Nous avons rassemblé les nouvelles de cybersécurité les plus importantes de la semaine.
- Un clipper crypto a été distribué en utilisant une fausse réputation sur GitHub et YouTube.
- Un ver USB s'est auto-propagé à travers des raccourcis Windows cachés pour voler des cryptomonnaies.
- Les forces de l'ordre sud-coréennes ont démantelé un réseau de blanchiment d'argent crypto au service d'un syndicat cambodgien.
- Des chercheurs ont découvert un nouveau trojan Android pour voler des cryptomonnaies.
Un clipper crypto a été distribué en utilisant une fausse réputation sur GitHub et YouTube
Un attaquant inconnu a lancé une campagne de distribution de malware à grande échelle, utilisant des techniques de marketing légitimes pour créer une fausse "économie de réputation." Cela a été rapporté par des spécialistes de Check Point Research.
L'objectif ultime des attaques est de déployer des clippers crypto déguisés en outils de trading dans les écosystèmes Solana et Pump.fun, ainsi que des logiciels pour prédire les résultats des paris.
Selon les experts, le clipper lui-même est écrit en Rust et cible les systèmes d'exploitation Windows et macOS. Le malware surveille discrètement et en continu le presse-papiers de l'appareil. Lorsqu'il détecte une adresse de portefeuille de cryptomonnaie copiée, le logiciel l'échange instantanément contre les détails de l'attaquant, redirigeant les actifs numériques.
Pour gagner la confiance des victimes — principalement des investisseurs en crypto et des joueurs en ligne — le hacker a construit une infrastructure complexe multiplateforme de "Ghost Networks." Les analystes ont enregistré une activité coordonnée sur la plateforme VirusTotal : un groupe de faux comptes a laissé des commentaires et des likes positifs en masse afin de classer faussement des fichiers malveillants comme sûrs.
Une manipulation métrique similaire est également utilisée sur d'autres ressources :
- GitHub et SourceForge. L'attaquant gère un réseau de comptes pour promouvoir croisée des dépôts. Sur SourceForge, le compteur de téléchargements a été artificiellement gonflé à 44 000 en utilisant une ferme de dispositifs Android ;
- YouTube. Une chaîne avec plus de 91 000 abonnés est utilisée pour faire la publicité du logiciel. Les vidéos tutoriels sont créées à l'aide de générateurs de voix IA et sont accompagnées de faux commentaires positifs ;
- Médias. Pour légitimer l'outil, le hacker utilise des services de distribution de communiqués de presse (par exemple, EIN Presswire), dont les publications sont ensuite automatiquement réimprimées par des sites d'actualités partenaires.
Les chercheurs de Check Point ont souligné que la manipulation des plateformes de crowdsourcing indique un changement dangereux dans les tactiques d'ingénierie sociale. Le schéma de gonflement de réputation multiplateforme, testé avec succès, pourrait à l'avenir être utilisé pour la distribution massive de ransomware et de voleurs d'informations plus sophistiqués.
Un ver USB s'est auto-propagé à travers des raccourcis Windows cachés pour voler des cryptomonnaies.
Des experts de Microsoft ont révélé des détails sur une campagne de distribution de malware auto-répliquant visant les détenteurs de cryptomonnaies.
Le processus d'infection est déclenché lorsque la victime ouvre un fichier de raccourci modifié (.LNK) sur une clé USB. Après le lancement, le ver télécharge discrètement des charges utiles supplémentaires depuis un serveur de commande situé dans la zone de domaine .onion.
Le malware scanne le système local à la recherche de documents utilisateur. Lorsqu'il les trouve, le programme cache les originaux et les remplace par des raccourcis malveillants portant des noms identiques. En conséquence, le logiciel est activé chaque fois que l'utilisateur essaie d'ouvrir ses fichiers de travail. Pour se propager, le ver crée une tâche planifiée qui surveille les ports. Dès qu'une nouvelle clé USB est insérée dans l'ordinateur, le virus se copie instantanément sur le support externe.
Le voleur entre dans sa phase active uniquement si "Gestionnaire des tâches" n'est pas en cours d'exécution sur le système. Il établit une connexion avec le serveur de commande via un exécutable Tor intégré et surveille le presse-papiers toutes les demi-secondes à la recherche de données sensibles :
- phrases de graine BIP39 de 12 et 24 mots ;
- adresses de portefeuilles Bitcoin (y compris Legacy, P2SH, Bech32 et Taproot), Ethereum, Tron et Monero.
