Verdict contre les pirates informatiques de Scattered Spider, les attaques contre les portefeuilles matériels et autres événements de cybersécurité

Nous avons rassemblé cette semaine les actualités les plus importantes du monde de la cybersécurité.

• Les logiciels malveillants exécutés sur macOS ont volé les sessions Telegram et remplacé les portefeuilles cryptographiques.
• Les pirates de Scattered Spider ont été condamnés à une peine de prison pour avoir piraté le système de transport de Londres.
• Environ 300 faux référentiels sur GitHub ont distribué l'infostealer.
• Les États-Unis ont porté plainte contre les opérateurs des sociétés d'hébergement russes Bulletproof Media Land et ML.Cloud.

Les logiciels malveillants exécutés sur macOS ont volé les sessions Telegram et remplacé les portefeuilles cryptographiques

Les experts de SlowMist ont révélé une approche globale pour voler des crypto-monnaies infostealer pour macOS. Selon eux, le malware intercepte les sessions autorisées dans les messageries instantanées et attaque les portefeuilles logiciels et matériels.

Une fois sur l'appareil, le virus a collecté des données confidentielles : mots de passe du trousseau macOS, cookies de Safari, entrées cachées dans Apple Notes, ainsi que bases de données de plus d'une douzaine de portefeuilles cryptographiques et extensions de navigateur.

Comment fonctionne le malware :

• voler des comptes en contournant 2FA. Le virus copie les fichiers de la session Telegram Desktop locale. Ces données permettent aux pirates de se connecter au compte de la victime sur un autre Mac sans saisir de numéro de téléphone, de code SMS ou de mot de passe d'authentification à deux facteurs, puisque le système perçoit la connexion comme la continuation d'une session déjà autorisée ;
• phishing. Le logiciel remplace les applications légitimes de gestion des portefeuilles matériels (Ledger Live et Trezor Suite) par leurs copies exactes. Leur seul objectif est d’inciter l’utilisateur à saisir une phrase de départ.

Selon les experts, les attaquants décryptent les bases de données volées hors ligne à l'aide de mots de passe extraits d'un Mac infecté.

Le voleur d'informations ciblait les portefeuilles Exodus, Atomic, Electrum, Wasabi, Monero, ainsi que les clients de nœuds complets (Bitcoin Core, Litecoin Core, Dash Core et Dogecoin Core).

SlowMist a exhorté les utilisateurs qui soupçonnent que leur Mac a été compromis à mettre immédiatement fin de force à toutes les sessions actives dans les paramètres Telegram, à se reconnecter et à modifier les mots de passe. Pour sauvegarder les actifs cryptographiques, les experts ont conseillé de générer une nouvelle phrase de départ sur un appareil propre et d'y transférer de toute urgence tous les fonds.

Les pirates de Scattered Spider emprisonnés pour avoir piraté le système de transport de Londres

Le tribunal a condamné deux membres clés du groupe de hackers Scattered Spider à cinq ans et six mois de prison. Cela a été rapporté par la National Crime Agency (NCA) du Royaume-Uni.

Talha Jubair, 20 ans, et Owen Flowers, 18 ans, ont été reconnus coupables de piratage de l'infrastructure informatique de Transport for London (TfL) en août 2024.

L'attaque contre TfL, qui assure le transport de 8,4 millions de Londoniens, a conduit à une panne à grande échelle : 148 systèmes internes sont tombés en panne et les services ont été désactivés. Composez un trajetcommande de titres de transport à prix réduit, de paiements numériques et d'un système de remboursement. Les 27 000 employés du département ont dû changer leurs mots de passe sur leur lieu de travail.

Les dommages directs et les coûts de restauration de l'infrastructure de TfL se sont élevés à 29 millions de livres sterling. Selon les autorités, si les pirates informatiques parvenaient à arrêter complètement le réseau de transport, l’économie britannique pourrait perdre jusqu’à 56 milliards de livres sterling.

Les deux attaquants ont été arrêtés par la NCA en septembre 2024, deux semaines après le piratage. Lors des perquisitions, non seulement des preuves de l'affaire TfL ont été trouvées sur les appareils de Flowers, mais également des preuves de la préparation de cyberattaques contre les sociétés médicales américaines Sutter Health et SSM Health Care Corporation.

La NCA a qualifié Scattered Spider de « cybermenace la plus grave pour le Royaume-Uni ces dernières années ». Outre l’attaque contre le système de transport, le groupe est accusé de nombreux autres crimes :

• perquisitions dans les commerces de détail. En juillet 2025, la NCA a arrêté quatre autres membres de gangs impliqués dans le piratage de grandes chaînes de vente au détail britanniques, notamment Harrods, Marks & Spencer et Co-op ;
• frais aux États-Unis. En septembre 2025, le ministère américain de la Justice a inculpé Jubair par contumace. Selon l’enquête américaine, de mai 2022 à septembre 2025, il a été impliqué dans le piratage d’au moins 120 réseaux aux États-Unis, dont des infrastructures critiques et des tribunaux ;
• chantage. En seulement un an (d’août 2024 à juillet 2025), Jubair et ses associés ont extorqué plus de 115 millions de dollars aux victimes du monde entier.

