Cette semaine, l’équipe CTI (Cyber Threat Intelligence) de Tanium examine trois menaces émergentes qui façonnent le paysage actuel des menaces. Tout d’abord, Katz Stealer, une plateforme de malware en tant que service (MaaS) récemment mise en évidence, gagne rapidement en popularité parmi les acteurs malveillants. Ensuite, la réapparition de Lumma Stealer, un logiciel malveillant connu pour le vol d’informations. Enfin, l’équipe explore NailaoLocker, une variante de rançongiciel ciblant les systèmes Windows.
Katz Stealer : un célèbre infostealer clé en main ciblant les informations d’identification et la cryptographie
SentinelOne a publié un avis sur Katz Stealer, une plateforme MaaS nouvellement émergeante conçue pour exfiltrer les informations d’identification, les données de cryptoportefeuille et d’autres actifs sensibles.
Katz Stealer fournit aux cybercriminels une plateforme personnalisable et conviviale pour le vol de données. La nature « clé en main » du logiciel malveillant, ainsi que ses capacités furtives, ont contribué à son adoption rapide.
Charges utiles modulaires et campagnes axées sur les affiliés
Les affiliés paient pour accéder à un panneau de gestion basé sur le Web qui leur permet de générer des versions personnalisées de logiciels malveillants. Ces versions peuvent être personnalisées en basculant des fonctionnalités telles que les vérifications anti-VM, les modules de vol de données et les formats de livraison. Cette flexibilité, combinée à une interface utilisateur élégante, permet aux acteurs malveillants de lancer et de gérer des campagnes avec un minimum de friction.
Chaîne de livraison et d’exécution fiable
Katz Stealer arrive généralement via des e-mails d’hameçonnage ou des téléchargements trojancés contenant des compte-gouttes JavaScript masqués. Ces compte-gouttes exécutent des commandes PowerShell pour récupérer des fichiers d’image malveillants intégrés avec des charges utiles stéganographiques.
Une fois déployé, le logiciel malveillant élève les privilèges à l’aide du bypass UAC, établit la persistance via des tâches planifiées et échappe à la détection via des vérifications anti-analyse et un creusement des processus.
Capacités complètes de vol de données
Le logiciel malveillant cible un large éventail d’applications et de services. Il extrait les informations d’identification, les jetons et remplit automatiquement les données des navigateurs, recueille des informations des clients de messagerie, de jeu, d’e-mail, FTP et VPN et capture des captures d’écran, de l’audio et de la vidéo. Ses capacités de cryptovol sont particulièrement agressives, recherchant plus de 150 identifiants d’extension de navigateur et artefacts de portefeuille de bureau.
Solution d’injection et de chiffrement du navigateur
En s’injectant dans les processus du navigateur, Katz Stealer peut accéder aux données sensibles via des API exposées. L’analyse technique de SentinelOne détaille également comment le logiciel malveillant contourne les mécanismes de chiffrement conçus pour protéger les informations d’identification stockées et les données de portefeuille.
Communication et exfiltration continue de commande et de contrôle (C2) persistantes
Chaque instance de logiciel malveillant comprend une adresse C2 codée en dur et un ID de campagne. Une fois actif, il maintient une connexion persistante au serveur C2 , exfiltrant continuellement les données actualisées des victimes, soulignant son rôle en tant qu’outil de surveillance et de vol à long terme plutôt qu’un coup ponctuel.
« Katz Stealer n’est pas un infostealer « unique » ; il est conçu pour exfiltrer continuellement les données de la victime. »SentinelOne
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Katz Stealer est le dernier exemple de la façon dont la cybercriminalité devient de plus en plus banalisée et réduit la barrière d’entrée pour les acteurs malveillants.
L’accent mis par Katz Stealer sur les portefeuilles cryptographiques et les informations d’identification stockées par navigateur suggère également que les acteurs malveillants s’adaptent aux piles technologiques d’entreprise modernes pour avoir le plus d’impact possible.
Katz Stealer est désormais largement adoptée parmi les attaquants, ce qui pourrait potentiellement entraîner un afflux d’attaques basées sur les informations d’identification. Cela dit, seul le temps indiquera le succès de cet infostealer dans un paysage inondé d’infostealers.
Lumma Stealer réapparaît avec une puissance plus discrète et modulaire
Suite à un retrait des forces de l’ordre en mai 2025, Lumma Stealer est revenu avec des techniques furtives améliorées et une architecture modulaire, ce qui le rend plus évasif et adaptable à travers divers vecteurs d’attaque.
Trend Micro avertit que cette évolution exige une vigilance renouvelée et des stratégies de défense multicouches.
Perturbation des forces de l’ordre et récupération revendiquée
L’opération de retrait a démonté plus de 2 300 domaines malveillants, séparant la communication entre les machines infectées et l’infrastructure de Lumma.
Cependant, le groupe derrière Lumma a plus tard déclaré sur des forums souterrains que le serveur principal n’était pas confisqué, mais plutôt accessible via une vulnérabilité. Ils ont affirmé que l’accès au serveur était restauré peu de temps après la perturbation.
Reconstruction rapide de l’infrastructure et résurgence opérationnelle
La télémétrie de Trend Micro montre que l’infrastructure de Lumma Stealer a été rapidement réactivée dans les semaines suivant le retrait. Bien que l’activité ait chuté temporairement, elle est rapidement revenue à des niveaux pré-perturbation, signalant un acteur de menace résilient et déterminé.
Changement dans les tactiques d’obscurcissement du réseau
Auparavant, Lumma s’appuyait fortement sur Cloudflare pour masquer ses domaines malveillants. Après le retrait, Trend Micro a observé un pivot stratégique : moins de domaines utilisent désormais Cloudflare, et les opérateurs du logiciel malveillant ont diversifié leur infrastructure sur plusieurs fournisseurs de services pour réduire les risques de détection.
