Google vient de publier un long rapport technique dans lequel il explique comment il vient de démanteler XCPE, un botnet de plus de 1,3 million d'appareils Android, contenant surtout des box TV, qui sous louaient en douce la connexion de leurs propriétaires à des services de proxys résidentiels et servaient à faire de la fraude publicitaire. Le pire c'est que ce malware n'a pas été ajouté par un pirate mais était implanté directement dans le firmware, posé là par Videostrong, un fabricant chinois qui revendait ensuite l'accès aux box à des affiliés.
Google a donc attaqué en justice les domaines et les serveurs qui pilotaient le botnet, avec la police nationale japonaise et plusieurs entreprises de sécurité, dont Plume, Synthient et TrendAI, puis il a banni Videostrong, ainsi que ses futures filiales, de la fabrication d'appareils Android certifiés. Pour passer les tests de certification, le fabricant avait masqué son code malicieux et attendu ensuite le premier démarrage de l'appareil pour le charger discrétos. La faille a été corrigée par Google depuis...
Mais et les box déjà vendues, alors ?
Hé bien le billet de TrendAI est cash patate, la coupure a privé l'opérateur de ses commandes, mais l'implant reste sur chaque box / TV, et son nettoyage passe par le fabricant, par la plateforme ou par le remplacement de l'appareil. Le propriétaire n'a pas la main !! D'après Google, x.cpe tourne avec les droits système depuis la partition firmware et, si on le désinstalle, il se réinstalle tout seul au redémarrage depuis la partition /oem, donc autant dire que les propriétaires de ces appareils l'ont dans l'os.
Car sans pilote au manettes, ça ne veut pas dire que le malware est devenu inoffensif. En effet, Plume a épluché le code et les ordres circulent en MQTT sans chiffrement, donc n'importe qui capable de publier une commande peut la faire exécuter par la box. Et comme le contrôle de mise à jour passe en HTTP avec un fichier XML non signé, celui qui détourne le DNS du serveur peut alors prendre la main sur l'appareil easy... Quand au module LinkFog présent sur les TV, celui-ci relance ses tâches tout seul au redémarrage, sans attendre le serveur. Puis surtout, ce genre d'opérateur mafieux est tout a fait capable de reconstruire son infra ailleurs sous une autre bannière et de récupérer son botnet quasiment intact...
Mais alors comment savoir si votre TV ou Box Android est impactée ? Car aucune marque spécifique n'a été citée comme étant à éviter, puisque Google a trouvé le malware intégré dans de nombreux modèles et marques. Cela représente tout de même 206 modèles répartis dans plus de 170 pays. La liste publiée par Synthient et le rapport de Plume citent par exemple des MECOOL, dont la KM2 et la KM9 Pro, et la Strong Leap-S1, et le parc mêle des appareils AOSP et des appareils certifiés Google, donc la certification ne suffit plus du coup à garantir une box saine.
Côté parade, Plume recommande un reset d'usine complet, parce que des modules ont pu déposer d'autres portes dérobées, alors que Synthient conseille de se débarrasser définitivement de ces box, jugées à haut risque de contenir d'autres malwares. À mon avis, le reset seul ne suffira pas, vu que x.cpe est dans le firmware et pas dans les données, donc l'option déchetterie, c'est aussi ce que je recommanderai malheureusement.
Et côté Google, les mesures annoncées sont la mise en place d'un bannissement du fabricant et des contrôles renforcés pour que ça ne se reproduise pas. On verra si ça a un impact ou si les escrocs trouvent une nouvelle faille dans leur processus de certification.
Breeef, en attendant, Synthient conseille de débrancher les appareils suspects et de changer le mot de passe du Wi-Fi. Si votre box est sur la liste, c'est le minimum, mais vu ce que ça peut faire, moi je ne la rebrancherais pas à votre place...
Source : Krebs on Security
Vous cherchez sur Google (ouais à l'ancienne) comment faire un peu de place sur votre ordi parce que votre disque est déjà plein. Et bizarrement, le premier résultat de recherche c'est une conversation partagée de ChatGPT hébergée sur le vrai site d'OpenAI, avec des étapes bien propres et une commande à coller dans le Terminal afin de libérer un peu d'espace disque.
Sauf que ce tuto, hé bien c'est pas un vrai tuto made in korben.info, non, c'est une conversation avec une IA sur un domaine légitime (chatgpt.com) qui va vous pousser à installer un affreux malware. Et n'allez pas croire que c'est de la science-fiction, c'est exactement ce qu'a vécu une victime dont les analystes de Huntress ont traité l'infection début décembre 2025. La commande présente dans ce tuto a installé AMOS, un voleur de données qui a dérobé son mot de passe admin, les droits root, et s'est incrusté sur l'ordi pour ensuite tout capter.
Source de l'image : Huntress
C'est l'attaquant lui-même qui a créé cette conversation, l'a partagée en mode public et ensuite l'a fait remonter dans Google avec un peu de SEO pour que ça ressorte dans les premiers résultats de recherche. Et la même combine a également été observée sur Grok.
Voilà, donc l'arnaque ici c'est que l'interface est authentique (c'est une vraie conversation), mais ce qu'elle raconte a été forgé par un cyber-escroc.