Environ 300 faux dépôts sur GitHub ont distribué l'infostyler

Les pirates ont déployé 292 faux référentiels sur GitHub, déguisés en antivirus populaires, utilitaires de développement, services de crypto-monnaie et programmes de jeux. C'est ce qu'ont déclaré les spécialistes d'Arctic Wolf.

Chaque faux référentiel contenait un fichier README avec un lien vers une page de destination de phishing. La page de téléchargement utilisait des modèles dynamiques et ajustait automatiquement sa conception et ses titres pour correspondre à la marque recherchée par la victime.

L'utilisateur était invité à télécharger une archive ZIP dont le contenu était régénéré toutes les minutes pour contourner l'analyse des signatures. À l'intérieur se trouvaient un programme de mise à jour avec une signature numérique WinGUP et une bibliothèque avec le cheval de Troie libcurl.dll. Une fois lancé, le malware se chargeait et s'exécutait exclusivement dans la RAM.

L'analyse a montré que les attaquants ont utilisé une version modifiée du voleur BoryptGrab. Le virus n’a pas tenté de s’implanter dans le système et a volé :

• données de 19 navigateurs et 32 ​​portefeuilles cryptographiques ;
• Telegram local, sessions Steam et jetons Discord ;
• Contenu du Gestionnaire d'informations d'identification Windows ;
• fichiers du bureau et du dossier Documents, si leurs noms sont liés à des mots de passe, des sauvegardes ou des phrases de départ.

Les experts ont identifié une fonctionnalité dangereuse : le malware contourne la protection de Google Chrome en injectant directement du code dans le processus du navigateur.

Les données volées sont archivées et envoyées à un serveur de commande et de contrôle basé en Fédération de Russie. Au moment de la publication du rapport, l’administration GitHub avait supprimé la plupart des référentiels frauduleux.

Les États-Unis ont porté plainte contre les opérateurs de l'hébergement russe Bulletproof Media Land et ML.Cloud

Le ministère américain de la Justice a accusé trois citoyens russes de gérer les services d'hébergement Bulletproof – Media Land et ML.Cloud.

Selon les enquêteurs, leur infrastructure a été utilisée par les plus grands programmes de ransomware, notamment Lockbit, Blacksuit et Play, et a causé des dommages à des organisations du monde entier dépassant les 62 millions de dollars.

L'hébergement Bulletproof a délibérément ignoré toutes les plaintes concernant des activités malveillantes et les demandes des forces de l'ordre de supprimer du contenu. Les attaquants ont utilisé les serveurs Media Land et ML.Cloud pour déployer des serveurs de commande et de contrôle, mener des campagnes de phishing, DDoS-attaques et propagation de logiciels malveillants. De plus, leurs infrastructures étaient situées dans différents pays, notamment aux États-Unis, en Chine, aux Pays-Bas et en Finlande.

Selon l'acte d'accusation, les rôles au sein du groupe criminel étaient répartis comme suit :

• Alexandre Volosovik (connu sur les forums darknet sous le surnom de Yalishanda) – était le propriétaire de l'hébergement Media Land ;
• Ioulia Pankova — possédait ML.Cloud et était également responsable du support juridique et des questions financières ;
• Kirill Zatolokin – était engagé dans la collecte de paiements auprès de cybercriminels.

Les activités du groupe ont touché les résidents d'au moins 20 États américains. Parmi les victimes figuraient des banques, des écoles, des hôpitaux, des agences gouvernementales et des sociétés de médias.

À cet égard, le Département d'État a annoncé une récompense de 10 millions de dollars pour toute information permettant de découvrir les liens de ces individus ou de leurs entreprises avec des gouvernements étrangers, ainsi que pour les données sur leurs activités malveillantes.

En novembre dernier, les États-Unis, le Royaume-Uni et l'Australie avaient déjà imposé de sévères sanctions aux accusés dans cette affaire et à leurs entreprises. En juillet, l’UE a officiellement rejoint les restrictions et a inclus Media Land, ML.Cloud et Alexander Volosovik dans son premier ensemble conjoint de cyber-sanctions contre la Fédération de Russie avec le Royaume-Uni.

L'un des modules de vol d'OkoBot spécialisé dans le vol de phrases de départ

Les experts de Kaspersky Lab ont découvert le framework malveillant OkoBot, qui attaque les utilisateurs de Windows depuis au moins avril 2025. L'un de ses modules, SeedHunter, vise à voler des phrases de départ aux propriétaires de portefeuilles cryptographiques matériels Ledger et Trezor.

Contrairement à la plupart des virus, qui suppriment simplement le logiciel original et le remplacent par une fausse copie, SeedHunter fonctionne de manière plus subtile. Il injecte du code malveillant directement dans les processus internes des applications légitimes Ledger Live et Trezor Suite déjà installées.

