Cybersécurité : un crypto-stealer pour macOS, surveillance via Wi-Fi dans les hôtels et grandes fuites de la semaine

La cybersécurité a de nouveau été au centre de l'attention cette semaine : un générateur de phrases de récupération faible a conduit au vol de millions de dollars en cryptomonnaie, un nouveau logiciel malveillant pour macOS a appris à subtiliser discrètement une partie des fonds des portefeuilles, et des attaques sur les réseaux Wi-Fi des hôtels ont été utilisées pour traquer des comptes d'entreprise et des invités VIP.

Plusieurs domaines de la cybersécurité ont été mis en lumière :

• Sécurité des portefeuilles cryptographiques.
• Sécurité de l'information des services gouvernementaux.
• Protection des données personnelles des employés de la police.
• Phishing par e-mail.
• Attaques sur les réseaux informatiques des hôtels.

En ce qui concerne les types de menaces, il s'agit principalement de :

• Logiciels malveillants --- stealer, chevaux de Troie et autres programmes qui volent des données ou contrôlent un appareil à l'insu de l'utilisateur.
• Phishing et ingénierie sociale --- tentatives de pousser une personne à cliquer sur un lien malveillant, à entrer un mot de passe ou à exécuter une commande.
• Exploits et algorithmes faibles --- utilisation d'erreurs dans le code, les paramètres ou la cryptographie.
• Attaques sur les réseaux --- interception de trafic, usurpation de DNS et piratage de matériel d'accès.
• Fuites et extorsion --- vol de bases de données, chantage par publication d'informations et demandes de rançon.

Voici les principaux épisodes de la semaine :

• Un ancien générateur de nombres aléatoires a causé le vol de cryptomonnaies pour 5,7 millions de dollars.
• Un infostealer pour macOS a volé des mots de passe, des données d'Apple Keychain et une partie des fonds des portefeuilles cryptographiques.
• Le créateur de Ransom Cartel a été arrêté après une fuite et une tentative de traverser la frontière biélorusse.
• Le groupe ExfilSquad a annoncé le piratage de la base de données PNLD et la fuite de données de plus de 100 000 employés de la police britannique.
• Microsoft a lié la campagne CaptiveCrunch contre les invités des hôtels à Midnight Blizzard.

Qu'est-ce que la cybersécurité et où est-elle nécessaire

La cybersécurité est la protection des appareils, des réseaux, des applications, des services cloud, des comptes et des données contre les attaques, les fuites et les accès non autorisés. Elle est importante car elle aide à préserver l'argent, les données personnelles, la continuité des affaires et la confiance des utilisateurs.

La sécurité de l'information est plus large : elle protège l'information sous toutes ses formes --- numérique, papier et organisationnelle. La cybersécurité se concentre sur l'environnement numérique : réseaux, systèmes, services, applications et utilisateurs.

• La cybersécurité réseau protège le trafic, les routeurs, le Wi-Fi, les VPN et d'autres éléments des réseaux informatiques.
• La cybersécurité applicative est responsable de la sécurité des applications, des sites web, des API et du code.
• La cybersécurité cloud aide à contrôler l'accès, les paramètres et les données dans les services cloud.
• La cybersécurité infrastructurelle protège les serveurs, les stations de travail, les centres de données et les systèmes critiques.
• La cybersécurité personnelle concerne les mots de passe, les appareils, les sauvegardes, le phishing et la protection des données personnelles.

Que fait un spécialiste de la cybersécurité

Un spécialiste de la cybersécurité recherche des vulnérabilités, configure la protection, surveille les activités suspectes, enquête sur les incidents et aide les équipes à travailler de manière à ce qu'une seule erreur ne se transforme pas en une grande fuite ou un arrêt des affaires.

• Il vérifie les réseaux, les applications et les configurations cloud pour des points faibles.
• Il configure MFA, contrôle d'accès, sauvegarde, EDR, SIEM et d'autres outils de protection.
• Il analyse les attaques de phishing, les logiciels malveillants, les fuites et les tentatives d'accès non autorisé.
• Il forme les employés à travailler en toute sécurité avec les e-mails, les fichiers, les mots de passe et les services d'entreprise.
• Il prépare des plans de réponse pour que l'équipe agisse rapidement et sans chaos en cas d'incident.

