En tête de notre tour d'horizon hebdomadaire sur le renseignement en matière de cybermenaces (CTI), nous nous intéressons à DarkCloud, un logiciel malveillant de vol d'informations en pleine évolution qui utilise des techniques d'évasion avancées et l'exfiltration multicanal pour cibler des données sensibles, notamment des identifiants, des portefeuilles cryptographiques et des fichiers utilisateur.
L'équipe CTI de Tanium se penche ensuite sur la nouvelle alliance formée entre LAPSUS$, ShinyHunters et Scattered Spider, surnommée la « Trinité du chaos ».
Enfin, nous vous présentons un aperçu des modifications et mises à jour récentes apportées au logiciel malveillant WARMCOOKIE.
Le logiciel malveillant DarkCloud cible les données sensibles
Un article récent publié sur eSentire, intitulé « », dévoile les nouvelles fonctionnalités du logiciel malveillant de vol d'informations DarkCloud, notamment la détection des environnements sandbox, le chiffrement VB6-based et la diffusion par hameçonnage.
Selon eSentire, DarkCloud « cible les mots de passe des navigateurs, les numéros de carte bancaire, les cookies, les frappes au clavier, les identifiants FTP, le contenu du presse-papiers, les clients de messagerie, les fichiers et les portefeuilles de cryptomonnaies ». Cette analyse invite les organisations à renforcer la sécurité de leurs e-mails et les défenses des terminaux de type « ».
La campagne de hameçonnage de DarkCloud
En septembre, l'unité de réponse aux menaces (TRU) d'eSentire a identifié une campagne de spear phishing ciblant un client du secteur industriel, destinée à déployer DarkCloud. Ces e-mails de hameçonnage de type « » comportent un objet en rapport avec le secteur bancaire, un corps de message ressemblant à celui d'un message légitime émanant d'un établissement financier, ainsi qu'une pièce jointe au format ZIP censée contenir un message de commande provenant du partenaire du destinataire.
Comment est distribué DarkCloud ?
DarkCloud était auparavant diffusé via un forum de piratage aujourd’hui disparu. Depuis, eSentire a constaté qu’il faisait l’objet d’une promotion via Telegram et un site web trompeur géré par les opérateurs du logiciel malveillant, qui imite un éditeur de logiciels légitime.
Ce site web contient une liste des applications ciblées, notamment des navigateurs web, des clients de messagerie et des outils VPN. Il décrit également bon nombre des fonctionnalités de ce logiciel malveillant, telles qu'un enregistreur intelligent, un panneau de contrôle Web, un outil de capture de fichiers, et bien d'autres encore.
Analyse de DarkCloud
Dans ce rapport, eSentire fournit les informations suivantes concernant le logiciel malveillant DarkCloud :
- L'outil de création de logiciels malveillants DarkCloud exige de ses utilisateurs/opérateurs qu'ils installent l'IDE VB6 afin de « compiler le stub du logiciel malveillant à partir du code source VB6 provenant d'une source locale ». Cela introduit une vulnérabilité qui augmente le risque de propagation de versions non autorisées.
- La dernière version, la v4,2, recueille des informations système via des requêtes WMI et utilise un objet VBScript pour associer les numéros de cartes de crédit volés au type de carte correspondant. Il récupère également les contacts des ordinateurs des victimes pour Thunderbird et d'autres clients de messagerie.
- Pour contourner la détection, le logiciel malveillant compare les processus en cours d'exécution à une liste noire de sous-chaînes et se ferme dès qu'un environnement de test est identifié. Il s'arrête également s'il y a moins de 50 processus en cours d'exécution et vérifie la présence de fichiers spécifiques indiquant la présence d'un environnement virtuel. Pour assurer la persistance, DarkCloud utilise la clé de registre « RunOnce ».
- DarkCloud rassemble les fichiers figurant dans une liste définie de chemins d'accès et d'extensions de fichiers. Il cible également les portefeuilles de cryptomonnaies. eSentire a découvert que DarkCloud prend en charge des méthodes d'exfiltration telles que SMTP, Telegram, FTP et Web Panel.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Le fait que DarkCloud utilise le code VB6 pour le chiffrement et l'exécution est un clin d'œil astucieux. Elle exploite des technologies obsolètes pour échapper aux systèmes de détection modernes, ce qui souligne la nécessité pour les responsables de la sécurité de maintenir une visibilité à la fois sur les vecteurs de menaces anciens et nouveaux.