Et ça ce n'est qu'un exemple de toutes ces attaques boostées à l'IA qui commencent à se multiplier et qui sont très créatives !
Autre exemple, entre avril et juin 2026, dans ce rapport de TrendAI on découvre une campagne de pubs Google qui a d'abord mené vers de fausses pages de téléchargement, puis vers des conversations Claude partagées (dont l'une s'intitulait "Clearing disk space on macOS") et qui aurait fait +2000 victimes. Le scénario est à peu près le même avec un Terminal à lancer, une commande à coller, et le malware MacSync qui s'installe pour voler les "secrets" de l'utilisateur. Heureusement, Anthropic a banni les comptes et désactivé ces conversations dès que l'affaire a été découverte.
Source de l'image : TrendAI
De son côté, ESET , qui surveille énormément toutes ces attaques d'un nouveau genre, regroupe sous le nom d'AI-fix ces pages publiées sur le domaine d'un service d'IA, permettant de diffuser des virus. L'entreprise slovaque est même tombée sur une fausse pub Google Ads pour Homebrew menant à la catastrophe pour tous ceux qui s'aventuraient à recopier les commandes sur leur ordinateur. Apple a heureusement bien réagi de son côté puisque depuis macOS 26.4, le système analyse les commandes collées dans le Terminal avant de les exécuter. Ouf !
Toutefois, Jamf Threat Labs a documenté en avril une variante qui contourne le Terminal à l'aide d'une fausse page "pour récupérer de l'espace disque" (toujours le même sujet "appât") qui ouvre, quand on clique sur un bouton, l'Éditeur de scripts de macOS avec un script vérolé déjà chargé. Comme ça y'a rien à copier, mais juste à lancer... Argh !
Source de l'image : Jamf Threat Labs
Donc le réflexe ne change pas, hein... Si une commande ou un script sort d'une conversation, d'un forum ou d'une page web, même si ça vient de chez ChatGPT (SURTOUT si ça vient de ChatGPT), on ne l'exécute pas sans savoir ce qu'il fait !!
Sous Windows, c'est à peu près le même piège mais via une autre porte d'entrée. Quand vous avez un OS de Microsoft, la page vous demande également de copier et de coller une commande mais cette fois, au choix, dans la fenêtre Exécuter (Windows + R), dans Windows Terminal ou dans PowerShell. Microsoft décrit cette technique, baptisée ClickFix, dans un billet de son blog sécurité . Cette "arnaque" simule même parfois de faux captchas vous incitant à lancer des lignes de commande pour accéder au contenu. Et c'est sûr que quand on a l'habitude de zapper des captchas à la vitesse de l'éclair et qu'on ne connait rien en ligne de commande, la manip est vite faite malheureusement ! Bref, parlez-en autour de vous.
Source :
BleepingComputer
Les pages d'IA servent donc de décor là à tout ça. Push Security a même décrit en mai 2026 une fausse panne de ChatGPT, conçue à l'aide de la fonction de rendu de code et donc hébergée sur chatgpt.com. On n'y voit que du feu et ça renvoyait vers un faux site de téléchargement avec des boutons macOS et Windows histoire de récupérer les bonnes lignes de commande. Parfois, c'est même un GPT personnalisé avec lequel on peut discuter, hébergé sur ChatGPT.com et dont chaque réponse mène à une page qui sert un ClickFix.
Pour les liens renvoyés par les IA, même si c'est moins spectaculaire, ça peut aussi faire des dégâts. Dans ce billet de juillet 2025 , Netcraft raconte par exemple avoir testé un modèle de la famille GPT-4.1 en lui demandant l'adresse des pages de connexion de 50 marques, avec des phrases toutes bêtes du genre "j'ai perdu mon marque-page, où ce que je me connecte sur tel ou tel site".
Et sur les 97 domaines proposés, 34 % n'appartenaient pas à la marque, dont près de 30 % des domaines libres, parqués ou inactifs. Donc forcément récupérables par un escroc...
Et chez Perplexity, une attaque similaire a même été mise en place. Ainsi, quand on lui demandait l'adresse de connexion de Wells Fargo (c'est une banque), le premier lien menait à un faux site sur Google Sites qui captait les identifiants des brebis égarées. Bref, un lien de connexion, soit vous le tapez vous-même, soit vous le gardez au chaud dans vos marque-pages.
Et c'est la même histoire avec le code... Hé oui, par exemple, Netcraft a repéré une fausse API Solana, glissée dans des tutoriels et des dizaines de dépôts GitHub, qui a fini par atterrir dans les suggestions des assistants de code. Du coup, une fois l'API implémentée dans un vrai projet, les transactions partaient vers le portefeuille de l'attaquant. Au moins 5 victimes l'ont copiée dans leurs projets publics, dont certains développés avec des outils d'IA... Donc si votre assistant IA vous propose une API que vous ne connaissez pas, je vous recommande chaudement de la chercher dans la doc officielle avant de l'intégrer.
