Dans le tour d'horizon de cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium analyse l'évolution récente du logiciel malveillant GIFTEDCROOK. Dans la suite de cet article, l'équipe passe en revue les principales cybermenaces du premier semestre 2025 , sur la base d'un nouveau rapport d'ESET. Enfin, nous examinons comment Jasper Sleet, un acteur malveillant nord-coréen, utilise des télétravailleurs informatiques pour s'infiltrer dans les environnements d'entreprise.
Le logiciel malveillant GIFTEDCROOK passe du statut de « voleur de navigateur » à celui d'outil de collecte de renseignements
Selon Arctic Wolf, le groupe de cyberespionnage UAC-0226 a considérablement amélioré son logiciel malveillant GIFTEDCROOK, faisant évoluer ses fonctionnalités : d’un simple voleur d’informations sur navigateur, il est désormais devenu un outil capable de collecter des renseignements de manière plus étendue. Cette évolution coïncide avec les récents événements géopolitiques, notamment les négociations de paix entre l'Ukraine et la Russie à Istanbul.
Au début de cette année, le CERT-UA d’ a publié un rapport intitulé « » sur GIFTEDCROOK v1, un logiciel conçu pour voler des données de navigateur et utilisé dans le cadre de campagnes ciblant l’Ukraine. Dans « mai 2025 », peu après le début des négociations entre l'Ukraine et la Russie, le programme GIFTEDCROOK v1,2 a été mis en place.
Comment fonctionne GIFTEDCROOK ?
Ce logiciel malveillant est généralement diffusé par le biais de campagnes de spear-phishing. Ces e-mails proviennent d'un hébergeur et utilisent un cadre de politique d'expéditeur (SPF) défini sur « ?« tous » — ce qui affaiblit la capacité de la cible à empêcher l'usurpation d'adresse e-mail.
Arctic Wolf a également observé une deuxième campagne dans laquelle l'e-mail de hameçonnage comprenait une pièce jointe au format PDF contenant un lien qui, au final, installait le logiciel malveillant NetSupport RAT « ».
Présentations des versions de GIFTEDCROOK
- v1,0 : Un programme de vol d'informations basique conçu pour extraire des données du navigateur.
- v1,2 : Introduction du chiffrement des chaînes de caractères et de la possibilité d'identifier et de voler des fichiers en fonction de leur extension. Il cible les fichiers dont le nombre ne dépasse pas 5MB et qui ont été modifiés au cours des 15 derniers jours.
- v1,3 : S'appuie sur les versions précédentes du logiciel malveillant GIFTEDCROOK en combinant le vol de données de navigateur et le ciblage de fichiers. Il utilise une technique de contournement du mode veille pour échapper au sandboxing, cible les fichiers modifiés au cours des 45 derniers jours et exfiltre des données via Telegram. Il prend en charge des navigateurs tels qu'Edge, Chrome et Firefox, et s'adresse aux fichiers dont la taille est inférieure à 7MB.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'évolution de GIFTEDCROOK, qui est passé d'un simple programme de vol d'informations à un outil sophistiqué de collecte de renseignements, témoigne du haut niveau de sophistication et d'adaptabilité dont font preuve les auteurs de la menace UAC-0226.
Comme le souligne à plusieurs reprises Arctic Wolf, cette campagne s'inscrit dans le contexte des récents événements géopolitiques. Les acteurs malveillants ont souvent recours à cette stratégie pour maximiser leur impact et faire progresser leur collecte de renseignements stratégiques. Cela dit, il est probable que les programmes UAC-0226 et GIFTEDCROOK continuent d'évoluer.
Un nouveau rapport révèle une forte augmentation des menaces avancées au cours de l'année H1 2025
ESET a récemment publié « », un rapport sur les menaces portant sur le premier semestre de 2025 , qui met en évidence l'augmentation significative des cybermenaces sophistiquées sur les plateformes de bureau et mobiles. Voici les points clés qui permettent de mieux cerner l'évolution du paysage des menaces :
ClickFix connaît un véritable essor
Autrefois « pratiquement inexistant », ClickFix s'est rapidement imposé comme le deuxième vecteur d'attaque le plus courant après le phishing de type « ».
Il est désormais utilisé pour diffuser toute une série de logiciels de vol d'informations et est exploité tant par des cybercriminels que par des acteurs malveillants liés à des États. Si les utilisateurs de Windows restent la cible principale, les utilisateurs de macOS et de Linux ont également été touchés.
Articles connexes de CTI sur ClickFix
Ce n'est pas la première fois que nous sommes confrontés à cette menace. Découvrez comment cela a évolué dans les précédents résumés du CTI — car pour garder une longueur d'avance, il faut se tenir informé :
- Publié le 25 juin 2025 : Dernières informations sur le rôle de ClickFix dans les opérations de hameçonnage multivectorielles
- Publié le 30 avril 2025 : Ce document explique comment des acteurs originaires de Corée du Nord, d'Iran et de Russie ont utilisé ClickFix pour diffuser des logiciels malveillants par le biais de l'ingénierie sociale
- Publié le 12 mars 2025 : Ce document traite d'une campagne de hameçonnage utilisant SharePoint et l'API Microsoft Graph pour déployer un agent Havoc Demon modifié
- Publié le 26 juin 2024 : Ce rapport met en évidence l'utilisation précoce de ClickFix dans des campagnes de hameçonnage à grande échelle diffusant le logiciel malveillant Vidar Stealer, avec notamment TA571’s activités recensées.
