Cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium se penche sur trois menaces émergentes qui façonnent le paysage actuel des menaces. Il y a tout d'abord Katz Stealer, une plateforme de « malware-as-a-service » (MaaS) apparue récemment et qui connaît un succès croissant auprès des acteurs malveillants. Vient ensuite la réapparition de Lumma Stealer, un logiciel malveillant notoire spécialisé dans le vol d'informations. Enfin, l'équipe se penche sur NailaoLocker, une variante de ransomware ciblant les systèmes Windows.
Katz Stealer : un logiciel malveillant de vol d'informations « clé en main » tristement célèbre, ciblant les identifiants et les cryptomonnaies
SentinelOne a publié sur une alerte concernant « Katz Stealer », une nouvelle plateforme MaaS conçue pour exfiltrer des identifiants, des données de portefeuilles cryptographiques et d'autres informations sensibles.
Katz Stealer offre aux cybercriminels une plateforme personnalisable et conviviale dédiée au vol de données. Le caractère « clé en main » de ce logiciel malveillant, associé à ses capacités de dissimulation, a contribué à son adoption rapide.
Charges utiles modulaires et campagnes menées par des partenaires affiliés
Les affiliés paient pour avoir accès à un panneau de gestion en ligne qui leur permet de générer des versions personnalisées de logiciels malveillants. Ces versions peuvent être personnalisées en activant ou désactivant certaines fonctionnalités, telles que les contrôles anti-VM, les modules de vol de données et les formats de livraison. Cette flexibilité, associée à une interface utilisateur intuitive, permet aux cybercriminels de lancer et de gérer des campagnes avec un minimum de difficultés.
Chaîne de livraison et d'exécution discrète
Katz Stealer s'introduit généralement par le biais d'e-mails de hameçonnage ou de téléchargements contenant des chevaux de Troie, qui comportent des « droppers » JavaScript obscurcis. Ces programmes de dépose exécutent des commandes PowerShell afin d'extraire des fichiers image malveillants contenant des charges utiles stéganographiques.
Une fois déployé, le logiciel malveillant s'octroie des privilèges accrus en contournant le contrôle de compte d'utilisateur (UAC), s'assure une persistance grâce à des tâches planifiées et échappe à la détection au moyen de mécanismes anti-analyse et de la technique dite du « process hollowing ».
Fonctionnalités complètes de lutte contre le vol de données
Ce logiciel malveillant cible un large éventail d'applications et de services. Il extrait les identifiants et les jetons, et remplit automatiquement les champs de données dans les navigateurs ; il recueille des informations à partir des clients de messagerie, de jeux, de messagerie électronique, FTP et VPN ; et il réalise des captures d'écran, d'audio et de vidéo. Ses capacités de vol de cryptomonnaies sont particulièrement agressives : il recherche plus de 150 identifiants d'extensions de navigateur et éléments liés aux portefeuilles de bureau.
Solutions de contournement pour les injections dans le navigateur et le chiffrement
En s'injectant dans les processus du navigateur, Katz Stealer peut accéder à des données sensibles via des API exposées. L'analyse technique de SentinelOne explique également en détail comment ce logiciel malveillant contourne les mécanismes de chiffrement destinés à protéger les identifiants et les données de portefeuille stockés.
Communication persistante de type « commandement et contrôle » (C2) et exfiltration continue
Chaque instance de logiciel malveillant contient une adresse C2 et un identifiant de campagne codés en dur. Une fois activé, il maintient une connexion permanente avec le serveur C2 , exfiltrant en continu les données mises à jour des victimes, ce qui souligne son rôle d’outil de surveillance et de vol à long terme plutôt que d’attaque ponctuelle.
«Katz Stealer n’est pas un programme de vol d’informations « ponctuel » ; il est conçu pour exfiltrer en continu les données de la victime. »SentinelOne
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Katz Stealer est le dernier exemple en date illustrant à quel point la cybercriminalité se banalise de plus en plus et facilite l'accès à cette activité pour les auteurs de menaces.
Le fait que Katz Stealer cible principalement les portefeuilles de cryptomonnaies et les identifiants enregistrés dans les navigateurs suggère également que les auteurs de ces menaces s’adaptent aux infrastructures technologiques actuelles des entreprises afin d’avoir un impact aussi important que possible.