Reste maintenant le cas des agents, ces IA qui lisent des pages et font des trucs à votre place. En août 2025, Brave a montré , via un proof of concept, qu'un commentaire Reddit, avec des instructions cachées derrière une balise "spoiler", suffisait à retourner la veste de Comet, le navigateur à agent de Perplexity . Dès que l'utilisateur demandait le résumé de la page, il récupérait son adresse e-mail sur Perplexity, déclenchait l'envoi d'un code de login 2FA, le lisait ensuite via Gmail et publiait le tout (email + code) en réponse au commentaire.
Source : Brave
Voilà, donc le réflexe, c'est de ne pas confier votre messagerie à un agent qui lit n'importe quelle page.
Et pour les skills, ces petits modules qu'on greffe à un agent, ESET dit en avoir analysé 900 000, dont 25 000 suspectes et plus de 3 000 clairement malveillantes. C'est pourquoi ils proposent un outil gratuit, l' AI Skills Checker , pour les passer au crible avant leur installation. Après, le minimum avec une skill, c'est au moins de regarder les permissions qu'elle demande et qui l'a écrite.
Quant au bon vieux phishing, hé bien il est juste devenu beaucoup moins cher à fabriquer. Dans une étude sortie fin 2024 , sur 101 participants répartis en quatre groupes, des e-mails de spear phishing entièrement rédigés par IA ont réussi à obtenir 54 % de clics, contre 12 % pour du phishing traditionnel fait par des humains. En fait l'IA permet de viser plus de monde à moindre coût et surtout de personnaliser à grande échelle les contenus de phishing.
Donc dans le doute, si on vous demande de l'argent ou un code, même dans un message impeccable, renseignez-vous avant de cliquer ou de saisir des infos car après, c'est toujours trop tard.
Voilà comme d'hab quand il s'agit de cybersécurité, tout se joue d'abord sur des réflexes à adopter... Mais quand le réflexe est absent, un logiciel peut venir à notre secours et nous servir de filet de sécurité. C'est pour cela qu'ESET propose dans ESET Internet Security une "AI Conversation Security" qui analyse chaque réponse de ChatGPT pour détecter si elle contient des sources douteuses et du code malveillant. Et si elle en trouve, elle vous prévient immédiatement.
Ça passe par une extension pour Chrome, Firefox, Edge et Brave et ça ne fonctionne qu'avec ChatGPT.
La page "Confidentialité et sécurité du navigateur" d'ESET affiche les quatre navigateurs pris en charge : Chrome, Firefox, Edge et Brave.
Je l'ai testé sous Windows 11 avec ESET Smart Security Premium 19 et Edge. La fonctionnalité s'appelle précisément "Sécurité des conversations IA" et pour voir si c'est efficace, j'ai demandé à ChatGPT de me sortir les liens vers un fichier de test EICAR et sa chaîne de caractères dans un bloc de code. Si vous ne connaissez pas EICAR, c'est une suite de caractères inoffensive qu'on utilise pour tester le bon fonctionnement des softs d'antivirus.
Et bien sûr, dans ma conversation, le bloc est passé en rouge avec une icône d'alerte, me disant que, je cite, "Cette réponse contient du code dangereux. Son exécution pourrait mettre votre système ou vos données en danger."
Montage de deux zones d'une même capture : l'infobulle d'ESET et le bloc de code marqué d'une icône d'alerte.
Reste qu'EICAR est un motif que tous les antivirus reconnaissent donc ça prouve que l'alerte fonctionne, mais pas qu'elle est infaillible, donc voyez ça comme un "deuxième regard" sur ce qui se passe dans votre chatbot préféré et pas comme un gilet pare-balles.
Le réglage "Analyse des conversations" dans l'extension d'ESET, ici activé.
Notez que cette fonction arrive aussi dans ESET HOME Security Premium et Ultimate , et dans ESET Small Business Security pour les TPE et les indépendants. Côté agents IA, ces offres d'ESET sont aussi capables de jeter un œil sur ce que l'agent s'apprête à faire, pour repérer ce qui serait louche avant que ça parte définitivement dans vos process. Ouf !
Bref, l'usage de l'IA par les cybercriminels n'aura jamais fini de m'étonner donc soyez très prudents et vigilants. Et n'hésitez pas à vous équiper d' outils comme ceux d'ESET pour assurer vos arrières.
Après tout, nous ne sommes pas infaillibles.
Big Brother is watching you. Mardi, trois agences de renseignement se sont exprimées d’une seule voix. Le National Cyber Security Centre britannique, le FBI américain et l’AIVD néerlandais ont publié une alerte conjointe. Elle vise un logiciel espion utilisé par des hackers liés à l’État iranien. Sa cible : des dissidents, des militants et des journalistes considérés comme des menaces pour le régime de Téhéran. Baptisé Chosen Brick, l’outil se distingue par la patience de ses opérateurs. Ils construisent une relation de confiance avec leur victime, parfois pendant des mois, avant de lâcher le piège.
Le mode opératoire suit toujours le même schéma. Les attaquants contactent leur cible sur WhatsApp ou Telegram. Ils se font passer pour une relation connue, ou parfois pour le support technique de l’application elle-même. La confiance s’installe peu à peu. Puis vient le piège : un fichier à ouvrir, déguisé selon le profil de la victime.
