https://cyberveille.ch/tags/warden-stealer/ Recent content in Warden Stealer on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Wed, 07 Oct 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-10-07-warden-stealer-un-infostealer-maas-ciblant-les-cles-ia-developpeurs-et-cryptomonnaies/ Wed, 07 Oct 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-10-07-warden-stealer-un-infostealer-maas-ciblant-les-cles-ia-developpeurs-et-cryptomonnaies/ <h2 id="-contexte">🗓️ Contexte</h2> <p>Publié le 7 octobre 2026 sur infostealers.com, cet article analyse <strong>Warden Stealer</strong>, un malware de type <strong>infostealer/clipper/loader</strong> commercialisé en <strong>Malware-as-a-Service (MaaS)</strong> sur le forum dark web <strong>Exploit.in</strong>. Le projet a débuté début 2026 et est disponible publiquement depuis le <strong>21 juillet 2026</strong>.</p> <h2 id="-caractéristiques-techniques-distinctives">🧬 Caractéristiques techniques distinctives</h2> <ul> <li><strong>Protocole de transfert binaire propriétaire</strong> : trafic chiffré, indétectable par les sondes réseau standard (pas de HTTP/JSON)</li> <li><strong>Morphing AST/LLVM multi-niveaux</strong> : altération du binaire à quatre niveaux (PE layout, AST, IR, ASM), rendant les antivirus à base de signatures (Windows Defender, Avast) inefficaces</li> <li><strong>Décryptage côté serveur</strong> : aucune logique cryptographique sur la machine victime, binaire très léger (~350 Ko)</li> <li><strong>Livraison par chunks</strong> : envoi fragmenté des données, sessions liées aux hardware IDs pour éviter les doublons</li> <li><strong>Développé en Rust</strong>, avec assistance de LLMs pour la recherche et le développement</li> </ul> <h2 id="-capacités-et-cibles">🎯 Capacités et cibles</h2> <ul> <li><strong>360+ applications ciblées</strong> dans 13 catégories : navigateurs Chromium/Gecko, Discord, Telegram, Steam, gestionnaires de mots de passe, VPN, clients FTP</li> <li><strong>Ciblage explicite des environnements IA et développeurs (v1.9)</strong> : <ul> <li>Claude Code (Anthropic), Codex CLI, GitHub, SSH Keys</li> <li>Exfiltration de fichiers <code>.claude.json</code> contenant des <code>primaryApiKey</code> et données OAuth</li> <li>Exfiltration de fichiers SSH (<code>config</code>, <code>known_hosts</code>) pour faciliter le mouvement latéral</li> </ul> </li> <li><strong>200+ extensions de portefeuilles crypto</strong> sur 96 réseaux (EVM et non-EVM)</li> </ul> <h2 id="-moteur-de-bruteforce-crypto">💰 Moteur de bruteforce crypto</h2> <p>Warden intègre un <strong>moteur d&rsquo;auto-bruteforce</strong> qui construit dynamiquement un dictionnaire personnalisé à partir des données volées de la victime (mots de passe, emails, historique, autocomplete), applique <strong>490+ règles de mutation</strong> et génère jusqu&rsquo;à <strong>20 millions de candidats par portefeuille</strong>. En quelques jours, le système a scanné <strong>61 700 adresses</strong>, cracké <strong>66% des portefeuilles avec solde</strong>, pour un volume cumulé revendiqué de <strong>plus de 485 000 USD</strong>.</p>