Katz Stealer est désormais largement utilisé par les pirates, ce qui pourrait entraîner une recrudescence des attaques par usurpation d'identifiants. Cela dit, seul le temps nous dira dans quelle mesure ce logiciel de vol d'informations parviendra à s'imposer dans un environnement où ce type de logiciels abonde.
La Lumma Stealer fait son retour avec une discrétion améliorée et une motorisation modulaire
À la suite d’une opération de démantèlement menée par les forces de l’ordre dans l’ mai 2025e, Lumma Stealer est de retour avec des techniques de furtivité améliorées et une architecture modulaire, ce qui le rend plus insaisissable et plus adaptable à divers vecteurs d’attaque.
Trend Micro avertit que cette évolution exige une vigilance accrue et des stratégies de défense à plusieurs niveaux.
Interruption des activités des forces de l'ordre et récupération annoncée
Cette opération de démantèlement a permis de neutraliser plus de 2 300 domaines malveillants, coupant ainsi toute communication entre les machines infectées et l'infrastructure de Lumma.
Cependant, le groupe à l'origine de Lumma a affirmé par la suite sur des forums clandestins que le serveur principal n'avait pas été saisi, mais qu'ils y avaient plutôt accédé en exploitant une faille de sécurité. Ils ont affirmé que l'accès au serveur avait été rétabli peu après la panne.
Reconstruction rapide des infrastructures et reprise des activités
Les données télémétriques de Trend Micro montrent que l'infrastructure de Lumma Stealer a été rapidement réactivée quelques semaines seulement après son démantèlement. Bien que l'activité ait connu un ralentissement temporaire, elle est rapidement revenue aux niveaux d'avant la perturbation, ce qui témoigne de la résilience et de la détermination de l'auteur de la menace.
Évolution des tactiques d'occultation des réseaux
Auparavant, Lumma s'appuyait largement sur Cloudflare pour masquer ses domaines malveillants. Après le démantèlement, Trend Micro a constaté un changement de stratégie : moins de domaines utilisent désormais Cloudflare, et les opérateurs du logiciel malveillant ont diversifié leur infrastructure en faisant appel à plusieurs fournisseurs de services afin de réduire le risque de détection.
Campagnes post-retrait et innovations en matière de livraison
Des campagnes récentes ont eu recours à des méthodes de diffusion trompeuses, notamment des faux outils et la technique « ClickFix ».
Zoom sur ClickFix : suivi de l'évolution de cette
tactique d'ingénierie socialeClickFix continue de gagner en popularité en tant que moyen privilégié de diffusion de logiciels malveillants, utilisé tant par les cybercriminels que par des acteurs soutenus par des États. L'équipe CTI de Tanium a suivi de près son évolution au cours de plusieurs campagnes. Voici quelques-unes des dernières analyses
:• Rogue Tools, ClickFix et BlueNoroff (Publié 25 juin, 2025) : CTI examine la recrudescence des campagnes ClickFix impliquant le logiciel malveillant GHOSTPULSE, et souligne que cette technique est désormais adoptée par des acteurs étatiques originaires de Corée du Nord, d’Iran et de Russie.
• Deepfakes, ToyMaker IAB et ClickFix (Publié 30 avrildans , n° 2025) : CTI explique en détail comment les pirates utilisent ClickFix pour diffuser un agent Havoc Demon modifié, en soulignant que cette technique repose sur l'interaction de l'utilisateur et qu'elle connaît un succès croissant.
• Silk Typhoon, fausses demandes de rançon et ClickFix (Publié 12 mars, 2025) : Ce tour d'horizon met en avant une campagne de hameçonnage de type ClickFix qui exploite SharePoint et l'API Microsoft Graph pour déployer discrètement un agent Havoc Demon modifié.
Lumma Stealer a également été diffusé via des dépôts GitHub et des plateformes de réseaux sociaux, ce qui met en évidence la capacité de ses opérateurs à exploiter des canaux de confiance pour propager des logiciels malveillants.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Le retour de Lumma Stealer met en évidence la détermination des acteurs malveillants et leur capacité à faire évoluer en permanence leurs tactiques afin de contourner les systèmes de défense modernes.
