Cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium se penche sur une nouvelle évolution des familles de logiciels malveillants BeaverTail et OtterCookie. L'équipe se penche ensuite sur trois nouvelles familles de logiciels malveillants liées au groupe COLDRIVER, soutenu par l'État russe. Pour finir, nous terminons par un aperçu général de Vidar Stealer 2,0.
Le célèbre Chollima combine BeaverTail et OtterCookie pour créer un nouveau logiciel malveillant JavaScript
Cisco Talos a mis au jour « », une nouvelle variante des familles de logiciels malveillants BeaverTail et OtterCookie, toutes deux liées à Famous Chollima, un groupe de menaces persistantes avancées (APT) affilié au gouvernement nord-coréen et connu pour cibler fréquemment les demandeurs d'emploi.
Cette dernière campagne implique le déploiement d'un nouveau module JavaScript conçu pour renforcer les capacités et la discrétion du logiciel malveillant.
Module d'enregistrement de frappe et de capture d'écran d'OtterCookie
Les chercheurs de Cisco Talos ont découvert, dans le cadre de la célèbre campagne « Chollima », un module permettant d'enregistrer les frappes clavier et de réaliser des captures d'écran, qui n'avait jamais été signalé auparavant. Ils ont également identifié sur VirusTotal des échantillons d'OtterCookie contenant ce module, provenant du site avril 2025.
Ce module permet d'enregistrer les frappes au clavier, de réaliser des captures d'écran du bureau et d'envoyer ces données au serveur de commande et de contrôle (C2) d'OtterCookie. Le logiciel malveillant enregistre les frappes au clavier et les captures d'écran dans un sous-dossier temporaire avant de les envoyer.
Extension OtterCookie pour Visual Studio Code
Cisco Talos a également découvert une extension de Visual Studio (VS) Code qui tentait d'exécuter OtterCookie. Cette extension se présente comme un outil d'intégration professionnelle. Les chercheurs ne peuvent pas confirmer que cette action soit le fait de cet acteur, mais ils estiment qu'elle pourrait indiquer qu'il expérimente de nouvelles méthodes de diffusion.
Modules OtterCookie supplémentaires
Au cours de ses recherches, Cisco Talos a mis au jour plusieurs modules OtterCookie supplémentaires. Ceux-ci comprennent :
- Module de shell à distance
- Module de téléchargement de fichiers
- Module de vol d'extensions de cryptomonnaie
Le rapport contient plus de détails sur chaque module.
Évolution d'OtterCookie
Le logiciel malveillant OtterCookie est apparu pour la première fois à la fin de l'année 2024. Dans la version « avril 2025 », Cisco Talos a commencé à constater l'ajout de nouveaux modules qui ont transformé ce logiciel malveillant en un système modulaire, alors qu'il était auparavant de conception simple.
Dans l'article « août 2025 », Cisco Talos a identifié la dernière version, désignée sous le nom de v5. Cette version a introduit un module d'enregistrement de frappe et, une fois désobfusquée, a révélé que le code source combinait des éléments d'OtterCookie et de BeaverTail.
Fonctionnalités de BeaverTail
Le code BeaverTail est capable de répertorier les profils et les extensions du navigateur, de télécharger une distribution Python et une charge utile client depuis son serveur C2 , et de désactiver la journalisation de la console avant de charger les modules.
BeaverTail est actif depuis au moins mai 2023. À l'origine, il s'agissait d'un petit programme de téléchargement intégré à des applications JavaScript, qui est ensuite apparu dans des paquets npm malveillants dans le cadre d'attaques visant la chaîne logistique logicielle de type « ».
Ce logiciel malveillant peut également télécharger les modules de charge utile du voleur de données « InvisibleFerret » écrits en Python.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Des groupes APT tels que « Famous Chollima » adoptent désormais les principes du développement agile dans la conception de logiciels malveillants. Cela leur permet d'itérer, de tester et de déployer rapidement de nouvelles fonctionnalités sans avoir à remanier l'ensemble de leur infrastructure, ce qui s'inscrit dans la lignée des pratiques modernes d'ingénierie logicielle.