La stratégie d'exfiltration multicanal de ce logiciel malveillant montre comment les attaquants diversifient leurs méthodes de vol de données afin de contourner les outils traditionnels de surveillance du réseau.
eSentire a développé deux outils destinés à aider les chercheurs en sécurité, dont l'un permet d'extraire la configuration du logiciel malveillant DarkCloud, ainsi qu'un « script IDA basé sur Python qui déchiffre les chaînes cryptées et les commente dans IDA Pro ».
La nouvelle alliance « Trinity of Chaos » cible des secteurs clés
Selon un rapport de Resecurity, une alliance récemment formée entre LAPSUS$, ShinyHunters et Scattered Spider est à l'origine d'une vague mondiale de cybercriminalité visant des secteurs clés tels que les compagnies aériennes, le commerce de détail et les télécommunications.
Cette collaboration marque une évolution vers un écosystème de cybercriminalité fluide, animé par les jeunes, qui mêle rançongiciels, vol de données et manipulation psychologique. On a constaté que ce groupe recourait à la fois à des techniques sophistiquées d'ingénierie sociale et à des tactiques d'extorsion.
Comment LAPSUS$, Scattered Spider et ShinyHunters collaborent
LAPSUS$, Scattered Spider et ShinyHunters sont trois groupes tristement célèbres qui ont chacun connu des succès individuels. Chaque groupe s'est constitué de manière indépendante, mais les chercheurs identifient désormais des liens, des recoupements et des collaborations entre eux.
Sur août 2025, une chaîne Telegram a été repérée, qui regroupait l'identité visuelle et les membres des trois groupes. Ce canal servait à faire miroiter des fuites de données et à promouvoir une nouvelle offre de ransomware en tant que service (RaaS). ShinyHunters avait précédemment confirmé qu’un membre d’ , Scattered Spider , leur avait donné un premier accès à diverses cibles, LAPSUS$ étant également soupçonné de faire partie de cette nouvelle alliance.
These three groups are linked to the English-speaking cybercriminal ecosystem referred to as The Com, which is a “loosely organized network operating more as a cybercrime youth movement, encompassing a broad and constantly shifting range of actors, mainly teens and 20somethings.”
Chevauchements au niveau des méthodes et de l'appartenance
Ces groupes sont connus pour leur utilisation avancée et « » de l'ingénierie sociale, notamment le vishing, le phishing et l'usurpation d'identité du support informatique.
Ils partagent également des techniques communes concernant l'usurpation de carte SIM, le contournement de l'authentification multifactorielle, le vol de données et la sélection des cibles. Ces derniers temps, ces groupes ont mené des actions conjointes visant des organisations dans des secteurs spécifiques.
Resecurity estime que ces chevauchements au niveau des tactiques, techniques et procédures (TTP) ainsi que ces liens indiquent un certain degré de chevauchement opérationnel ou de partage de ressources.
Activité récente
La dernière action en date de ce trio est l'attaque contre Jaguar Land Rover. Parmi les activités récentes, on peut citer des attaques visant des compagnies aériennes, des enseignes de distribution, des opérateurs de télécommunications et des services de police.
ShinyHunters et ses collaborateurs seraient également à l'origine des récentes attaques menées par contre Salesforce. Ces attaques consistaient à exploiter des jetons OAuth d' s pour accéder à des environnements Salesforce. Ces attaques ont conduit les auteurs à diffuser plusieurs lots de données, confirmant ainsi que de nombreuses entreprises internationales figurant au classement Fortune 100 avaient été victimes d'une exploitation.
Le rapport de Resecurity contient davantage de détails sur chaque attaque pour ceux qui souhaitent approfondir le sujet.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
La convergence de LAPSUS$, ShinyHunters et Scattered Spider marque une évolution dangereuse de la cybercriminalité, où les frontières traditionnelles entre les groupes s'estompent au profit d'écosystèmes agiles et collaboratifs, capables de multiplier rapidement les attaques dans tous les secteurs d'activité.
La préférence de l'alliance pour des plateformes cloud telles que Salesforce et Snowflake met en évidence la menace croissante que représentent les acteurs qui ciblent désormais le cœur même de l'infrastructure des entreprises, et non plus uniquement les terminaux ou les réseaux. Le recours à des tactiques d'extorsion sous forme de jeux et de mobilisation du public reflète également une évolution vers la guerre psychologique, qui consiste à tirer parti des réseaux sociaux et de l'opinion publique pour faire pression sur les victimes et amplifier l'impact.
