Nous avons rassemblé cette semaine les actualités les plus importantes du monde de la cybersécurité.
- Le cryptoclipper s'est propagé en utilisant une fausse réputation sur GitHub et YouTube.
- Le ver USB s'est propagé via des raccourcis Windows cachés pour voler des crypto-monnaies.
- Les autorités sud-coréennes chargées de l'application des lois ont démantelé un réseau de blanchiment de cryptomonnaie pour le compte d'un syndicat cambodgien.
- Des chercheurs ont découvert un nouveau cheval de Troie Android permettant de voler des crypto-monnaies.
Le cryptoclipper a été distribué en utilisant une fausse réputation sur GitHub et YouTube
Un attaquant inconnu a lancé une campagne de distribution de logiciels malveillants à grande échelle en utilisant des techniques de marketing légitimes pour créer une fausse « économie de réputation ». Cela a été rapporté par les spécialistes de Check Point Research.
Le but ultime des attaques est d'infiltrer cryptoclippers sous le couvert d'outils de trading dans les écosystèmes Solana et Pump.fun, ainsi que de logiciels de prédiction des résultats des paris.
Selon les experts, le clipper lui-même est écrit en langage Rust et est destiné aux systèmes d'exploitation Windows et macOS. Le malware surveille secrètement et en permanence le presse-papiers de l'appareil. Lorsqu'une adresse de portefeuille de crypto-monnaie copiée est détectée, le logiciel la remplace instantanément par les détails de l'attaquant, redirigeant ainsi les actifs numériques.
Pour inspirer confiance aux victimes – principalement des investisseurs en crypto et des joueurs en ligne – le pirate informatique a construit une infrastructure multiplateforme complexe de « réseaux fantômes ». Les analystes ont enregistré une activité coordonnée sur la plateforme VirusTotal : un groupe de faux comptes ont laissé en masse des commentaires positifs et des likes afin de classer à tort les fichiers malveillants comme sûrs.
Une manipulation similaire des métriques est utilisée sur d’autres ressources :
- GitHub et SourceForge. L'attaquant gère un réseau de comptes pour la promotion mutuelle des référentiels. Sur SourceForge, le nombre de téléchargements a été artificiellement gonflé à 44 000 à l'aide d'une ferme d'appareils Android ;
- YouTube. Une chaîne comptant plus de 91 000 abonnés est utilisée pour faire la publicité du logiciel. Les vidéos de formation sont créées à l’aide de générateurs vocaux d’IA et sont accompagnées de commentaires positifs exagérés ;
- Médias. Pour légitimer l'outil, le hacker utilise des services de diffusion de communiqués de presse (par exemple EIN Presswire), dont les publications sont ensuite automatiquement republiées par les sites d'information partenaires.
Les chercheurs de Check Point ont souligné que la manipulation des plateformes de crowdsourcing indique un changement dangereux dans les tactiques d’ingénierie sociale. Un système testé avec succès et améliorant la réputation sur plusieurs plates-formes pourra à l'avenir être utilisé pour la distribution massive de ransomwares et de voleurs d'informations plus complexes.
Un ver USB s'auto-propage via des raccourcis Windows cachés pour voler des crypto-monnaies
Les experts de Microsoft ont révélé les détails d'une campagne de distribution de logiciels malveillants auto-répliquants destinée aux propriétaires de crypto-monnaie.
Le processus d'infection est activé lorsque la victime ouvre un fichier de raccourci modifié (.LNK) sur une clé USB. Une fois lancé, le ver installe secrètement des charges utiles supplémentaires à partir d'un serveur de commande et de contrôle situé dans la zone du domaine .onion.
Le malware analyse le système local à la recherche de documents utilisateur. Après les avoir détectés, le programme masque les originaux et les remplace par des raccourcis malveillants portant des noms identiques. De ce fait, le logiciel est activé à chaque fois que l'utilisateur tente d'ouvrir ses fichiers de travail. Pour se propager, le ver crée une tâche planifiée qui surveille les ports. Dès qu'une nouvelle clé USB est insérée dans l'ordinateur, le virus se copie instantanément sur un support externe.
Le voleur entre dans la phase active uniquement si le « Gestionnaire des tâches » n'est pas exécuté dans le système. Il communique avec le serveur de commande et de contrôle via l'exécutable Tor intégré et surveille le presse-papiers toutes les demi-secondes à la recherche de données sensibles :
- Phrases de départ BIP39 de 12 et 24 mots ;
- Adresses de portefeuille Bitcoin (y compris Legacy, P2SH, Bech32 et Taproot), Ethereum, Tron et Monero.