Les enquêteurs ont recensé de faux résultats d’IRM pour une hernie discale, mais aussi de fausses applications imitant Pictory, RunwayML, Norton Antivirus ou encore KeePass. Le logiciel malveillant ne vise que Windows. Une fois lancé, il modifie le registre système pour survivre à chaque redémarrage, et désactive une partie de Microsoft Defender au passage.
Une fois installé, Chosen Brick aspire à peu près tout : contacts, e-mails, messages WhatsApp et Telegram, contenu de l’écran, et même le micro de l’appareil. De quoi reconstituer, selon les mots du NCSC, un véritable « pattern of life » : les habitudes, les déplacements, l’entourage d’une cible. Chaque victime communique avec un bot Telegram qui lui est propre, une précaution qui limite les dégâts si un seul appareil venait à être découvert.
Certaines données volées ont fini publiées sur des sites de fuite pro-iraniens, dans un but de harcèlement. Les agences n’ont pas nommé d’unité précise. Mais les méthodes recoupent celles déjà attribuées par le FBI au ministère iranien du Renseignement (MOIS) en mars dernier. À la même période, Washington enquêtait justement sur le piratage de la messagerie personnelle du directeur du FBI. Le MI5, de son côté, évoquait dès octobre 2025 plus de vingt complots iraniens à visée potentiellement mortelle contre des opposants au régime, y compris hors d’Iran.
Face à une telle menace, les recommandations restent simples : ne jamais installer un logiciel reçu par message, toujours passer par le site officiel de l’éditeur, et garder ses appareils à jour. Les organisations qui emploient des personnes exposées, journalistes ou militants en tête, sont invitées à diffuser l’alerte largement, y compris pour les appareils personnels.
Cette affaire s’inscrit dans un climat de cybersurveillance étatique de plus en plus documenté. Et la crypto elle-même y sert parfois de nerf de la guerre, entre pétrole sanctionné et transactions dissimulées. Reste un constat simple : la meilleure défense contre ce genre d’opération n’est ni technique ni logicielle. C’est la méfiance, entretenue au quotidien, face à un message trop amical envoyé par un inconnu qui se dit familier.
L’article Chosen Brick : le logiciel espion iranien qui se cache dans une fausse IRM pour piéger des dissidents est apparu en premier sur Journal du Coin.
Un CV trop parfait, une caméra qui reste éteinte en plein entretien. Le Japon, les États-Unis, l’Australie et l’Allemagne ont publié jeudi, via sept organismes de police, de cybersécurité et de renseignement, une alerte conjointe sur le groupe de hackers nord-coréens WaterPlum, alias « Contagious Interview ».
Le mode opératoire n’a rien de neuf. Le Journal du Coin documentait déjà en 2025 comment de faux recruteurs ciblaient les chercheurs d’emploi de la crypto avec des méthodes similaires. Ce qui change ici, c’est l’ampleur du bilan : 30 000 appareils infectés, plus de 7 000 wallets vidés, et 10,71 millions de dollars envolés vers Pyongyang en huit mois à peine, de décembre 2025 à juillet 2026.
Le scénario suit un script bien rodé, détaillé dans l’alerte conjointe publiée le 18 septembre par la police japonaise, le FBI et leurs homologues australiens et allemands. Les acteurs de WaterPlum se font passer pour des recruteurs d’entreprises d’intelligence artificielle, de crypto ou de NFT, et proposent à des développeurs freelances un entretien technique ou un test de code.
Pour le réussir, la victime doit télécharger et exécuter un paquet NPM (le gestionnaire de paquets par défaut de Node.js, utilisé par les développeurs pour partager du code) piégé avec l’un des malwares BeaverTail, InvisibleFerret, OtterCookie, OtterCandy ou StoatWaffle. Rien de sophistiqué. Une fois la porte dérobée ouverte, direction identifiants de wallets, clés privées, phrases de récupération et captures d’écran, aspirées vers un serveur de commande contrôlé par le groupe.
Le document liste aussi des détails plus cocasses sur les habitudes de ces pirates. Ils consultent systématiquement des traducteurs automatiques gratuits, s’entraînent à la prononciation japonaise via synthèse vocale, et interrompent toute activité malveillante les jours fériés nord-coréens pour jouer aux jeux vidéo ou regarder du foot à la télévision.
Pour la première fois, la police japonaise a démantelé sur son sol une « laptop farm » (littéralement une ferme d’ordinateurs portables). Un intermédiaire local y héberge et pilote à distance des PC loués à des travailleurs IT nord-coréens. Plusieurs centaines de millions de yens supplémentaires ont transité par ce biais vers l’étranger, selon Jiji Press, qui datait l’annonce du 18 septembre.
L’exchange japonais bitFlyer, lui, a évité le pire de justesse. En mai 2025, un candidat à un poste d’ingénieur affirmait être né en Malaisie et résider en Finlande, avec un CV couvrant une dizaine de langages de programmation et de technologies blockchain. Mais son anglais ne collait pas avec le parcours annoncé. L’entretien vidéo a suffi à éveiller les soupçons, la candidature a été rejetée, et aucun dommage n’a été signalé.