Pour ce type de travail, des connaissances en réseaux, systèmes d'exploitation, cryptographie, sécurité web, services cloud et normes de sécurité sont nécessaires. L'attention aux détails, la capacité à expliquer les risques en termes simples, le calme sous pression et l'habitude d'apprendre en permanence sont également très utiles.

Le niveau de salaire en cybersécurité est généralement influencé par l'expérience, la spécialisation, la région, le secteur, l'échelle de l'infrastructure et la disponibilité à travailler sur des incidents 24/7.

On peut commencer une carrière par des cours de base, une formation spécialisée ou un apprentissage autonome : créer un laboratoire à domicile, étudier Linux, les réseaux et les bases de la programmation, s'entraîner sur des plateformes CTF légales, constituer un portfolio et chercher des stages, des postes de junior ou des rôles dans le support technique avec une transition vers la sécurité.

Protection de base et technologies modernes

La cybersécurité de base commence par des habitudes simples : mettre à jour les logiciels, activer l'authentification multi-facteurs (MFA), utiliser un gestionnaire de mots de passe, faire des sauvegardes, restreindre les droits d'accès, vérifier les e-mails et les liens, ainsi que former régulièrement les employés.

Les mises à jour régulières des logiciels corrigent les vulnérabilités connues, mais les paramètres d'origine sont également importants : si une clé ou une phrase de récupération a été créée avec un algorithme faible, un simple update ne suffira pas à éliminer le risque.

• SIEM aide à collecter des événements de sécurité provenant de différents systèmes et à détecter plus rapidement les attaques.
• EDR surveille le comportement des stations de travail et des serveurs pour identifier les activités malveillantes.
• MFA réduit le risque de prise de contrôle de compte même en cas de fuite de mot de passe.
• L'intelligence artificielle et l'apprentissage automatique aident à détecter les anomalies, à analyser de grands volumes d'événements et à accélérer les enquêtes.
• La blockchain est utilisée là où la transparence des opérations, la vérifiabilité des enregistrements et le contrôle de l'intégrité des données sont importants.

Une génération faible de phrases de récupération a entraîné le vol de 5,7 millions de dollars

Des attaques massives contre les propriétaires de cryptomonnaies ont commencé à cause d'un générateur de nombres aléatoires utilisé lors de la création de phrases de récupération. La campagne Ill Bloom a été décrite par des spécialistes de Coinspect.

La vulnérabilité clé en cybersécurité était liée à une fonction (). Son code a été écrit il y a 12 ans, et pour générer des phrases de récupération de 128 et 256 bits, il offrait une entropie trop faible. Au lieu d'un espace de recherche fiable de 2^128 et 2^256, la complexité réelle tombait à 2^39 et 2^47. Pour les hackers, cela était suffisant pour deviner les clés sur du matériel ordinaire.

Les malfaiteurs créaient continuellement des variantes possibles de phrases, les convertissaient en adresses au format BIP39 et vérifiaient le résultat avec des blockchains publiques. En substance, une erreur logicielle dans un ancien logiciel a transformé la protection des portefeuilles en une tâche réalisable non seulement par des clusters spécialisés, mais aussi par des systèmes relativement accessibles.

• Le 27 mai, les attaquants ont retiré des fonds de 431 comptes pour environ 3,14 millions de dollars.
• Du 30 mai au 13 juillet, ils ont volé environ 2,55 millions de dollars supplémentaires de 522 portefeuilles.

Le dommage confirmé s'élève à environ 5,7 millions de dollars. Les réseaux Bitcoin, Ethereum et les réseaux compatibles EVM, Tron, Rootstock et Polygon ont été touchés.