L'activité récente sur les forums consacrés à la cybercriminalité laisse entendre que ce trio a annoncé la fin de ses activités, affirmant avoir atteint ses objectifs. Cependant, un compte du forum RAMP, qui serait géré par ShinyHunters, a récemment revendiqué une nouvelle attaque, ce qui semble indiquer que cette affirmation est fausse.
Le logiciel malveillant WARMCOOKIE continue d'évoluer
Elastic Security Labs suit de près les évolutions et les mises à jour du logiciel malveillant WARMCOOKIE. Ils ont établi que ce programme malveillant faisait actuellement l'objet d'un développement et d'une diffusion actifs. L'une de leurs principales découvertes concerne un certificat par défaut qui semble être utilisé par le backend du logiciel malveillant, ce qui permet probablement de tracer de nouveaux serveurs et de nouvelles infrastructures du réseau C2 .
Le logiciel malveillant WARMCOOKIE est apparu pour la première fois à la mi-2024. Ce logiciel malveillant est diffusé par le biais de campagnes d'hameçonnage, qui ont souvent pour thème le recrutement et contiennent de fausses offres d'emploi. Depuis son apparition, Elastic Security Labs a constaté des évolutions dans la conception de ce logiciel malveillant, qu'il a présentées dans son rapport.
Nouveaux responsables
La dernière variante du logiciel malveillant WARMCOOKIE contient quatre nouveaux modules de gestion qui permettent à l'opérateur de lancer rapidement des fichiers exécutables, des DLL et des scripts.
Elastic constate que la plupart des versions récentes utilisent la fonction d'exécution DLL/EXE et que PowerShell est beaucoup moins souvent utilisé. Quoi qu'il en soit, elles utilisent la même fonction et transmettent des arguments pour chaque type de fichier. Le gestionnaire peut alors créer un dossier dans un répertoire temporaire et enregistrer le contenu du fichier dans un fichier situé dans ce nouveau répertoire.
La bibliothèque de chaînes de WARMCOOKIE
Elastic Security Labs a également constaté que ce logiciel malveillant mis à jour utilise une base de chaînes de caractères qui s'appuie sur des noms d'entreprises légitimes, tant pour les chemins d'accès aux dossiers que pour les noms des tâches planifiées. Cette technique de contournement des mécanismes de défense permet au logiciel malveillant de se déplacer vers des répertoires d'apparence plus légitime.
Contrairement aux variantes précédentes, qui utilisaient des chemins d'accès fixes, les variantes plus récentes disposent d'une liste d'entreprises pouvant servir de chemins d'accès potentiels aux dossiers. Elastic a établi que cette base de données de chaînes de caractères « provient d'un site web servant à évaluer et à trouver des entreprises informatiques et éditeurs de logiciels réputés ».
Autres modifications apportées à WARMCOOKIE
Dans cette nouvelle variante, le paramètre de ligne de commande passe de /p à /u pour déterminer si une tâche doit être créée. Cette variante utilise également deux mutex au lieu d'un seul et bénéficie d'une optimisation améliorée du code.
Le logiciel malveillant WARMCOOKIE comporte désormais un champ « ID de campagne » que les opérateurs peuvent utiliser pour faciliter le suivi des campagnes.
Présentation de l'infrastructure
Elastic a extrait l'infrastructure associée des configurations identifiées, ce qui a permis de mettre en évidence un certificat SSL qui sortait vraiment du lot. Ce certificat serait un certificat par défaut utilisé par le serveur de ce logiciel malveillant.
Bien que la date de validité du certificat semble avoir expiré, les infrastructures, qu'elles soient nouvelles ou réutilisées, continuent d'être initialisées à l'aide de ce certificat. Ainsi, bien qu’il ne s’agisse pas d’une nouvelle infrastructure à proprement parler, il s’agit d’une « reconfiguration des redirecteurs visant à redonner un nouveau souffle à l’infrastructure existante ».
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les familles de logiciels malveillants évoluent souvent, même lorsqu'elles ne font pas l'objet d'une grande couverture médiatique. WARMCOOKIE en est un excellent exemple.
Le fait de donner aux tâches planifiées et aux chemins d'accès aux dossiers des noms d'organisations légitimes n'est pas une pratique nouvelle, mais cela augmente les chances que le logiciel malveillant passe inaperçu et peut compliquer la tâche des défenseurs chargés de l'identifier comme malveillant.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d' s sur les cybermenaces publiés par :.