Le logiciel malveillant MacOS « Cthulu Stealer » vide les portefeuilles de crypto-monnaie, comment le repérer ?

Dans un développement inquiétant pour les utilisateurs de macOS et les détenteurs de crypto-monnaie, les chercheurs en sécurité ont identifié un nouveau malware en tant que service (MaaS) appelé « Cthulhu Stealer ».

Selon un rapport récent de Cado Security, ce malware cible spécifiquement les systèmes macOS, remettant en cause la croyance de longue date selon laquelle le système d'exploitation d'Apple est immunisé contre de telles menaces.

Bien que macOS ait conservé une réputation de sécurité renforcée, on a assisté ces dernières années à une augmentation des malwares ciblant la plateforme d'Apple. Parmi les exemples notables, citons Silver Sparrow, KeRanger et Atomic Stealer. Cthulhu Stealer est le dernier ajout à cette liste croissante, ce qui signale un changement dans le paysage de la cybersécurité pour les utilisateurs de macOS.

Cthulhu Stealer est distribué sous la forme d'un fichier image de disque Apple (DMG), se faisant passer pour un logiciel légitime tel que CleanMyMac, Grand Theft Auto IV ou Adobe GenP, selon le rapport de Cado. Le malware, écrit en GoLang, est conçu pour les architectures x86_64 et ARM. Cette menace fait suite à de récents rapports sur d'autres malwares de vol de cryptomonnaie ciblant les joueurs de Call of Duty.

Lors de son exécution, le malware utilise osascript pour demander aux utilisateurs leur mot de passe système et leurs identifiants MetaMask. Il crée ensuite un répertoire dans « /Users/Shared/NW » pour stocker les informations volées. La principale fonction du malware est d'extraire les identifiants et les portefeuilles de cryptomonnaies de diverses sources, notamment les cookies du navigateur, les comptes de jeu et plusieurs portefeuilles de cryptomonnaies.

Cthulhu Stealer présente des similitudes avec Atomic Stealer, un autre malware ciblant macOS identifié en 2023. Tous deux sont écrits en Go et visent à voler des portefeuilles de cryptomonnaies, des identifiants de navigateur et des données de trousseau. La similitude des fonctionnalités suggère que Cthulhu Stealer pourrait être une version modifiée d'Atomic Stealer.

Le malware est exploité par un groupe connu sous le nom de « Team Cthulhu », qui utilise Telegram pour communiquer. Ils proposent le voleur à louer pour 500 $ par mois dans le cadre d'un modèle de malware en tant que service, avec des affiliés responsables du déploiement et recevant un pourcentage des bénéfices.

Le Malware-as-a-Service est un modèle commercial dans le monde de la cybercriminalité où des logiciels malveillants et des services associés sont vendus ou loués à des clients, généralement à d'autres criminels. Cela permet à des individus ou à des groupes sans compétences techniques avancées de mener des cyberattaques à l'aide d'outils de malware préconfigurés. Les fournisseurs de MaaS proposent souvent une assistance client, des mises à jour et des options de personnalisation, similaires aux services logiciels légitimes.

Toutefois, les développements récents laissent penser que des problèmes existent au sein de l’opération.

Selon le rapport de Cado, des affiliés ont déposé des plaintes contre le développeur principal, connu sous le nom de « Cthulhu » ou « Balaclavv », les accusant de retenir des paiements. Les chercheurs ont noté que cela a conduit le développeur à être banni d'au moins un marché de logiciels malveillants.

Édité par Stacy Elliott.