Le module analyse les ports USB de l'ordinateur et ne se manifeste que lorsque l'utilisateur connecte physiquement le portefeuille matériel au PC. Dès que le système reconnaît l'appareil, SeedHunter bloque l'interface et affiche une fausse fenêtre au-dessus de l'application d'origine vous demandant de saisir une phrase de départ. Puisque la demande provient du programme officiel, les utilisateurs deviennent moins vigilants.

Selon les experts, OkoBot pénètre dans l'appareil de la victime via des notifications ClickFix frauduleuses dans le navigateur ou des référentiels de chevaux de Troie sur GitHub.

En plus de SeedHunter, le framework contient plus de 20 charges utiles de surveillance malveillantes :

• déploie des tunnels SSH cachés et modifie les fichiers système pour un accès invisible à l'ordinateur ;
• installe des extensions de navigateur cachées (y compris le voleur Rilide) ;
• utilise des enregistreurs de frappe et enregistre secrètement des vidéos d'écran au format MP4 chaque fois que la victime ouvre des gestionnaires de mots de passe (1Password), des portefeuilles locaux (Exodus) ou des onglets avec MetaMask.

Les chercheurs ont enregistré des centaines d’infections dans plus de 25 pays : le Brésil, le Vietnam, le Canada et le Mexique ouvrent la voie. Dans le même temps, les serveurs des attaquants n'attaquent pas les adresses IP de Russie et des pays de la CEI, et des commentaires en russe ont été trouvés dans le code des pages de phishing SeedHunter.

Une étude portant sur 85 portefeuilles cryptographiques basés sur un navigateur a indiqué un suivi, une désanonymisation et une fuite d'adresses.

Les scientifiques du groupe de recherche DistriNet de l'Université catholique de Louvain en Belgique ont analysé 85 portefeuilles cryptographiques populaires basés sur un navigateur avec une audience totale de plus de 35 millions d'utilisateurs dans le Chrome Web Store.

L'audit a montré que l'architecture de la plupart d'entre eux permet aux trackers tiers de relier les adresses des utilisateurs, de suivre leurs mouvements sur le réseau et de désanonymiser leur identité. Les experts ont souligné qu'il ne s'agit pas de vulnérabilités ou de pirates informatiques, mais de fonctions légitimes et de comportement normal des programmes.

Au cours des tests, ils ont identifié trois problèmes clés en matière de confidentialité :

• relier des adresses. 17 portefeuilles ont transmis des données afin que le serveur du fournisseur puisse combiner différentes adresses d'un utilisateur en un seul profil ;
• suivi après la sortie. 36 portefeuilles sur 85 ont révélé leur présence sur des sites Web, formant ainsi une empreinte numérique. Dans le même temps, de nombreuses applications et portefeuilles Web3 ont révoqué l'accès à tort après la déconnexion ;
• désanonymisation via des cadres cachés. Un script de suivi peut charger silencieusement une application Web3 de confiance, obtenir une adresse de portefeuille et l'associer au nom, à l'e-mail ou à l'historique de navigation de l'utilisateur.

Les chercheurs ont informé les développeurs du problème de suivi avant de publier les travaux. Depuis l'été 2026, seuls Coinbase Wallet, Coin98 et Hana Wallet ont apporté des corrections. La plupart des principaux acteurs ont refusé de reconnaître cette vulnérabilité :

• MetaMask a fermé le rapport en double, qualifiant le problème de « problème connu » selon lequel un correctif « briserait trop d'applications Web3 existantes » ;
• Rabby a déclaré que pour qu'une attaque se produise, le script malveillant doit se trouver sur deux sites en même temps, ce qui est « pratiquement impossible », ce qui signifie que « la vulnérabilité n'existe pas » ;
• OKX a reconnu l'exactitude technique des scientifiques, mais a fermé l'application comme étant « informative », car les données ont été divulguées sans vol direct d'argent ;
• Bybit, Backpack et Core ont classé les risques comme faibles ou dépassant la portée de leurs programmes de bug bounty.

Les experts ont recommandé d'ouvrir régulièrement les paramètres de l'extension et d'effacer manuellement la « liste des sites connectés », ainsi que d'utiliser des profils de navigateur isolés pour différentes activités.

Également sur ForkLog :

• L'enquête révèle des lacunes dans la protection des agents d'IA d'entreprise.
• Médias : une fuite révèle les sources de données Suno.
• Summer.fi fermera l'interface après un piratage de 6 millions de dollars.
• Bonzo Lend a perdu 9 millions de dollars en raison d'une attaque contre son oracle des prix.

Que lire ce week-end ?

Dans le nouveau matériel, ForkLog a compris comment l'analyse en chaîne est combinée avec le renseignement open source, quels outils les détectives cryptographiques utilisent et où se situe la frontière entre enquête et surveillance.