacker (qui évoquait un RAT), et suggère fortement l’utilisation de logs d’infostealers préexistants plutôt qu’une infection active et ciblée. ...

🔍 Contexte Publié le 1er septembre 2026 par Kunal Singh sur le blog de SafeDep, cet article présente une analyse technique approfondie d’une chaîne de livraison de malware via l’écosystème npm, détectée en juin 2026 et référencée sous l’advisory MAL-2026-6672. 🎯 Mécanisme d’attaque : une chaîne de dépendances transitives L’attaque repose sur trois packages npm imbriqués : ioredis-xyz (Layer 1) : typosquat de ioredis, un client Redis légitime. La version 5.11.2 ajoute redis-type-xyz comme dépendance inutilisée. redis-type-xyz (Layer 2) : typosquat de Redis OM, sans code exécutable. La version 1.10.6 ajoute ulid-xyz comme dépendance. ulid-xyz (Layer 3) : typosquat de ulidx, contient le payload malveillant de 467 Ko déclenché via un script postinstall. Le payload n’était pas présent lors de la publication initiale d’ioredis-xyz : il a été injecté 19 minutes plus tard via la mise à jour d’une dépendance transitive, rendant la détection initiale impossible. ...

🔍 Contexte Publié le 1er septembre 2026 par Kaspersky (Securelist), cet article de recherche documente la découverte de deux nouvelles familles de malwares attribuées à Mirage Kitten (également connu sous les noms UNC1549, Smoke Sandstorm, Nimbus Manticore), un groupe APT ciblant historiquement le Moyen-Orient et l’Afrique. 🎯 Vecteur d’accès initial La campagne repose sur une technique de faux recruteur (recruiter persona) sur LinkedIn et d’autres plateformes d’emploi. Les cibles reçoivent un lien vers une archive de défi de codage trojanisée hébergée sur Amazon S3, présentée comme une évaluation technique pour un poste d’ingénieur. L’archive contient un projet Node.js légitime (TaskFlow ou RankChallenge-react) dont un fichier source a été modifié pour importer un package npm malveillant (colorized_terminal ou pretty-log, version 2.1.0) bundlé directement dans le répertoire node_modules. ...

🎯 Contexte Source : Cyber Security News (relayé par Cryptika), publié le 28 août 2026. L’analyste Himanshu Anand a documenté une campagne de spearphishing ciblant des chercheurs académiques via un faux dossier de candidature universitaire. 📦 Vecteur d’infection L’attaque repose sur une archive ZIP malveillante dont le nom en chinois se présente comme le CV d’un certain Zhang Yuguang, présenté comme diplômé en ingénierie réseau du Beijing Institute of Technology. Le contenu du ZIP inclut un exécutable Windows dont le nom imite celui d’un document, exploitant le comportement par défaut de Windows qui masque les extensions de fichiers connues. ...