Le document porte un nom de code, l’attribution publique, une doctrine qui consiste à nommer les groupes et agences responsables d’une cyberattaque dans l’espoir d’en dissuader de nouvelles. La NPA et le FBI estiment que WaterPlum et une partie des travailleurs IT nord-coréens opèrent sous le 313e Bureau général du département de l’industrie des munitions, rattaché au Comité central du Parti du travail de Corée, l’organe qui dirige le pays. Ces deux activités, générer des devises étrangères pour le régime et infiltrer au passage des entreprises occidentales pour en voler du code ou des données, obéissent à une seule et même filière.
Le rapport égrène aussi des consignes de bon sens pour les recruteurs et les développeurs freelances. Mieux vaut vérifier un numéro de téléphone en l’appelant, se méfier d’un candidat qui réclame un paiement en cryptomonnaies sur un compte au nom d’un tiers, ou d’un candidat qui regarde sans cesse un second écran pendant l’entretien comme s’il lisait ses réponses.
L’alerte remercie explicitement NTT Security Japan et bitFlyer pour leur coopération. La chasse se joue désormais autant côté entreprises que côté agences gouvernementales.
Le Journal du Coin racontait en août comment un développeur singapourien avait laissé filer 11,8 millions de dollars après un faux entretien LinkedIn, avec les mêmes malwares et le même scénario en trois actes (recruteur, test de code, porte dérobée). Sept organismes de quatre pays donnent enfin un nom et un numéro à cette mécanique. Pyongyang, lui, continuera probablement d’en changer l’emballage.
L’article 7 000 wallets crypto vidés dans 100 pays : Le groupe de hackers nord-coréens WaterPlum inquiète le monde est apparu en premier sur Journal du Coin.
Des pirates ont détourné le compte Reddit vérifié de HBO Max pour lancer une vague de publicités malveillantes, en s'appuyant sur la technique ClickFix pour piéger les utilisateurs Mac et Windows.
Le constructeur Geekom a retiré de ses anciennes pages de support un installeur de pilote réseau que plusieurs moteurs d'analyse classent comme malveillant. Le fichier s'appelle Install_PCIE_Win11_11.10.0720.2022_11222022.exe et il dormait dans l'archive LAN partagée par six mini-PC de la marque : A7, A8, AE7, AE8, AX7 Pro et AX8 Pro.
Le signalement part d'un utilisateur de r/MiniPCs sur Reddit, et du site VideoCardz qui a vérifié lui-même en téléchargeant l'archive directement chez Geekom le 15 août dernier. VirusTotal, FileScan.IO, MetaDefender et YARAify réagissent tous les quatre, ce dernier en remontant même des signatures ClamAV qui nomment la famille Asruex.
Alors c'est déjà un peu chaud d'apprendre ça, surtout si vous avez un PC Geekom mais la problème c'est que ce n'est pas absolument pas une nouveauté !
En effet, le 29 décembre 2024, le propriétaire d'un AE8 explique
sur le forum ComputerBase
qu'il vient de réinstaller Windows, qu'il a pris ses pilotes sur le site du fabricant, et que Defender lui a sorti Trojan:Win32/Asruex.A au décompactage. Il dit ensuite avoir écrit à Geekom pour les prévenir.
20 mois plus tard, Tom's Hardware décrit sur les machines Geekom, des permissions administrateur, des frappes clavier interceptées et une connexion à un serveur de commande, et PCWorld raconte que des attaquants sont venus glisser une backdoor dans le paquet.
Ce fichier est donc bien un paquet Realtek générique, que DriversCloud héberge et redistribue depuis le 25 novembre 2022 et qui s'est fait vérolé ensuite en 2024. Sur l'origine de l'exemplaire qui traînait chez elle, Geekom dit dans son communiqué du 18 août qu'il s'agit d'une ressource obsolète oubliée sur de vieilles pages, mais jamais d'une intrusion.
Donc si vous avez téléchargé et lancé cet installeur LAN depuis une page support d'un de ces six modèles, vous êtes concerné !! Le Windows livré avec la machine n'est pas en cause, du moins d'après Geekom. Supprimez donc l'installeur, lancez un scan complet avec Windows Defender ou votre antivirus préféré, et récupèrez un pilote réseau faible chez Realtek ou directement via Windows Update.
De son côté, Geekom a invoqué la déesse de l'effet Streisand en demandant à VideoCardz de retirer son article mais VideoCardz a dit non évidemment...
Source : PCWorld
Les utilisateurs de Mac ont souvent la réputation d’être un peu mieux protégés contre les logiciels malveillants. Pourtant, les cybercriminels continuent d’imaginer de nouvelles méthodes pour contourner les défenses d’Apple.
C’est précisément le cas de PamStealer, un nouveau malware découvert par les chercheurs de Jamf. Il ne ressemble pas aux voleurs de données classiques visant macOS.
L’attaque se déroule en deux étapes. La première arrive sous la forme d’une image disque qui semble parfaitement légitime. À première vue, tout laisse croire qu’il s’agit du logiciel Maccy. Un gestionnaire de presse-papiers bien connu des utilisateurs de Mac.
En réalité, le fichier contient un script AppleScript spécialement conçu pour lancer la suite de l’infection. Les chercheurs expliquent que cette première phase adopte une approche inhabituelle afin de rester discrète.