Lorsqu'une adresse copiée est détectée, le programme la remplace instantanément par les détails de l'attaquant. Pour tromper la victime, l'algorithme sélectionne des portefeuilles dont les symboles initiaux correspondent visuellement à ceux d'origine.
En plus d'intercepter le presse-papiers, le virus prend cinq captures d'écran toutes les dix secondes et les envoie aux pirates informatiques à l'aide de l'utilitaire Curl. Suite à une commande spéciale du serveur, le logiciel peut télécharger et exécuter des scripts JavaScript arbitraires sur la machine infectée.
L'activité de ce ver USB est enregistrée en continu depuis au moins février. Les chercheurs ont souligné que les indicateurs d’infection les plus évidents sont comportementaux et non basés sur la signature. Les principaux « signaux d’alarme » d’un piratage sont une activité suspecte en arrière-plan des processus wscript.exe et cscript.exe, des lancements inattendus de Curl, PowerShell et cmd.exe, ainsi que des connexions réseau non autorisées à localhost:9050 (le port standard du serveur proxy Tor).
Les forces de l'ordre sud-coréennes ont démantelé un réseau de blanchiment de cryptomonnaie pour le compte d'un syndicat cambodgien.
Les forces de l'ordre sud-coréennes ont arrêté 23 suspects en lien avec le blanchiment de fonds pour une organisation de phishing cambodgienne. Rapports de Newsis.
Le projet a été réalisé via un réseau complexe de routage de transactions utilisant à la fois des bourses de crypto-monnaie nationales sud-coréennes et étrangères. Selon l'enquête, de février 2024 à avril 2025, le groupe a déplacé environ 11,1 millions USDT.
La police a souligné l'ampleur colossale des infrastructures impliquées : les attaquants ont utilisé environ 11 300 comptes différents pour blanchir de l'argent. Ces comptes de transit étaient directement liés à environ 17 millions de dollars de fonds volés que les criminels ont obtenus lors de 265 incidents.
Lors des descentes de police, des produits du crime d'une valeur de 650 millions de won (environ 430 000 dollars) ont été saisis. Dans le même temps, la phase active de l'opération policière n'est pas encore terminée : l'organisateur présumé du groupe est toujours en liberté. Une « notice rouge » d’Interpol a déjà été émise à son encontre, impliquant une recherche internationale et une extradition.
Des chercheurs ont découvert un nouveau cheval de Troie Android permettant de voler des crypto-monnaies
Les chercheurs en sécurité de Zimperium ont découvert un cheval de Troie Android visant à voler des crypto-monnaies.
Selon les analystes, l'arsenal des logiciels malveillants Rokarolla comprend 137 commandes à distance. La boîte à outils vous permet d'intercepter les codes PIN, de lire et d'envoyer des SMS, de manipuler le presse-papiers pour voler des actifs numériques et de désactiver de force les mécanismes de sécurité intégrés du système d'exploitation.
Le logiciel est distribué via des sites Web malveillants se faisant passer pour des installateurs de services populaires tels que TikTok et Google Chrome.
Dans un premier temps, la victime télécharge un programme qui imite visuellement le composant du système Google Play Protect. En utilisant ce déguisement, le compte-gouttes utilise l'ingénierie sociale pour forcer l'utilisateur à lui donner accès à des « fonctionnalités spéciales ». Après avoir reçu l'autorisation, le malware déploie la charge utile principale et la première chose qu'il fait est de désactiver le véritable scanner Play Protect.
Rokarolla télécharge de fausses pages de connexion HTML depuis son serveur pour chaque application active dans la liste cible. Lorsqu’une victime ouvre un portefeuille crypto légitime, le cheval de Troie le recouvre instantanément d’une fausse fenêtre et intercepte toutes les informations saisies.
De plus, une superposition distincte imite exactement l’écran de verrouillage Android standard. Cela permet au logiciel de voler un code PIN, un mot de passe ou un schéma, donnant ainsi aux opérateurs la possibilité de contrôler le smartphone même lorsqu'il est verrouillé. Pour voler de la cryptomonnaie, le cheval de Troie utilise un clipper intégré : il surveille silencieusement le presse-papiers et remplace les adresses de portefeuille copiées par les détails de l'attaquant, redirigeant ainsi les transactions.