SnakeStealer devient le logiciel de vol d'informations le plus détecté
D'après les données télémétriques d'ESET, SnakeStealer est désormais le logiciel de vol d'informations le plus détecté. Son essor coïncide avec une baisse de 57 % de la détection d'Agent Tesla par , qui est désormais relégué à la quatrième place après avoir occupé auparavant l'une des premières places du classement.
Les mesures de lutte visent Lumma Stealer et Danabot
Outre le suivi des tendances en matière de logiciels de vol d’informations, ESET a également contribué à des opérations visant à neutraliser les logiciels « », « Lumma Stealer » et « Danabot ».
À la suite de l'opération « Lumma Stealer », l'activité a diminué, bien qu'ESET ait constaté des tentatives visant à reconstituer ce logiciel malveillant. Le nombre de détections de Danabot a également diminué, ce qui indique que la désactivation a été couronnée de succès.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
ClickFix a souvent fait l'actualité au cours des dernières semaines et des derniers mois, et le rapport d'ESET montre clairement à quel point il est devenu populaire. Cette hausse de 517 % est significative, d'autant plus qu'elle marque un changement de stratégie de la part des acteurs, qui privilégient désormais l'exploitation du comportement humain plutôt que celle de la technologie.
Le rapport complet d'ESET souligne également la manière dont le paysage des menaces peut s'adapter et évoluer en très peu de temps, et comment celui-ci couvre l'ensemble des appareils, des ordinateurs de bureau aux appareils mobiles, avec des menaces multi-vectorielles.
Jasper Sleet utilise des informaticiens travaillant à distance pour infiltrer des organisations
Microsoft a identifié comme une campagne menée de manière soutenue par l'acteur malveillant nord-coréen Jasper Sleet, qui consiste à se faire passer pour des informaticiens indépendants afin d'accéder aux réseaux d'entreprise. Ces opérations servent les objectifs d’espionnage de la République populaire démocratique de Corée (RPDC) et s’appuient sur des techniques d’ingénierie sociale de type « » pour obtenir des emplois à distance.
Dans le cadre de cette campagne, les informaticiens nord-coréens cherchent à obtenir un emploi à distance, à exercer leurs fonctions et à percevoir un salaire, qui sert souvent à soutenir le régime nord-coréen. Microsoft souligne que ces travailleurs ont postulé à des postes dans un large éventail de secteurs d'activité à l'échelle mondiale.
Création et réutilisation d'identités fictives
Les méthodes de Jasper Sleet consistent notamment à créer ou à usurper des identités, avec CV, adresses e-mail et comptes sur les réseaux sociaux. Les documents et les comptes associés sont adaptés aux exigences spécifiques de chaque offre d'emploi.
Ces profils sont parfois réutilisés dans plusieurs applications. Afin de renforcer leur crédibilité, les professionnels de l'informatique se constitueront également une empreinte numérique — comme des profils GitHub — pour mettre en avant leurs réalisations antérieures.
Utilisation de l'IA pour renforcer la tromperie
Microsoft a constaté que l'IA était utilisée pour enrichir ces profils, notamment par la création de photos de profil, de CV et d'adresses e-mail. Un référentiel public contenait des exemples de ces ressources générées par l'IA, qui semblaient être liées à des informaticiens nord-coréens. Outre les artifices visuels, les employés ont utilisé des outils de modification de la voix basés sur l'intelligence artificielle afin de dissimuler leur identité lors des entretiens et des échanges à distance.
Le rôle des animateurs
Jasper Sleet a commencé à recruter des « accompagnateurs » afin d'aider les professionnels de l'informatique à trouver un emploi et à s'intégrer dans leur nouvelle fonction. Ces accompagnateurs vous aident à ouvrir des comptes bancaires, à acheter des cartes SIM, à vous inscrire sur des plateformes d'emploi et à définir des adresses de livraison pour le matériel.
Outils de persistance et de dissimulation
Afin de conserver son accès et d'éviter d'être détecté, Jasper Sleet utilise des réseaux privés virtuels (VPN), des serveurs privés virtuels (VPS), des services proxy ainsi que des outils de surveillance et de gestion à distance (RMM) pour se fondre dans l'activité de l'organisation et s'y implanter durablement. Microsoft a identifié l'utilisation de JumpConnect, TinyPilot, RustDesk, TeamViewer, AnyViewer et AnyDesk.
Comme on pouvait s'y attendre, ces professionnels de l'informatique tenteront d'éviter tout contact en face à face et s'en tiendront à des échanges à distance afin de ne pas être identifiés.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Microsoft utilise le nom de Jasper Sleet pour « désigner les activités liées au programme nord-coréen de télétravail dans le domaine informatique ». Il surveille également d'autres groupes nord-coréens représentant une menace qui recourent à des tactiques, techniques et procédures (TTP) similaires pour se faire embaucher et mener des opérations connexes.
Les informaticiens nord-coréens sont source de préoccupation depuis plusieurs années, et cette menace ne semble pas près de s'atténuer. Les cybercriminels se rendent de plus en plus compte qu’ils n’ont pas besoin de pirater des systèmes ni de recruter des initiés : se faire embaucher directement au sein d’une organisation peut s’avérer tout aussi efficace.
Microsoft souligne que l'intelligence artificielle aggrave cette menace en rendant plus difficile pour les organisations la détection des acteurs malveillants.
Afin d'aider les responsables de la sécurité à identifier les activités associées et à y répondre, Microsoft met à leur disposition plusieurs outils et fonctionnalités, notamment des actions d'investigation et de surveillance, des alertes Defender et des requêtes de recherche. De plus, son processus d'apprentissage automatique permet de signaler les comptes suspects potentiellement liés à des informaticiens nord-coréens.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
