Piratage des développeurs dYdX, extensions IA pour Chrome avec malware et autres événements de cybersécurité

Nous avons rassemblé cette semaine les actualités les plus importantes du monde de la cybersécurité.

Des pirates ont piraté les comptes des développeurs de l'échange cryptographique dYdX

Les attaquants ont piraté les comptes des développeurs de l'échange crypto décentralisé dYdX et introduit un virus dans les progiciels officiels (npm et PyPI). Le hack a été découvert par des spécialistes de Socket.

Les packages npm et PyPI sont utilisés par les programmeurs pour travailler avec des protocoles d'échange, notamment pour créer des portefeuilles et effectuer des transactions. Avec des milliards de dollars circulant via dYdX, l’ampleur de la menace était extrêmement élevée.

La cible de l’attaque était les phrases de départ des portefeuilles cryptographiques. Dès que le développeur est entré en contact avec la bibliothèque infectée, le virus a copié les clés d'accès et les a envoyées au serveur des pirates. Les attaquants ont utilisé des adresses de sites Web qui étaient visuellement presque impossibles à distinguer des domaines officiels de l'échange.

Pour les développeurs utilisant la version Python du logiciel, la situation s'est avérée encore pire : un cheval de Troie a été installé dans le système pour le contrôle à distance. Le virus était activé en arrière-plan toutes les 10 secondes, permettant aux pirates d'exécuter n'importe quel code sur l'ordinateur de la victime. Cela a permis de voler non seulement de la crypto-monnaie, mais également des mots de passe, des fichiers personnels et également de surveiller les actions des utilisateurs.

Les spécialistes des sockets ont noté que les pirates connaissaient la structure interne du système. Ils cachent le code malveillant au plus profond de fichiers légitimes qui s’exécutent automatiquement.

Après un avertissement des experts, la bourse a confirmé le piratage et a exhorté tous ceux qui ont téléchargé des mises à jour en janvier 2026 à isoler immédiatement leur ordinateur et à transférer de l'argent vers de nouveaux portefeuilles sécurisés.

1/ ANNONCE DE SÉCURITÉ IMPORTANTE — À LIRE SI VOUS AVEZ UTILISÉ DES VERSIONS DE CLIENTS DYDX-V4 HÉBERGÉES SUR PyPI ou NPM.

-dYdX (@dYdX) 29 janvier 2026

Des pirates nord-coréens ont utilisé un nouveau malware macOS pour voler des crypto-monnaies

Les pirates nord-coréens mènent des campagnes personnalisées utilisant des vidéos générées par l'IA pour diffuser des logiciels malveillants aux utilisateurs de crypto. Des experts Mandiant l'ont rapporté.

L'objectif des attaquants est le gain financier, comme l'indique l'ensemble des outils utilisés dans l'attaque contre la société de technologie financière anonyme. Selon Mandiant, au cours des travaux, les chercheurs ont découvert sept familles différentes de logiciels malveillants pour macOS et en ont attribué la paternité au groupe UNC1069, qu'ils surveillent depuis 2018.

La victime a été contactée via Telegram depuis le compte piraté du patron d’une société de cryptomonnaie. Après avoir établi une relation de confiance, les pirates ont envoyé un lien vers Calendly, qui redirigeait la victime vers une fausse page de réunion Zoom hébergée sur l'infrastructure des attaquants.

Selon la victime, les pirates ont montré une vidéo deepfake du PDG d’une société de cryptographie. Lors d’un appel vidéo, l’attaquant a simulé des problèmes de son. Sous ce prétexte, il a expliqué à la victime comment « corriger les erreurs » en exécutant des commandes qui ont déclenché une chaîne d’infection pour Windows et macOS.