Lorsqu'il détecte une adresse copiée, le programme l'échange instantanément contre les détails de l'attaquant. Pour tromper la victime, l'algorithme choisit des portefeuilles dont les caractères initiaux correspondent visuellement à ceux d'origine.
En plus de l'interception du presse-papiers, le virus prend cinq captures d'écran toutes les dix secondes et les envoie aux hackers en utilisant l'utilitaire Curl. Sur commande d'un serveur spécial, le logiciel peut télécharger et exécuter des scripts JavaScript arbitraires sur la machine infectée.
L'activité de ce ver USB a été continuellement enregistrée depuis au moins février. Les chercheurs ont souligné que les indicateurs d'infection les plus évidents sont comportementaux plutôt que basés sur des signatures. Les principaux "drapeaux rouges" d'un compromis sont l'activité de fond suspecte des processus wscript.exe et cscript.exe, les lancements inattendus de Curl, PowerShell et cmd.exe, ainsi que les connexions réseau non autorisées à localhost:9050 (le port standard du serveur proxy Tor).
Les forces de l'ordre sud-coréennes ont démantelé un réseau de blanchiment de crypto-monnaie au service d'un syndicat cambodgien.
Les forces de l'ordre sud-coréennes ont arrêté 23 suspects dans une affaire de blanchiment de fonds pour une organisation de phishing cambodgienne. Cela a été rapporté par Newsis.
Le schéma a été réalisé à travers un réseau complexe de routage de transactions utilisant à la fois des échanges de crypto-monnaie sud-coréens et étrangers. Selon l'enquête, de février 2024 à avril 2025, le groupe a déplacé environ 11,1 millions USDT.
La police a souligné l'ampleur colossale de l'infrastructure impliquée : pour blanchir l'argent, les attaquants ont utilisé environ 11 300 comptes différents. Ces comptes de transit étaient directement liés à des fonds volés totalisant environ 17 millions de dollars, que les criminels ont obtenus à la suite de 265 incidents.
Lors des perquisitions policières, des produits criminels d'une valeur de 650 millions de wons (environ 430 000 dollars) ont été saisis. En même temps, la phase active de l'opération des forces de l'ordre n'est pas encore terminée : l'organisateur présumé du groupe est toujours en fuite. Un "avis rouge" d'Interpol a déjà été émis à son encontre, impliquant une recherche internationale et une extradition.
Des chercheurs ont découvert un nouveau trojan Android pour voler des cryptomonnaies.
Des chercheurs en sécurité de Zimperium ont découvert un trojan pour Android visant à voler des cryptomonnaies.
Selon les analystes, l'arsenal du malware Rokarolla comprend 137 commandes à distance. L'ensemble d'outils permet d'intercepter des codes PIN, de lire et d'envoyer des SMS, de manipuler le presse-papiers pour voler des actifs numériques et de désactiver de force les mécanismes de protection intégrés du système d'exploitation.
Le logiciel est distribué via des sites Web malveillants se faisant passer pour des installateurs de services populaires tels que TikTok et Google Chrome.
Dans la première étape, la victime télécharge un programme qui imite visuellement le composant du système Google Play Protect. En utilisant ce déguisement, le dropper utilise l'ingénierie sociale pour forcer l'utilisateur à lui accorder l'accès à "Accessibilité". Ayant obtenu la permission, le malware déploie la charge utile principale et, tout d'abord, désactive le véritable scanner Play Protect.
Rokarolla télécharge des pages d'autorisation HTML fausses depuis son serveur pour chaque application active de la liste cible. Lorsque la victime ouvre un portefeuille crypto légitime, le trojan le superpose instantanément avec une fenêtre factice et intercepte tous les détails saisis.
De plus, un superposition distincte imite exactement l'écran de verrouillage standard d'Android. Cela permet au logiciel de voler un code PIN, un mot de passe ou un schéma clé, donnant aux opérateurs la capacité de contrôler le smartphone même en état verrouillé. Pour voler des cryptomonnaies, le trojan utilise un clipper intégré : il surveille discrètement le presse-papiers et échange les adresses de portefeuille copiées contre les détails des attaquants, redirigeant les transactions.