Lumma Stealer n'est pas le seul groupe à faire son retour après avoir été démantelé. Cela nous rappelle que, même si les interventions des forces de l'ordre peuvent perturber considérablement les activités, elles n'éliminent pas toujours la menace.
Comme le souligne Trend Micro, les auteurs de ce logiciel malveillant « constituent une menace permanente pour les entreprises et les particuliers du monde entier ». La formation à la sensibilisation à la sécurité est essentielle en complément des mesures de protection techniques.
NailoLocker Cheese : une menace sophistiquée pour les systèmes Windows, dotée d'une fonctionnalité de déchiffrement intégrée
Les chercheurs de Fortinet ont identifié NailaoLocker, une variante de ransomware ciblant Windows et surnommée « Cheese ». Ce qui le distingue, c'est l'utilisation de SM2 clés cryptographiques codées en dur et d'une fonction de déchiffrement intégrée — une combinaison inhabituelle qui soulève des questions quant à ses véritables intentions. S'agit-il d'une occasion rare de rétablissement, ou d'un piège destiné à induire en erreur les victimes et les chercheurs ?
Installation discrète via le chargement latéral d'une DLL
NailaoLocker se présente sous la forme d'un ensemble de trois fichiers :
- Un fichier exécutable légitime (
usysdiag.exe) utilisé pour le chargement latéral de DLL - Une DLL de chargement malveillante (
sensapi.dll) - La charge utile obscurcie du ransomware (
usysdiag.exe.dat)
L'exécution commence lorsque l'attaquant lance le fichier exécutable légitime, qui charge la DLL malveillante et déchiffre la charge utile directement en mémoire. Afin de réduire au minimum les traces pouvant être détectées lors d'une analyse forensic, le chargeur libère sa propre mémoire et supprime la DLL une fois l'exécution terminée.
Comportement lors du changement de mode et de l'initialisation
Le ransomware détermine s'il doit fonctionner en mode chiffrement ou en mode déchiffrement en comparant une valeur codée en dur à une chaîne de caractères spécifique (« XXXX »). Ce paramètre semble être interne, car NailaoLocker ne prend pas en charge les arguments de ligne de commande pour la sélection du mode.
Lors de son initialisation, il ouvre une fenêtre de console permettant de suivre l'état d'avancement en temps réel et crée un fichier journal (lock.log) afin de suivre la progression, ce qui montre qu'il n'a pas l'intention de dissimuler son activité.
Chiffrement multithread avec SM2 paires de clés
NailaoLocker utilise une architecture multithread afin d'optimiser le débit sur l'ensemble des cœurs du processeur. Il chiffre les fichiers à l'aide de AES-256-CBC et ajoute l'extension « .locked » aux fichiers concernés, tout en les rendant invisibles. L'utilisation par ce rançongiciel de SM2 paires de clés codées en dur — intégrées au format ASN.1 DER — constitue une caractéristique distinctive qui permet à la fois les routines de chiffrement et de déchiffrement.
Mode de déchiffrement : une procédure de récupération intégrée ?
En mode de décryptage, NailaoLocker analyse les répertoires à la recherche de fichiers chiffrés et tente de les restaurer à l'aide de la clé privée SM2 intégrée. Bien que cette fonctionnalité puisse offrir une voie de récupération, Fortinet souligne qu'elle peut également servir de leurre ou de fonctionnalité de test interne.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
La fonction de déchiffrement de NailaoLocker est tout à fait inhabituelle et pourrait laisser supposer soit l'existence d'une porte dérobée créée par le développeur, soit simplement une tactique visant à semer la confusion tant chez les analystes que chez les victimes.
Si les chercheurs en sécurité parviennent à trouver le moyen de déclencher de manière fiable le mode de déchiffrement, ce ransomware pourrait, ironiquement, devenir un cas d'étude illustrant comment les erreurs des attaquants peuvent se transformer en atouts pour les défenseurs.
Cette variante de ransomware se distingue également par l'utilisation d'une paire de clés SM2 intégrée, qui, selon Fortinet, pourrait encore être en cours de développement.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos récents résumés d’informations sur les cybermenaces publiés par .