Les pirates ont ensuite déployé successivement sept familles différentes de malwares :

• WAVESHAPER est une porte dérobée qui s'exécute en tant que service d'arrière-plan, collecte des informations sur le système et charge les modules suivants :
• HYPERCALL – un chargeur pour télécharger des bibliothèques dynamiques malveillantes et les charger directement en mémoire ;
• HIDDENCALL – une porte dérobée qui permet aux pirates d'accéder directement au clavier, d'exécuter des commandes et d'effectuer des opérations avec des fichiers ;
• SILENCELIFT est une porte dérobée minimaliste qui transmet l'état de verrouillage de l'écran au serveur du pirate informatique et peut intercepter les messages dans Telegram si vous disposez des droits root ;
• DEEPBREATH est un outil de vol de données. Il contourne la sécurité macOS, vole le contenu du trousseau numérique, les données du navigateur, Telegram et Apple Notes ;
• SUGARLOADER – un chargeur qui utilise une configuration cryptée pour obtenir la charge utile des prochaines étapes ;
• CHROMEPUSH est un outil d'exploration de données de navigateur qui se déguise en extension Google Docs hors ligne et intercepte les frappes au clavier, les cookies et prend des captures d'écran.

Mandiant a noté que les familles SILENCELIFT, DEEPBREATH et CHROMEPUSH représentent un tout nouvel ensemble d'outils de regroupement. Les chercheurs ont qualifié d'« inhabituel » qu'un tel volume de logiciels malveillants soit déployé sur un hôte contre une seule personne.

Cela confirme que l'attaque était hautement spécialisée et visait à collecter un maximum de données à deux fins : voler de la cryptomonnaie et préparer de futures campagnes en volant l'identité et les contacts de la victime.

Des extensions AI Chrome contenant des logiciels malveillants ont été installées par 300 000 utilisateurs

Plus de 260 000 utilisateurs ont installé 30 extensions d'IA malveillantes pour Chrome. Cela a été rapporté par des chercheurs de la plateforme de sécurité du navigateur LayerX.

La campagne découverte se fait passer pour des assistants IA pour voler les informations d'identification, le contenu des e-mails et les informations de navigation.

Il a été établi que toutes les extensions analysées font partie du même réseau frauduleux, puisqu'elles communiquent avec l'infrastructure sur un seul domaine.

Selon les chercheurs, l'extension la plus populaire de la campagne était Gemini AI Sidebar (80 000 utilisateurs), qui a déjà été supprimée du magasin. Cependant, BleepingComputer a constaté que d'autres extensions avec des milliers d'installations sont toujours présentes dans le référentiel Google :

• Barre latérale IA – 70 000 utilisateurs ;
• Assistant IA – 60 000 utilisateurs ;
• ChatGPT Translate – 30 000 utilisateurs ;
• IA GPT – 20 000 utilisateurs ;
• ChatGPT – 20 000 utilisateurs ;
• Google Gemini – 10 000 utilisateurs.

Les 30 extensions ont la même structure interne, la même logique JavaScript et les mêmes autorisations demandées. Ils ne contiennent pas de fonctions IA dans le code. Au lieu de cela, ils téléchargent du contenu à partir d’un domaine distant.

Ce qui est particulièrement dangereux : les développeurs peuvent modifier la logique de l'extension à tout moment côté serveur sans publier de mise à jour. Cette approche vous permet de contourner les vérifications répétées des modérateurs de Google.

En arrière-plan, les extensions récupèrent le contenu des pages que vous visitez, y compris les pages de connexion sensibles :

• Espionnage Gmail. 15 extensions ciblent spécifiquement les données de messagerie de Google. Le script lit le texte des lettres directement depuis le navigateur et peut même intercepter les brouillons ;
• fuite de données. Lors de l'utilisation de fonctions telles que « rédiger une réponse avec l'IA », le texte de la lettre est envoyé à des serveurs tiers d'attaquants, dépassant le contour sécurisé de Gmail ;
• écoutes téléphoniques Le logiciel dispose également d'une fonction de reconnaissance vocale qui s'active à distance. Selon les autorisations, il peut enregistrer les conversations de l'utilisateur.

BleepingComputer a contacté Google pour commentaires, mais la société n'avait pas répondu au moment de la publication. Les experts ont recommandé de vérifier la liste des indicateurs de piratage de LayerX, de supprimer immédiatement l'extension et de modifier les mots de passe.

Des habitants du Connecticut accusés d'avoir volé 3 millions de dollars

Deux citoyens du Connecticut ont été accusés de fraude utilisant des plateformes de jeu et d'usurpation d'identité. Le ministère américain de la Justice le rapporte.

Selon l’acte d’accusation, d’avril 2021 à 2026, les co-conspirateurs ont volé 3 millions de dollars en utilisant l’identité usurpée d’environ 3 000 victimes.