Le fait que cet acteur continue de recourir au spear phishing et aux faux sites d’offres d’emploi démontre à quel point les auteurs de menaces continuent d’exploiter les faiblesses humaines, ce qui rend d’autant plus essentielles l’ , la sensibilisation des utilisateurs et la formation .
COLDRIVER déploie trois nouvelles familles de logiciels malveillants
Le groupe de veille sur les menaces de Google (GTIG) a récemment mis au jour trois nouvelles familles de logiciels malveillants liées à COLDRIVER, un groupe soutenu par l'État russe. Ce nouveau logiciel malveillant est utilisé dans le cadre de campagnes de hameçonnage ciblées et témoigne d'une accélération du rythme de développement et d'exécution de ce groupe malveillant.
Google a constaté que la réorganisation de cet acteur avait commencé par une nouvelle DLL malveillante appelée NOROBOT. Il a été diffusé via un leurre ClickFix sur le thème du CAPTCHA, accessible à l'adresse , selon un mode opératoire similaire à celui des précédentes attaques COLDRIVER. À l'origine, NOROBOT avait déployé une porte dérobée appelée YESROBOT, mais Google a constaté que l'acteur avait abandonné cette porte dérobée au profit d'une autre, identifiée sous le nom de MAYBEROBOT.
La dernière chaîne d'infection comporte trois composants distincts qui sont diffusés par le biais d'un leurre COLDCOPY ClickFix. Grâce à ce leurre, l'utilisateur est amené à télécharger et à exécuter une DLL via rundll32 après avoir été invité à vérifier qu'il n'est pas un robot.
NOROBOT, YESROBOT et MAYBEROBOT
- NOROBOT (également appelé BAITSWITCH) est une DLL en cours de développement depuis quelques mois. Son objectif principal est d'accéder à l'étape suivante à partir du niveau C2. NOROBOT va récupérer et extraire une installation de Python 3,8 , que Google qualifie d’« élément suspect susceptible d’éveiller les soupçons ». NOROBOT mettra également en place la persistance à l'aide d'une tâche planifiée.
- YESROBOT est une porte dérobée Python qui récupère des commandes depuis son serveur C2. Cela impose que toutes les commandes soient écrites en Python valide, ce qui limite les fonctionnalités et rend son utilisation fastidieuse. Le GTIG n'a recensé que deux occurrences de « YESROBOT » et estime que ce nom a probablement été abandonné au profit de « MAYBEROBOT ».
- MAYBEROBOT (également appelé SIMPLEFIX) ne nécessite pas Python pour s'exécuter et utilise un protocole personnalisé prenant en charge trois commandes : le téléchargement et l'exécution de fichiers, l'exécution de commandes «
cmd.exe », ainsi que l'exécution de blocs PowerShell. Bien qu’il s’agisse d’une amélioration, MAYBEROBOT ne dispose toujours que de « fonctionnalités intégrées minimales ».
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
La capacité de COLDRIVER à s'adapter rapidement à de nouvelles familles de logiciels malveillants témoigne d'un haut niveau d'agilité et de préparation, ce qui laisse supposer qu'il s'agit d'un acteur malveillant disposant de ressources importantes et d'une grande expérience, capable de maintenir un accès persistant.
L'évolution ultérieure de YESROBOT vers MAYBEROBOT témoigne d'un compromis délibéré entre la facilité de déploiement et la flexibilité opérationnelle, ce qui met en évidence la compréhension nuancée qu'a le groupe des techniques d'évasion de la détection et de l'accès à long terme.
Le Vidar Stealer 2,0 fait la démonstration de ses capacités améliorées
Selon Trend Micro, la dernière version de Vidar Stealer 2,0 marque une évolution significative de ce logiciel malveillant de vol d'informations. Cette version intègre des modifications architecturales et des techniques avancées destinées à améliorer les performances, à étendre les capacités de vol de données et à échapper à la détection.