Plutôt que de lancer des commandes système comme curl ou zsh pour télécharger sa charge utile, il utilise un téléchargeur autonome basé sur JavaScript for Automation (JXA). Celui-ci exploite directement les interfaces natives d’Objective-C pour récupérer et préparer la charge utile suivante.
Selon les chercheurs de Jamf, cette approche réduit les traces laissées sur le système et complique le travail des outils de sécurité.
Le scénario d’infection repose également sur une manipulation de l’utilisateur. Après avoir ouvert l’image disque, celui-ci est invité à appuyer immédiatement sur la combinaison de touches Commande + R.
Cette action déclenche directement le code malveillant contenu dans le script AppleScript. Elle permet également de contourner le mécanisme com.apple.quarantine de macOS. L’outil chargé d’afficher des avertissements lorsqu’un programme téléchargé depuis Internet tente de s’exécuter.
Ainsi, l’utilisateur croit simplement suivre les étapes normales d’installation du logiciel alors qu’il lance en réalité l’infection.
La première étape installe ensuite sa charge utile dans un faux paquet d’application imitant des composants intégrés à macOS. Selon les échantillons analysés, le malware se déguise par exemple en Finder.app ou en Software Update.app.
Les noms internes utilisés renforcent encore l’illusion, avec des identifiants rappelant ceux des véritables services système. Pour paraître encore plus crédible, l’application reprend même l’icône officielle du Finder tout en fonctionnant entièrement en arrière-plan.
La seconde étape repose sur un exécutable Mach-O destiné aux Mac équipés de processeurs Apple Silicon. Cette partie est écrite en Rust alors que les cybercriminels privilégient habituellement Swift, Objective-C ou Go.
Le programme intègre également un lecteur SQLite. Celui-ci est capable d’accéder directement aux bases de données présentes sur la machine afin de récupérer davantage d’informations sensibles.
L’une des particularités les plus remarquables de PamStealer concerne toutefois la manière dont il vole le mot de passe de connexion. Le malware affiche une fenêtre qui ressemble à une demande d’autorisation parfaitement officielle de macOS.
Le message indique que Maccy souhaite effectuer des modifications et demande simplement le mot de passe de l’utilisateur. Jusque-là, rien d’inhabituel. La différence apparaît ensuite.
PamStealer ne transmet pas immédiatement le mot de passe pour le tester ailleurs. Il le valide directement sur l’ordinateur grâce à l’interface PAM, le système d’authentification intégré à macOS.
Cette méthode évite l’utilisation de commandes classiques comme dscl, security ou osascript, fréquemment exploitées par d’autres malwares. Elle ne crée pas non plus de nouveaux processus susceptibles d’être repérés par les logiciels de sécurité.
Si le mot de passe saisi est incorrect, le programme affiche simplement une nouvelle demande jusqu’à obtenir les bons identifiants. Une fois le mot de passe validé, il est envoyé au serveur contrôlé par les attaquants.
Immédiatement après, un faux message indique que le fichier est endommagé et qu’il ne peut pas être installé. Cette dernière mise en scène vise à détourner les soupçons et à faire croire à un simple problème d’installation.
PamStealer ne s’arrête d’ailleurs pas là. Il cherche également à obtenir un accès complet au disque dur afin d’élargir la quantité de données qu’il peut récupérer.
Son code contient aussi des fonctionnalités destinées à rechercher des informations liées à des comptes Ethereum. Preuve que les actifs numériques figurent parmi les cibles potentielles de cette campagne.
Cet article PamStealer : attention à ce nouveau malware qui déjoue les défenses de macOS a été publié sur LEBIGDATA.FR.
Un ancien député européen chargé d’enquêter sur les abus du célèbre logiciel espion Pegasus aurait lui-même été espionné par l’outil. Difficile d’imaginer un scénario plus ironique.
Il s’agit du journaliste et ancien eurodéputé grec Stelios Kouloglou. Les chercheurs du Citizen Lab, le laboratoire spécialisé dans les droits numériques de l’Université de Toronto, confirment l’attaque.
Selon eux, Kouloglou a été victime de plusieurs intrusions sur son iPhone entre 2022 et 2023. L’homme siégeait alors au sein de la commission PEGA du Parlement européen. Cette dernière a été créée pour enquêter sur les dérives liées à Pegasus et à d’autres logiciels espions utilisés par certains gouvernements européens.
Pour info, Pegasus est vendu aux gouvernements pour lutter contre le terrorisme et la criminalité organisée. Pourtant, de nombreuses enquêtes ont montré qu’il a aussi servi à surveiller des journalistes, des militants, des opposants politiques et d’autres personnalités critiques.
D’après les chercheurs, toutefois, c’est la première fois qu’un membre de cette commission est publiquement identifié comme victime de Pegasus.
Dans le cas de Stelios Kouloglou, le calendrier intrigue particulièrement. Le premier piratage confirmé remonte à octobre 2022. Au moment où la commission européenne échangeait activement des courriels et des SMS pour préparer un rapport très attendu sur les abus de Pegasus dans plusieurs pays. Notamment la Grèce, la Hongrie, la Pologne, Chypre et l’Espagne.