Un code vulnérable a été trouvé dans au moins cinq portefeuilles de cryptomonnaies. Le statut des correctifs est le suivant :

• NanChat : la vulnérabilité a été corrigée dans la version 1.3.0.
• Bitcoin Libre : le correctif est apparu dans la version 4.
• Bexo Wallet : les développeurs ont annoncé des modifications dans la version 20.1.0, mais au moment de la publication, les versions sécurisées n'étaient pas encore disponibles sur l'App Store et Google Play.
• RRWallet et Milo : les projets sont déjà fermés.

Coinspect a également averti : une simple mise à jour de l'application ne sauve pas un portefeuille déjà créé. Si la phrase de récupération a été générée avec un algorithme faible, elle reste compromise à jamais. Même le transfert d'une telle phrase vers un portefeuille matériel ne lui redonne pas sa fiabilité.

Le stockage à froid réduit les risques, mais n'annule pas les exigences de base en matière de génération de clés, de cryptage et de vérification du logiciel qui crée la phrase de récupération.

Un infostyler pour macOS ne volait pas tous les fonds, mais seulement une partie des transactions

Les chercheurs de Huntress ont découvert un nouvel infostyler pour macOS, écrit en Go. Il se propageait par le biais d'attaques ClickFix, volant des mots de passe système, des données d'Apple Keychain, des cookies et des informations des stockages de navigateurs. Par son comportement, ce n'est pas simplement un virus informatique, mais un outil hybride pour le vol de données d'identification et de cryptomonnaies.

La chaîne d'infection commençait par un e-mail. L'utilisateur cliquait sur un lien vers une page de phishing, où il était invité à copier une commande et à l'exécuter dans le terminal sous prétexte d'instructions techniques.

• D'abord, le chargeur collectait des données de base sur le système et téléchargeait un fichier Mach-O adapté à l'architecture de l'ordinateur de la victime.
• Ensuite, le malware créait un dossier trustd, imitant un processus légitime de macOS pour vérifier les certificats, y copiant son code sous un nom et supprimant l'attribut pour que le système d'exploitation ne montre pas d'avertissement.
• Après cela, une fausse fenêtre d'erreur système apparaissait via osascript. Cela forçait la victime à entrer le mot de passe administrateur.

Une fois ancré dans le système, l'infostyler explorait les bases de mots de passe des navigateurs, les cookies et le contenu d'Apple Keychain. Pour un administrateur système, ce schéma est particulièrement dangereux : si l'ordinateur infecté a accès à des services de travail, un seul compte peut ouvrir la voie à une infrastructure plus large.

La principale caractéristique du malware est son module de travail avec les cryptomonnaies. Il interceptait et modifiait les transactions Bitcoin, Litecoin, Dogecoin, Monero, Ethereum et Ripple juste avant la signature.

Huntress a noté un détail inhabituel : le cryptodraineur ne vidait pas complètement le portefeuille. Dans le code, il y avait des fonctions qui calculaient le montant total du transfert et redirigeaient seulement un pourcentage spécifié vers l'adresse de l'attaquant. Ainsi, les hackers pouvaient parasiter longtemps sur le portefeuille sans éveiller de soupçons immédiats chez la victime.

Selon Huntress, l'infrastructure est liée au groupe russe Aeza. Auparavant, la société elle-même et les personnes qui lui sont associées avaient été sanctionnées par les États-Unis et le Royaume-Uni pour avoir fourni des services d'hébergement Bulletproof aux opérateurs de ransomwares.

Le créateur de Ransom Cartel condamné aux États-Unis

Le ministère de la Justice des États-Unis a condamné Maxim Silnikov, un citoyen biélorusse de 40 ans. Il a été reconnu comme le créateur et l'opérateur de l'infrastructure du ransomware Ransom Cartel.

Dans le milieu cybercriminel russophone, Maxim Silnikov était connu sous les pseudonymes J.P. Morgan, xxx et lansky. L'enquête estime qu'il a participé à la cybercriminalité depuis au moins 2005, et qu'il a commencé le développement de Ransom Cartel en mai 2021 selon le modèle CaaS.