Qu'est-ce que Vidar Infostealer ?
Le logiciel de vol d'informations Vidar est apparu pour la première fois en 2018 ; initialement basé sur le code source du logiciel de vol Arkei, il était connu pour dérober les identifiants de connexion des navigateurs et les portefeuilles de cryptomonnaies.
Depuis sa création, Vidar n'a cessé d'étendre ses capacités. Par ailleurs, dans le cadre d' octobre 2025s, son développeur a annoncé Vidar 2,0 : une refonte majeure visant à améliorer les performances et la capacité à contourner les défenses modernes.
Mises à jour de Vidar 2,0
La version Vidar 2,0 comporte plusieurs modifications, notamment une réécriture complète du code, qui est passé du C++ au C. Le développeur de Vidar affirme également que ce logiciel malveillant intègre désormais un système multithread destiné à « permettre une utilisation extrêmement efficace des processeurs multicœurs », tout en accélérant l'ensemble du processus de collecte de données. Trend Micro a constaté que ce système multithread avancé est capable d'ajuster automatiquement ses performances en fonction des caractéristiques techniques de l'ordinateur de chaque victime, en adaptant de manière dynamique le nombre de threads.
De plus, la nouvelle version de Vidar 2,0 utilise des méthodes de contournement AppBound uniques, telles que des techniques d'injection en mémoire, afin de contourner le chiffrement lié à l'application de Chrome. Ces méthodes s'appliquent également à Chrome, Firefox, Edge et aux autres navigateurs basés sur Chromium.
Un autre changement majeur réside dans l'ajout d'un générateur polymorphe automatique (morpher), ce qui signifie que chaque version du logiciel malveillant est unique et présente des signatures binaires différentes.
Caractéristiques techniques et déroulement de la mise en œuvre de Vidar 2,0
Selon Trend Micro, « le déroulement de l'exécution de Vidar 2,0 révèle une séquence d'opérations soigneusement orchestrée, conçue pour optimiser la collecte de données tout en échappant à la détection grâce à des techniques anti-analyse avancées, un traitement multithread et des mécanismes d'évasion adaptatifs. »
- Initialisation et techniques d'évasion : La phase d'initialisation de Vidar met en place une architecture multithread et applique une technique d'obfuscation du flux de contrôle. Au cours de la phase d'évasion, il effectue des contrôles anti-analyse, tels que la détection des débogueurs, la vérification des délais d'exécution, la validation de la durée de fonctionnement du système et le profilage matériel, afin d'éviter de s'exécuter dans des environnements de type « sandbox ».
- Collecte de renseignements et vol de données : Ensuite, le logiciel malveillant procède à une analyse du système avant de collecter des identifiants et d'autres données sensibles.
- Exfiltration et nettoyage : Vers la fin de l'attaque, le logiciel malveillant réalise des captures d'écran avant de regrouper et d'exfiltrer les données collectées via HTTP multipart afin de les transmettre à son serveur C2, en utilisant des bots Telegram et des profils Steam comme canaux supplémentaires. Ce logiciel malveillant supprime également les fichiers temporaires.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Comme l'explique Trend Micro, la sortie de Vidar 2,0 coïncide avec le déclin d' Lumma Stealer. Cela pourrait laisser entrevoir une stratégie délibérée visant à conquérir des parts de marché au sein de l'écosystème de la cybercriminalité, ce qui met en évidence la dynamique concurrentielle entre les développeurs de logiciels malveillants.
La capacité de ce logiciel malveillant à adapter dynamiquement l'utilisation des threads en fonction des spécifications du système révèle un niveau de gestion des ressources que l'on observe souvent dans les logiciels légitimes, ce qui rend encore plus difficile la distinction entre les comportements malveillants et inoffensifs lors d'une analyse médico-légale.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d' s sur les cybermenaces publiés par :.