À cette période, Kouloglou se trouvait à l’hôpital pour une intervention chirurgicale programmée. Les chercheurs estiment que les opérateurs du logiciel espion auraient même pu écouter les conversations se déroulant autour de lui pendant son hospitalisation.
Quelques mois plus tard, les 6 et 7 mars 2023, son téléphone a de nouveau été compromis. Il voyageait alors entre Athènes et Bruxelles, en pleine période d’auditions parlementaires précédant la rédaction du rapport final.
Pour l’ancien eurodéputé, difficile de croire à une simple coïncidence. Il estime avoir été ciblé en raison de son rôle au sein de la commission chargée d’enquêter précisément sur Pegasus.
Il confie avoir été profondément choqué en découvrant que toute sa vie numérique avait potentiellement été exposée. Selon lui, il ne s’agissait pas uniquement de discussions professionnelles.
Des souvenirs personnels, des conversations familiales et des moments particulièrement intimes sont concernés.
Les chercheurs expliquent que les attaques ont exploité une faille de sécurité présente dans les iPhone d’Apple. Même si cette vulnérabilité a ensuite été corrigée, le téléphone de Kouloglou n’avait pas encore reçu la mise à jour au moment des faits.
Les pirates ont utilisé une attaque dite « zéro clic », particulièrement redoutable puisqu’elle ne nécessite aucune action de la victime. Aucun lien à ouvrir, aucun fichier à télécharger : le logiciel espion s’installe discrètement et récupère les données sans que son propriétaire ne se doute de quoi que ce soit.
Une fois installé, Pegasus peut accéder à une quantité impressionnante d’informations personnelles. Messages, photos, données de localisation ou encore correspondances privées peuvent être récupérés.
Les chercheurs de Citizen Lab n’ont pas identifié le gouvernement responsable de cette opération. En revanche, ils ont découvert que l’attaque utilisait la même infrastructure déjà observée lors d’une précédente campagne de surveillance visant plusieurs journalistes européens.
Cette réutilisation laisse penser qu’un même client gouvernemental autorisé par NSO Group, l’entreprise israélienne à l’origine de Pegasus, aurait utilisé Pegasus dans plusieurs pays européens. Stelios Kouloglou entend ainsi poursuivre en justice NSO Group,
Cet article L’arroseur arrosé : ce politicien qui enquêtait sur les logiciels espions a lui-même été piraté a été publié sur LEBIGDATA.FR.
En Inde, une nouvelle campagne de phishing exploite de faux avis d’imposition pour infecter les ordinateurs avec des logiciels malveillants. Des genres particulièrement dangereux.
Ce sont les chercheurs de CYFIRMA qui ont repéré cette opération. Celle-ci s’appuie sur un faux site web imitant presque parfaitement les communications officielles de l’administration fiscale indienne.
Le portail frauduleux, hébergé sur un domaine créé récemment, affiche un faux avis d’imposition très crédible. Il reprend des références juridiques, mentionne de prétendues pénalités financières et utilise un ton alarmant pour pousser les destinataires à agir sans réfléchir.
D’après les chercheurs, cette campagne semble motivée par des objectifs financiers plutôt que par une volonté de perturber immédiatement les systèmes ciblés. Son fonctionnement rappelle fortement celui de familles de chevaux de Troie commerciales bien connues, comme XWorm.
Les experts précisent toutefois qu’il est encore trop tôt pour attribuer avec certitude cette attaque à un groupe précis.
Les pirates invitent les personnes qui ouvrent ce faux avis à télécharger une archive ZIP. Ils présentent cette dernière comme un dossier contenant les documents officiels de leur évaluation fiscale.
Une fois décompressée, cette archive révèle une image disque servant à dissimuler la véritable charge malveillante. À l’intérieur se trouve un programme qui lance discrètement un second composant. Un fichier DLL camouflé pour ressembler à un service légitime de Windows.
Les chercheurs expliquent que ce chargeur utilise des techniques de chargement par réflexion. Une méthode conçue pour compliquer la détection par les logiciels de sécurité et rendre les analyses automatisées beaucoup plus difficiles.
Les deux fichiers sont protégés par un outil d’obfuscation connu. Ce qui rend leur inspection encore plus complexe pour les spécialistes de la cybersécurité.
Une fois installé, le malware agit comme un cheval de Troie d’accès à distance (RAT). Il offre aux attaquants un accès permanent et chiffré à l’ordinateur infecté.
Les pirates peuvent alors récupérer des informations sur le système, surveiller l’activité de l’utilisateur, identifier les logiciels de sécurité installés. Ils pourront même télécharger discrètement d’autres composants malveillants si nécessaire.
Toutes les communications avec le serveur des attaquants sont chiffrées. Elles passent par une adresse intégrée au programme, reliée à une infrastructure localisée à Hong Kong.
Tout simplement parce que cette opération dépasse largement le simple cas d’un faux e-mail. Elle s’inscrit dans une stratégie plus vaste consistant à exploiter le stress lié aux déclarations fiscales afin de faire baisser la vigilance des victimes.
CYFIRMA indique que la même architecture de chargement a déjà été observée lors d’attaques menées par des opérateurs de ransomwares. Cette infrastructure pourrait donc être utilisée dans différents types de cyberattaques et dans n’importe quel pays.