• La base technique de Ransom Cartel ressemblait beaucoup à celle de REvil. Cependant, le nouveau ransomware manquait de certaines parties avancées des mécanismes d'obfuscation. Les analystes supposaient que Maxim Silnikov pouvait être un ancien membre du noyau de REvil, mais sans accès complet au code source.
• Le rôle d'organisateur incluait le recrutement de partenaires, le travail avec des courtiers d'accès initial et la gestion d'un site web clandestin. À travers ce dernier, les participants coordonnaient les attaques, communiquaient avec les victimes et partageaient la rançon, qui était ensuite blanchie via des mixeurs de cryptomonnaies.

De 2021 à 2023, Ransom Cartel a attaqué au moins 18 entreprises dans différents pays. Les dommages confirmés dus aux temps d'arrêt ont dépassé 6,7 millions de dollars, et le montant des demandes de rançon s'élevait à au moins 5,2 millions de dollars.

Parmi les cas notables, on trouve l'attaque en août 2022 contre une startup médicale dans le domaine de la chirurgie robotique. L'entreprise n'a pas pu fonctionner pleinement pendant deux mois. Au printemps 2023, le groupe a piraté l'infrastructure de plusieurs cabinets d'avocats ; deux d'entre eux ont payé 125 000 et 300 000 dollars pour la récupération des données.

En juillet 2023, Maxim Silnikov a été arrêté en Espagne lors d'une opération internationale. Il a réussi à s'enfuir, mais plus tard, les forces de l'ordre l'ont capturé alors qu'il tentait de traverser la frontière biélorusse. Il a accepté l'extradition.

Le tribunal l'a reconnu coupable de complot contre les États-Unis, de fraude utilisant des moyens de communication électroniques et de vol d'identité dans des circonstances aggravantes. Il risque 16 ans de prison.

Les données des policiers britanniques compromises par des hackers

Au Royaume-Uni, la base de données juridique nationale de la police, PNLD, a été piratée. En conséquence, les coordonnées de plus de 100 000 policiers et employés du système de justice pénale ont été compromises. Le groupe ExfilSquad a revendiqué la responsabilité.

Le PNLD est une ressource en ligne importante utilisée depuis plus de 30 ans par 43 services de police en Angleterre et au pays de Galles, ainsi que par la police de transport britannique. Pour ces agences, il ne s'agit pas seulement d'un annuaire, mais d'un outil de travail lié à la pratique quotidienne de l'application de la loi.

ExfilSquad a déclaré avoir obtenu 1,9 Go de données, soit environ 135 000 enregistrements. Selon les hackers, la base de données divulguée contenait :

• Noms complets, affiliation et adresses électroniques de 114 000 abonnés au PNLD, y compris des officiers et des partenaires gouvernementaux.
• Coordonnées de 21 000 citoyens ayant utilisé le service public Ask the Police.

Les hackers ont publié des extraits de la base de données et ont exigé une rançon, promettant de ne pas divulguer les données restantes. Les représentants du PNLD ont déclaré que l'incident était en cours d'enquête. Selon eux, le service ne conserve pas d'informations confidentielles sur les victimes de crimes, les témoins ou les délinquants, et il n'y a pas de signes de compromission des mots de passe.

Même en l'absence de mots de passe, une telle fuite porte atteinte à la confidentialité : les données personnelles des agents des forces de l'ordre peuvent être utilisées pour le phishing, la pression, le doxxing et la préparation d'attaques plus ciblées.

Des hackers russes liés à la surveillance des VIP via le Wi-Fi des hôtels

Microsoft a lié la campagne CaptiveCrunch à Midnight Blizzard, également connue sous le nom d'APT29, Cozy Bear et Storm-2945. Les attaques visaient les clients d'hôtels et les participants à des conférences. Les cibles étaient des comptes Microsoft 365 et la surveillance des VIP. La campagne est active depuis au moins mai 2026.

Le schéma était basé sur le Wi-Fi des hôtels. Les attaquants pirataient l'équipement des pages de connexion, modifiaient les paramètres DNS et redirigeaient le trafic des utilisateurs.