Pour contourner l'authentification à deux facteurs, Rokarolla lit tous les SMS sur l'appareil et peut envoyer des messages par lui-même, interceptant les codes bancaires à usage unique. De plus, en se définissant comme l'application par défaut pour les appels et les SMS, le trojan est capable de bloquer les appels entrants — ainsi, un appel d'avertissement du système anti-fraude de la banque ne parviendra tout simplement pas au propriétaire.
Les experts ont souligné que la principale protection contre de telles menaces est une vigilance accrue lors de l'octroi des permissions "Accessibilité", car c'est précisément cela qui déclenche toute la chaîne d'attaque.
Les organisateurs de scams crypto ont utilisé des coursiers pour collecter de l'argent liquide.
Les attaquants ont commencé à engager des coursiers pour collecter des fonds auprès des victimes dont les transactions sont bloquées par les systèmes de sécurité bancaire. Le FBI a rapporté cette nouvelle tactique des opérateurs de schémas de "pig butchering" en cryptomonnaie.
En général, ces fraudes commencent par des escrocs contactant des victimes potentielles via des réseaux sociaux, des sites de rencontre et des messageries, gagnant leur confiance, puis les attirant dans de faux schémas d'investissement.
Après avoir convaincu la victime de retirer de l'argent (par exemple, sous prétexte d'un "gel" temporaire du compte), les escrocs envoient un coursier à la personne qui leur a fait confiance. Un mot de passe préalablement convenu ou le numéro de série d'un billet de dollar spécifique est utilisé pour l'identification. Après avoir reçu l'argent, les hackers simulent une augmentation du solde dans le portefeuille virtuel de la victime et recommencent le cycle, exigeant de nouvelles contributions pour payer de faux "impôts" sur le retrait de fonds.
Selon les données du FBI pour 2025, la fraude en cryptomonnaie et en investissement reste la "forme la plus destructrice" de cybercriminalité aux États-Unis : elle représentait 49 % de tous les incidents, avec des dommages totaux de 8,6 milliards de dollars.
Une vulnérabilité dans des écouteurs sans fil a permis aux hackers d'écouter les utilisateurs d'iPhone.
Apple a publié une mise à jour du firmware pour les écouteurs sans fil Beats Studio Buds qui corrige une vulnérabilité de haute gravité.
Le défaut, signalé par des experts de SentinelOne en janvier, permettait aux attaquants de se connecter secrètement à l'appareil et d'utiliser le microphone intégré pour espionner.
Le problème, qui a reçu l'identifiant CVE-2025-20701, est lié à une autorisation incorrecte dans le SDK audio Bluetooth du développeur de puces Airoha. Le défaut permet à un hacker se trouvant à portée Bluetooth de connecter à distance son propre équipement aux écouteurs sans que l'utilisateur ne le sache ou ne donne son consentement — à condition que le casque ne soit pas encore appairé et soit activement à la recherche de connexions. La vulnérabilité a été éliminée avec succès dans la mise à jour du firmware Beats version 1B211.
Selon les spécialistes, l'exploitation peut être activée via Bluetooth standard ou le protocole basse énergie (BLE) sans aucune authentification. En plus de l'écoute clandestine, l'attaque donne aux attaquants presque un contrôle total sur l'appareil : elle permet de lire et d'écraser la RAM et la mémoire flash des écouteurs. De plus, les hackers peuvent détourner les relations de confiance établies avec des smartphones précédemment appairés, ce qui ouvre un vecteur pour le développement d'attaques multi-niveaux plus sophistiquées.
Aussi sur ForkLog :
- Un contrat obsolète dans le réseau Aztec a été piraté pour 2 millions de dollars.
- Le Kentucky, suivant d'autres États, a déposé une plainte contre Polymarket.
- Le Royaume-Uni interdira les réseaux sociaux pour les enfants de moins de 16 ans.
- La Cour suprême de la Fédération de Russie a reconnu la cryptomonnaie comme un objet de vol.
- Bitbank a menacé de bloquer les transactions liées à Polymarket.
Que lire ce week-end ?
Les idées qui changent le monde naissent presque toujours en périphérie — parmi des personnes que leurs contemporains considèrent comme des excentriques. Dans un nouvel article, ForkLog a exploré pourquoi les pionniers, comme Jack Parsons, restent souvent dans l'ombre des révolutions qu'ils ont provoquées.
Source : ForkLog
