RAT

🔍 Contexte Analyse publiée le 27 août 2026 par la CyberProof Research Team, basée sur une découverte initiale de Microsoft Threat Intelligence en juillet 2026. L’incident concerne une compromission de la chaîne d’approvisionnement logicielle ciblant l’organisation NPM officielle AsyncAPI. 🎯 Nature de l’attaque Des acteurs malveillants ont obtenu un accès non autorisé au pipeline de publication AsyncAPI, republiant des packages légitimes embarquant des hooks de cycle de vie malveillants. Lors de l’exécution de workflows de build standards, les outils comme npx récupéraient automatiquement la chaîne de dépendances compromise. ...

🔍 Contexte Publié le 21 août 2026 par le SOCRadar Threat Research Unit (STRU), cet article présente la découverte de l’abus de bannières FTP comme Dead Drop Resolvers (DDRs), une technique observée depuis début juillet 2026 et toujours active au moment de la publication. L’investigation a conduit à l’identification de deux RATs inédits : E4del et PINHOLE. 📡 Technique de livraison : FTP Banner comme DDR Les acteurs malveillants intègrent des commandes malveillantes directement dans les bannières de réponse initiale du protocole FTP (port 21). Des fichiers LNK (probablement distribués par phishing) récupèrent ces commandes, qui déclenchent ensuite le téléchargement de charges utiles via WebDAV ou PowerShell. Des leurres en espagnol (ex. : « Voucher ») ont été identifiés. La technique a été détectée via des recherches FOFA sur le port 21. ...

🎣 Contexte Source : BleepingComputer, publié le 5 août 2026. Proofpoint a découvert une campagne de phishing exploitant la récente divulgation d’une vulnérabilité affectant les portefeuilles matériels COLDCARD, liée à un défaut de génération de nombres aléatoires ayant conduit au vol estimé de 1 367 Bitcoins (~88,6 millions USD) depuis 4 585 adresses. 📧 Vecteur d’attaque Les emails malveillants sont envoyés depuis compliance@coldcardteamnews.com avec l’objet “Hardware audit now available”. Ils prétendent qu’un audit de sécurité coordonné est en cours et demandent la participation des utilisateurs avant le 10 août. Les victimes sont redirigées vers le site coldcardcompliance.com qui imite l’interface officielle de COLDCARD. ...

🔍 Contexte Publié le 7 août 2026 par l’équipe OpenSourceMalware (opensourcemalware.com), cet article présente une analyse technique approfondie d’une campagne de supply chain ciblant l’écosystème npm. En 48 heures, un acteur a publié plus de 700 paquets malveillants (788 confirmés) en utilisant des noms générés par IA ou par typosquatting. 🎯 Vecteur d’infection Le paquet analysé, checkout-mobile-bnpl@35.6.9, se présente comme un SDK mobile BNPL. Il ne nécessite aucun script d’installation (preinstall/postinstall) : le simple appel require() suffit à déclencher la chaîne d’infection via le fichier _helpers.js. ...

🌐 Contexte Publié le 31 juillet 2026 par Microsoft Threat Intelligence, cet article détaille la campagne CaptiveCrunch, attribuée à Storm-2945, un sous-cluster opérationnel de Midnight Blizzard (SVR russe). L’activité est observée depuis début mai 2026 et cible principalement les voyageurs d’affaires dans des environnements hôteliers et de conférence à l’échelle mondiale. 🎯 Vecteur d’attaque Storm-2945 manipule le trafic DNS et HTTP des réseaux servis par des portails captifs Wi-Fi pour rediriger les utilisateurs vers une infrastructure contrôlée par l’acteur. Les techniques employées incluent : ...