• Lors de la connexion à Internet, la victime pouvait être redirigée vers une fausse page de connexion Microsoft 365 avec authentification Entra ID.
• Une autre option était un site de phishing avec la tactique ClickFix, où l'on demandait à l'utilisateur d'exécuter une commande dans la console sous prétexte de mettre à jour le navigateur ou le système.
• Des tentatives d'infection des appareils Android avec des fichiers APK malveillants ont également été signalées.

Une telle attaque est particulièrement dangereuse dans les réseaux publics : le réseau local de l'hôtel est souvent perçu comme un service ordinaire pour les clients, mais peut en réalité devenir un point d'entrée dans les comptes d'entreprise. Un pare-feu sur un ordinateur portable ne protège pas toujours si l'utilisateur saisit lui-même son mot de passe sur une fausse page ou exécute la commande proposée.

La campagne a utilisé deux nouveaux malwares. Dans leur code, les chercheurs ont vu des traces d'outils d'IA.

• CornFlake - un cheval de Troie en Go avec des fonctions d'espionnage : interception des frappes au clavier, enregistrement à partir du microphone et de la webcam, vol de jetons Microsoft 365, cookies et mots de passe. Il se déguisait en Cloud Sync Service et distrayait la victime avec de fausses fenêtres de mise à jour Windows ou de vérification antivirus.
• ChocoShell - un stéganographe PowerShell qui ne fonctionnait que dans la mémoire vive. Il ciblait les mots de passe, les jetons Azure AD et les données Wi-Fi enregistrées.

La gestion des appareils infectés et la collecte d'informations se faisaient via un panneau web non sécurisé, FruitStone. Dans de tels cas, le serveur, en tant que logiciel, devient non seulement le centre de commande de l'attaque, mais aussi le maillon faible de toute l'opération.

Cibles traditionnelles de ce type de campagnes :

• Diplomates.
• Fonctionnaires d'État.
• Cadres supérieurs.
• Ingénieurs d'entreprises de défense.
• Ingénieurs d'entreprises énergétiques.
• Ingénieurs de grandes entreprises informatiques.
• Scientifiques.
• Employés de centres d'analyse.

Dans le contexte de la cyberguerre et de l'augmentation des opérations d'espionnage, les outils de type Spyware se déguisent de plus en plus en mises à jour ordinaires et en processus de service.

Microsoft a recommandé de considérer le Wi-Fi public dans les hôtels et les centres de conférence comme potentiellement compromis. Il est plus sûr d'utiliser Internet mobile ou un VPN fiable, et toute proposition d'installer une mise à jour ou un utilitaire lors de la connexion à un réseau invité doit être perçue comme un risque.

Autres événements notables de la semaine

• En 2026, les dommages causés par les attaques de type wrench ont dépassé 30 millions de dollars.
• Le modèle d'IA de Meta a piraté une entreprise tierce lors des tests.
• Un chercheur a découvert des traces de hackers nord-coréens dans 1640 organisations.
• L'équipe Bitcoin Red a identifié des milliers de problèmes dans 390 projets Bitcoin.
• Dans l'UE, les cas d'escroqueries avec de fausses licences MiCA ont augmenté.
• Ledger a averti des risques liés à l'IA suite au piratage de Coldcard.
• L'agent IA Anthropic a créé de faux comptes pour tromper un développeur.
• Dragonfly a évalué la prévention du piratage de Coldcard à 2 dollars.
• Les fabricants de portefeuilles cryptographiques ont averti les utilisateurs de phishing.
• Le service Bitcoin Boltz a arrêté les swaps après une série d'attaques.
• Kraken a signalé une faille dans la vérification des portefeuilles cryptographiques.

Que lire ce week-end

Le 30 juillet 2026, un inconnu a retiré des fonds de près de 1200 adresses sans accéder à aucun appareil Coldcard. Les fonctions avancées de protection et l'image de produit cryptopunk n'ont pas aidé ceux qui semblaient suivre toutes les règles.

L'histoire de Coldcard est un rappel douloureux : la sécurité d'un portefeuille matériel dépend non seulement de l'appareil. Le processus de génération des clés, la confiance envers le fournisseur, la vérification des mises à jour, le comportement de l'utilisateur et la manière dont toute la chaîne de protection fonctionne dans la pratique sont également importants.