Campagnes post-retrait et innovations de livraison
Des campagnes récentes ont tiré parti de méthodes de livraison trompeuses, y compris de faux outils et la technique ClickFix.
ClickFix en priorité : suivre l’évolution de cette tactique d’ingénierie sociale
ClickFix continue de gagner en popularité en tant que méthode de livraison préférée pour les logiciels malveillants, utilisée à la fois par les cybercriminels et les acteurs parrainés par l’État. L’équipe CTI de Tanium surveille de près son évolution sur plusieurs campagnes. Voici quelques-unes des dernières informations :
• Rogue Tools, ClickFix et BlueNoroff (publié le 25 juin, 2025) : la CTI explore une hausse des campagnes ClickFix impliquant des logiciels malveillants GHOSTPULSE, en notant comment la technique est adoptée par les acteurs nationaux de Corée du Nord, d’Iran et de Russie.
• Deepfakes, ToyMaker IAB et ClickFix (publié le 30 avril, 2025) : CTI détaille comment les attaquants utilisent ClickFix pour fournir un agent Havoc Demon modifié, mettant l’accent sur la dépendance de la technique à l’interaction utilisateur et sa popularité croissante.
• Silk Typhoon, Fake Ransom Notes et ClickFix (publié le 12 mars, 2025) : ce résumé met en évidence une campagne d’hameçonnage de type ClickFix qui exploite SharePoint et l’API Microsoft Graph pour déployer discrètement un agent Havoc Demon modifié.
Lumma Stealer a également été distribué via les référentiels GitHub et les plateformes de réseaux sociaux, mettant en évidence l’agilité de ses opérateurs dans l’exploitation de canaux de confiance pour la propagation des logiciels malveillants.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Le retour de Lumma Stealer souligne la détermination des acteurs malveillants et leur capacité à faire évoluer continuellement leurs tactiques pour contourner les défenses modernes.
Lumma Stealer n’est pas le seul groupe à revenir après avoir été supprimé. Il sert de rappel que, bien que les efforts des forces de l’ordre puissent perturber considérablement les opérations, ils n’éliminent pas toujours la menace.
Comme le souligne Trend Micro, les opérateurs qui se cachent derrière le logiciel malveillant « présentent un risque continu pour les organisations et les individus du monde entier ». La formation à la sensibilisation à la sécurité est essentielle en plus des défenses techniques.
NailoLocker Cheese : une menace sophistiquée pour les systèmes Windows avec décryptage intégré
Les chercheurs de Fortinet ont identifié NailaoLocker, une variante de rançongiciel ciblant Windows surnommée « fromage ». Ce qui le distingue, c’est son utilisation de clés cryptographiques SM2 codées en dur et d’une fonction de décryptage intégrée, une combinaison inhabituelle qui soulève des questions sur sa véritable intention. Peut-il s’agir d’une opportunité rare de récupération ou d’un piège conçu pour induire en erreur les victimes et les chercheurs ?
Livraison fiable via chargement latéral DLL
NailaoLocker arrive sous forme de trio de fichiers :
- Un exécutable légitime (
usysdiag.exe) utilisé pour le chargement latéral DLL - Un chargeur malveillant DLL (
sensapi.dll) - La charge utile de ransomware masquée (
usysdiag.exe.dat)
L’exécution commence lorsque l’attaquant lance l’exécutable légitime, qui charge la DLL malveillante et décrypte la charge utile directement dans la mémoire. Pour minimiser les traces médico-légales, le chargeur libère sa propre mémoire et supprime la DLL après l’exécution.
Commutation de mode et comportement d’initialisation
Le ransomware détermine s’il doit s’exécuter en mode de chiffrement ou de décryptage en comparant une valeur codée en dur à une chaîne spécifique (« XXXX »). Ce commutateur semble être interne, car NailaoLocker ne prend pas en charge les arguments de ligne de commande pour la sélection du mode.
Pendant l’initialisation, il lance une fenêtre de console pour les mises à jour de statut en temps réel et crée un fichier journal (lock.log) pour suivre la progression, indiquant qu’il n’est pas prévu de dissimuler son activité.
Chiffrement multi-thread avec SM2 paires de clés
NailaoLocker utilise une architecture multithread pour maximiser le débit entre les cœurs de processeur. Il chiffre les fichiers à l’aide de AES-256-CBC et ajoute « .locked » aux fichiers affectés, les définissant également comme masqués. L’utilisation par le ransomware de SM2 paires de clés codées en dur, intégrées au format ASN.1 DER, est une fonctionnalité distinctive qui permet à la fois les routines de cryptage et de décryptage.
Mode de décryptage : un chemin de récupération intégré ?
En mode de décryptage, NailaoLocker analyse les répertoires pour détecter les fichiers cryptés et tente de les restaurer à l’aide de la clé privée SM2 intégrée. Bien que cette fonctionnalité puisse offrir un chemin de récupération, Fortinet avertit qu’elle peut également servir de fonctionnalité de décoy ou de test interne.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
La fonction de décryptage de NailaoLocker est très inhabituelle et pourrait suggérer soit une porte dérobée du développeur, soit simplement une tactique pour confondre les analystes et les victimes.
Si les chercheurs en sécurité trouvent comment déclencher de manière fiable le mode de décryptage, ce ransomware pourrait devenir une étude de cas sur la manière dont les erreurs des attaquants peuvent être transformées en victoires pour les défenseurs.
Cette variante de rançongiciel est également unique dans son utilisation d’une paire de clés SM2 intégrées, qui, selon Fortinet, peut toujours être en développement.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