Ainsi, pour limiter les risques, les spécialistes recommandent d’utiliser un antivirus régulièrement mis à jour. Le type capable de détecter les comportements suspects des logiciels, et pas seulement les signatures connues.
Ils conseillent également de vérifier toute communication liée aux impôts directement sur les plateformes officielles des administrations concernées. Ils déconseillent donc fortement de cliquer sur les liens présents dans les messages reçus.
Enfin, CYFIRMA invite les organisations à empêcher, autant que possible, l’exécution de fichiers provenant d’archives compressées ou d’images disque. Un mode de diffusion largement exploité par cette campagne malveillante.
Cet article Attention : Ce formulaire d’impôts cache un malware très dangereux a été publié sur LEBIGDATA.FR.
Microsoft affirme avoir identifié un nouveau logiciel malveillant. Baptisé Crypto Clipper, celui-ci est à même de dérober des cryptomonnaies tout en restant particulièrement discret.
Selon Microsoft, ce malware se propage via des clés USB. Il utilise le réseau Tor pour communiquer anonymement avec les serveurs de ses opérateurs. Sa spécialité ? Surveiller en permanence le presse-papiers de l’ordinateur à la recherche d’informations liées aux cryptomonnaies.
Le malware analyse notamment les adresses de portefeuilles et les phrases de récupération. Lorsqu’il repère des données intéressantes, il réalise plusieurs captures d’écran en quelques secondes avant de transmettre l’ensemble à l’attaquant via Tor.
Pour renforcer son anonymat, il s’appuie sur un proxy SOCKS5 qui fait transiter les communications à travers un serveur intermédiaire.
Selon Microsoft, Crypto Clipper se distingue des malwares classiques. Il ne nécessite pas d’installateur traditionnel et ne dépend pas d’un serveur de commande et contrôle exposé via une adresse IP visible.
À la place, il embarque un client Tor portable et fait passer toutes ses communications par un proxy local. Cette approche permet au logiciel malveillant de combiner le vol de données avec des capacités d’exécution de code à distance.
Résultat : ce qui ressemble au départ à un simple outil de vol d’informations devient une porte dérobée légère offrant aux cybercriminels un accès durable aux machines compromises.
Microsoft indique avoir observé la propagation de Crypto Clipper à travers des fichiers .lnk présents sur des clés USB infectées. Derrière ces raccourcis se cache du code exécutable chargé de vérifier si le malware est déjà installé sur l’ordinateur ciblé.
Si ce n’est pas le cas, Crypto Clipper télécharge ses composants via sa connexion Tor. Il renomme ensuite les fichiers présents sur la clé USB avec des appellations ressemblant à celles des documents légitimes. Ce qui complique la tâche des utilisateurs et des analystes en sécurité
L’une des fonctions les plus dangereuses du malware concerne la manipulation du presse-papiers. Car Crypto Clipper recherche les phrases de récupération standardisées de 12 ou 24 mots utilisées pour sécuriser les portefeuilles de cryptomonnaies.
Et il ne se contente pas de les voler. Lorsqu’il détecte une adresse de portefeuille copiée par la victime, il peut la remplacer automatiquement par une autre contrôlée par les attaquants.
Si l’utilisateur ne vérifie pas attentivement l’adresse avant d’effectuer son transfert, les fonds risquent d’être envoyés directement aux cybercriminels.
Alors, les captures d’écran réalisées par le malware, à quoi elles servent ? Eh bien, c’est juste pour fournir davantage de contexte aux attaquants afin d’exploiter plus efficacement les informations récupérées.
Pour Microsoft , Crypto Clipper illustre l’évolution des logiciels malveillants modernes. Malgré sa conception relativement légère et son recours à des scripts, il combine plusieurs techniques particulièrement efficaces.
Communications anonymisées via Tor, surveillance du presse-papiers, captures d’écran ou encore exécution de code à distance. L’entreprise estime que cette combinaison offre aux attaquants des opportunités de gains rapides. Cela leur permet même de conserver un certain contrôle sur les appareils infectés.
Pour ce qui est du comment repérer une éventuelle infection, Microsoft indique que Microsoft Defender Antivirus s’en charge. L’outil peut détecter cette menace sous le nom Trojan:Win32/CryptoBandits.A.
Microsoft Defender for Endpoint, quant à lui, peut repérer certains de ses composants. Ce, grâce à des alertes liées à des processus JavaScript suspects ou à des tentatives d’exfiltration de données via Curl.
Parmi les signes d’une infection, on retrouve l’apparition de processus suspects lancés par des interpréteurs de scripts. L’utilisation inhabituelle d’un proxy local sur localhost:9050 devrait également vous mettre la puce à l’oreille.
De même pour l’exécution de commandes PowerShell destinées à réaliser des captures d’écran. Toutes activités anormales liées à l’inspection du presse-papiers ou au remplacement automatique d’adresses de portefeuilles de cryptomonnaies pourrait également être le signe que votre système est infecté.
Cet article Crypto Clipper : Ce nouveau malware se propage tout seul pour vider vos cryptos a été publié sur LEBIGDATA.FR.
Connexion