🔍 Contexte Le 28 juillet 2026, l’équipe de recherche de Socket a publié une analyse technique détaillée de la compromission de deux packages npm bêta appartenant à l’espace de noms @joyfill : @joyfill/layouts@0.1.2-2773.beta.0 et @joyfill/components@4.0.0-rc24-2773-beta.4. Joyfill est un éditeur de SDK pour l’intégration de formulaires, documents et PDFs dans des applications web et mobiles. 🎯 Nature de l’attaque Les deux versions malveillantes contiennent un implant JavaScript injecté au moment du bundling (présent dans les source maps), qui s’exécute au chargement du module (import-time), rendant npm install --ignore-scripts inefficace. L’implant utilise un mécanisme de résolution de payload via des transactions blockchain publiques (Tron, Aptos, BNB Smart Chain) pour récupérer du code chiffré, le déchiffrer par XOR, et l’évaluer dynamiquement. ...

🔍 Contexte : Le 27 juillet 2026, BlackFog publie une analyse technique détaillée de MedusaHVNC, un nouveau remote access trojan (RAT) distribué sous forme de malware-as-a-service (MaaS), promu via un site dédié et un canal Telegram. 🎯 Fonctionnalité principale : MedusaHVNC intègre un module HVNC (Hidden Virtual Network Computing) qui ouvre un navigateur sur un bureau Windows séparé et invisible pour la victime. Ce navigateur s’exécute sur la machine de la victime et charge les profils existants (cookies, sessions actives), permettant à l’opérateur d’accéder à des sessions authentifiées en temps réel. ...

🔍 Contexte Publié le 22 juillet 2026 par Varonis Threat Labs, cet article présente l’analyse technique de Dolphin X, un nouveau malware de type stealer et remote access trojan (RAT) pour Windows, découvert sur un forum cybercriminel. Le vendeur opère sous l’alias « Kontraktnik ». 🎯 Capacités de collecte Dolphin X revendique la capacité de cibler plus de 300 applications réparties en dix catégories : 9 navigateurs (Chromium et Gecko) avec déchiffrement DPAPI Plus de 100 extensions de portefeuilles crypto et 65 portefeuilles desktop 10 gestionnaires de mots de passe 30 outils CLI cloud (tokens cloud, pipelines CI/CD) Fichiers .env, clés SSH, et autres credentials DevOps Toutes les données collectées sont regroupées dans une seule archive, permettant un accès potentiel à des environnements de production entiers depuis une seule infection. ...

🔍 Contexte Cisco Talos a publié le 23 juillet 2026 une analyse technique d’un nouveau RAT (Remote Access Trojan) nommé msaRAT, attribué au groupe Chaos (connu pour ses activités ransomware). Le nom du malware est dérivé des noms de liaisons internes trouvés dans le binaire : msaOpen, msaClose, msaError et msaMessage. 🦠 Caractéristiques techniques Langage : Rust, implémenté avec le runtime asynchrone Tokio Capacités principales : Exécution de code à distance via le navigateur Tunneling covert pour les communications C2 🌐 Mécanisme C2 innovant msaRAT se distingue par une architecture C2 entièrement déléguée au navigateur : ...

🔍 Contexte Article de recherche publié le 16 juillet 2026 par Toni Dujmović, analyste chez ReversingLabs, basé sur une investigation réelle déclenchée par une attaque de type watering hole ciblant le site d’une association étudiante universitaire. 🎯 Mécanisme d’attaque ClickFix ClickFix est une technique d’ingénierie sociale qui exploite la confiance des utilisateurs plutôt que leurs lacunes en connaissances. Le déroulement type : La victime atterrit sur une page frauduleuse imitant une vérification Google, une mise à jour navigateur ou une erreur Cloudflare Un script JavaScript écrit silencieusement une commande malveillante dans le presse-papiers de la victime avant toute interaction La victime est invitée à ouvrir le dialogue Windows Run (Win+R) ou le Terminal macOS, coller la commande et l’exécuter Le payload s’exécute entièrement en mémoire, sans toucher le disque La chaîne d’exécution passe par des binaires système légitimes signés (PowerShell, mshta.exe, curl, rundll32.exe) — technique LOLBaS 🏭 Industrialisation via MaaS ClickFix est désormais un Malware-as-a-Service (MaaS) mature : ...