Pour surmonter l'authentification à deux facteurs, Rokarolla lit tous les messages SMS sur l'appareil et peut envoyer des messages indépendamment en interceptant les codes bancaires à usage unique. De plus, en se désignant comme application par défaut pour les appels et les SMS, le cheval de Troie est capable de bloquer les appels entrants – ainsi, un appel d'avertissement du système antifraude de la banque ne parviendra tout simplement pas au propriétaire.
Les experts ont souligné que la principale défense contre de telles menaces est une vigilance accrue lors de l'octroi d'autorisations pour les « fonctionnalités spéciales », puisque ce sont elles qui lancent toute la chaîne d'attaque.
Les organisateurs d'escroqueries cryptographiques ont utilisé des coursiers pour collecter de l'argent
Les attaquants ont commencé à embaucher des coursiers pour collecter les fonds des victimes dont les transactions sont bloquées par les systèmes de sécurité bancaires. Une nouvelle tactique utilisée par les opérateurs de programmes de « boucherie de porcs » en crypto-monnaie a été signalée au FBI.
Généralement, ces escroqueries commencent lorsque les escrocs contactent des victimes potentielles via les réseaux sociaux, les sites de rencontres et les messageries instantanées, gagnent leur confiance, puis les attirent dans de faux programmes d'investissement.
Après vous avoir convaincu de retirer de l'argent (par exemple, sous prétexte de « geler » temporairement le compte), les escrocs envoient un coursier à la personne qui leur a fait confiance. Pour l'identification, un mot de passe convenu à l'avance ou un numéro de série d'un billet d'un dollar spécifique est utilisé. Après avoir reçu l'argent, les pirates font semblant d'augmenter le solde du portefeuille virtuel de la victime et recommencent le cycle en exigeant de nouvelles contributions pour payer des « taxes » fictives sur le retrait des fonds.
Selon les données du FBI pour 2025, la fraude aux cryptomonnaies et aux investissements reste la « forme de cybercriminalité la plus destructrice » aux États-Unis : elle représente 49 % de tous les incidents, avec une perte cumulée de 8,6 milliards de dollars.
Une vulnérabilité dans les écouteurs sans fil a permis aux pirates d'écouter les utilisateurs d'iPhone
Apple a publié une mise à jour du micrologiciel pour les écouteurs sans fil Beats Studio Buds qui corrige une vulnérabilité de haute gravité.
La faille, signalée par SentinelOne en janvier, permettait aux attaquants de se connecter secrètement à un appareil et d'utiliser le microphone intégré pour espionner.
Le problème, identifié comme CVE-2025-20701, est lié à une autorisation incorrecte dans le SDK audio Bluetooth du développeur de puces Airoha. La faille permet à un pirate informatique à portée Bluetooth de connecter à distance son casque à l'insu ou sans le consentement de l'utilisateur, à condition que le casque ne soit pas déjà couplé et recherche activement des connexions. La vulnérabilité a été corrigée avec succès dans la mise à jour du micrologiciel Beats version 1B211.
Selon les experts, l'exploit peut être activé via Bluetooth standard ou un protocole à faible consommation d'énergie (BLE) sans aucune authentification. En plus des écoutes téléphoniques, l'attaque donne aux attaquants un contrôle presque total sur l'appareil : elle leur permet de lire et de réécrire la RAM et la mémoire flash des écouteurs. De plus, les pirates peuvent intercepter les relations de confiance établies avec des smartphones précédemment couplés, ouvrant ainsi la voie au développement d’attaques multicouches plus complexes.
Également sur ForkLog :
- Un contrat obsolète sur le réseau Aztec a subi un piratage de 2 millions de dollars.
- Le Kentucky suit l'exemple d'autres États en intentant une action en justice contre Polymarket.
- Le Royaume-Uni va interdire les réseaux sociaux aux enfants de moins de 16 ans.
- La Cour suprême de la Fédération de Russie a reconnu la crypto-monnaie comme objet de vol.
- Bitbank a menacé de bloquer les transactions liées à Polymarket.
Que lire ce week-end ?
Les idées qui changent le monde naissent presque toujours à la périphérie, parmi des personnes que leurs contemporains considèrent comme des excentriques. Dans un nouveau document, ForkLog a compris pourquoi des pionniers comme Jack Parsons restent souvent dans l'ombre des révolutions qu'ils ont réalisées.
Vous avez trouvé une erreur dans le texte ? Sélectionnez-le et appuyez sur CTRL+ENTRÉE