Les escrocs ont agi selon l'algorithme suivant :

• achat de données. Ils ont acquis les informations personnelles de milliers de personnes sur les marchés du darknet et sur la messagerie Telegram ;
• création de compte : en utilisant les données, ils ont ouvert des milliers de faux comptes sur des plateformes comme FanDuel, DraftKings et BetMGM ;
• vérification des données. Les accusés se sont inscrits à des services de vérification des antécédents (TruthFinder, BeenVerified) pour répondre aux questions de sécurité relatives à la vérification des comptes ;
• automation. L'un des suspects conservait une feuille de calcul contenant les noms, dates de naissance, adresses, e-mails et numéros de sécurité sociale des victimes.

« Je regardais simplement une liste de numéros de sécurité sociale et j'utilisais la recherche inversée de numéros de téléphone dans l'application Scam Shield. »a écrit l'accusé Amita Kapoor dans un message texte au complice Siddharth Lillani.

S'il y avait une correspondance, l'attaquant créait un compte. Dans certains cas, cela a été possible sans vérification supplémentaire par le service BeenVerified.

Le but de ce programme était de recevoir des bonus promotionnels offerts par les bookmakers sur votre premier dépôt ou pari. Si un tel pari était gagné, les prévenus transféraient les fonds sur des cartes virtuelles prépayées, puis sur leurs comptes personnels.

Microsoft a corrigé l'exécution de code à distance dans le Bloc-notes de Windows 11

Microsoft a corrigé une vulnérabilité critique dans le Bloc-notes pour Windows 11 qui pourrait permettre aux pirates d'exécuter des programmes locaux ou distants. Pour ce faire, il suffisait aux attaquants de tromper l'utilisateur pour qu'il clique sur un lien spécialement préparé au format Markdown, rapporte BleepingComputer.

Avec la sortie de Windows 11, Microsoft a décidé d'abandonner l'éditeur WordPad et de moderniser le Bloc-notes. Il a été réécrit à partir de zéro, en ajoutant la prise en charge de Markdown. Cela permettait aux utilisateurs de formater le texte et d'insérer des liens cliquables directement dans les fichiers texte (.md).

Selon les médias, le problème résidait dans la mauvaise gestion des éléments spéciaux dans les commandes. Un pirate informatique pourrait créer un fichier Markdown avec des liens malveillants en utilisant des protocoles tels que file:// (chemin d'accès au fichier exécutable) ou ms-appinstaller:// (installation de l'application).

Après l'avoir ouvert dans le Bloc-notes dans les versions antérieures (y compris 11.2510) en mode Markdown, le texte était affiché sous forme de lien. Après avoir cliqué dessus avec la combinaison de touches Ctrl+clic, le logiciel a automatiquement lancé le fichier ou le protocole spécifié. Le principal danger était que le code était exécuté dans un environnement utilisateur sûr, avec les mêmes droits d'accès, et que Windows n'affichait pas l'avertissement standard concernant l'exécution d'un fichier potentiellement dangereux.

Les chercheurs en sécurité ont découvert qu'il était possible de créer des liens même vers des fichiers situés sur des ressources réseau distantes. Une fois le correctif publié, si vous essayez de cliquer sur un autre lien, le Bloc-notes affiche une boîte de dialogue d'avertissement.

Également sur ForkLog :

• Des radiations massives ont renforcé le monopole de Monero sur le darknet.
• Le gagnant du concours d'un million de dollars de X était soupçonné de plusieurs ragpools.
• Huit ans de prison et paiement de 7,5 millions de dollars : le tribunal a condamné l'ancien patron de SafeMoon.
• Les experts ont évalué les règles adoptées en Russie pour la saisie des crypto-monnaies.
• Le fondateur de FTX a accusé l’administration de Joe Biden de persécution politique.
• En Corée du Sud, une enquête a été ouverte contre Bithumb après la « distribution » de bitcoins.
• Tether a gelé 544 millions de dollars de fonds illicites à la demande de la Turquie.

Que lire ce week-end ?

Dans un nouveau document, ForkLog, en collaboration avec l'équipe du mélangeur Bitcoin Mixer.Money, a examiné à quoi conduisaient les fuites de données et que faire pour minimiser les risques.