Les chercheurs en cybers\u00e9curit\u00e9 s’attaquent \u00e0 une nouvelle campagne qui tire parti d’injects Web pour livrer un nouveau malware Apple MacOS appel\u00e9 Frigidsaleur<\/strong>.<\/p>\n L’activit\u00e9 a \u00e9t\u00e9 attribu\u00e9e \u00e0 un acteur de menace sans documentation connu sous le nom de TA2727, avec les voleurs d’informations pour d’autres plates-formes telles que Windows (Lumma Stealer ou DeerStealer) et Android (Marcheur<\/a>).<\/p>\n TA2727 est un “acteur de menace qui utilise de faux leurres sur le th\u00e8me de mise \u00e0 jour pour distribuer une vari\u00e9t\u00e9 de charges utiles de logiciels malveillants”, l’\u00e9quipe de recherche sur les menaces de ProofPoint dit<\/a> Dans un rapport partag\u00e9 avec le Hacker News. <\/p>\n C’est l’un des groupes d’activit\u00e9s de menace nouvellement identifi\u00e9s aux c\u00f4t\u00e9s de TA2726, qui est \u00e9valu\u00e9 comme un op\u00e9rateur de syst\u00e8me de distribution de trafic malveillant (TDS) qui facilite la distribution du trafic pour que d’autres acteurs de menace pour livrer des logiciels malveillants. L’acteur de menace financi\u00e8rement motiv\u00e9 serait actif depuis au moins septembre 2022.<\/p>\n TA2726, selon la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 d’entreprise, agit comme un TDS pour TA2727 et un autre acteur de menace appel\u00e9 TA569, qui est responsable de la distribution d’un logiciel malveillant de chargeur bas\u00e9 sur JavaScript appel\u00e9 Socgholish<\/a> (aka FakeUpdates) qui se pr\u00e9cipita souvent comme une mise \u00e0 jour du navigateur sur les sites l\u00e9gitimes mais compromis.<\/p>\n “TA2726 est motiv\u00e9 financi\u00e8rement et travaille avec d’autres acteurs motiv\u00e9s par la finance tels que TA569 et TA2727”, a not\u00e9 la soci\u00e9t\u00e9. “C’est-\u00e0-dire que cet acteur est probablement responsable des compromis sur le serveur Web ou le site Web qui conduisent \u00e0 des injects op\u00e9r\u00e9s par d’autres acteurs de menace.”<\/p>\n TA569 et TA2727 partagent certaines similitudes en ce qu’ils sont distribu\u00e9s via des sites Web compromis avec des injects de site Web JavaScript malveillant qui imitent les mises \u00e0 jour du navigateur pour les navigateurs Web comme Google Chrome ou Microsoft Edge. L\u00e0 o\u00f9 TA2727 diff\u00e8re est l’utilisation de cha\u00eenes d’attaque qui desservent diff\u00e9rentes charges utiles en fonction de la g\u00e9ographie ou de l’appareil des destinataires.<\/p>\n Si un utilisateur visite un site Web infect\u00e9 en France ou au Royaume-Uni sur un ordinateur Windows, il est invit\u00e9 \u00e0 t\u00e9l\u00e9charger un fichier d’installation MSI qui lance Hijack Loader (alias Doiloader), qui, \u00e0 son tour, charge le voleur Lumma.<\/p>\n D’un autre c\u00f4t\u00e9, la m\u00eame fausse mise \u00e0 jour redirig\u00e9 lors de la visite d’un appareil Android m\u00e8ne au d\u00e9ploiement d’un cheval de Troie bancaire doubl\u00e9 Marcheur<\/a> qui a \u00e9t\u00e9 d\u00e9tect\u00e9 dans la nature<\/a> pendant plus d’une d\u00e9cennie.<\/p>\n Ce n’est pas tout. En janvier 2025, la campagne a \u00e9t\u00e9 mise \u00e0 jour pour cibler les utilisateurs de MacOS r\u00e9sidant en dehors de l’Am\u00e9rique du Nord vers une fausse page de mise \u00e0 jour qui a t\u00e9l\u00e9charg\u00e9 un nouveau voleur d’informations, le nom de code FrigidStealer.<\/p>\n Le programme d’installation de FrigidStealer, comme d’autres logiciels malveillants MacOS, oblige les utilisateurs \u00e0 lancer explicitement l’application non sign\u00e9e pour contourner les protections de gardiens, apr\u00e8s quoi un ex\u00e9cutable Mach-O int\u00e9gr\u00e9 est ex\u00e9cut\u00e9 pour installer le malware.<\/p>\n “L’ex\u00e9cutable a \u00e9t\u00e9 \u00e9crit en Go et a \u00e9t\u00e9 sign\u00e9 ad hoc”, a d\u00e9clar\u00e9 Proofpoint. “L’ex\u00e9cutable a \u00e9t\u00e9 construit avec le projet Wailsio, qui rend le contenu dans le navigateur de l’utilisateur.<\/p>\n FrigidStealer n’est pas diff\u00e9rent des diff\u00e9rentes familles de voleurs destin\u00e9es aux syst\u00e8mes MacOS. Il exploite Applescript pour inciter l’utilisateur \u00e0 saisir son mot de passe syst\u00e8me, ce qui lui donne des privil\u00e8ges \u00e9lev\u00e9s pour r\u00e9colter des fichiers et toutes sortes d’informations sensibles \u00e0 partir des navigateurs Web, des notes Apple et des applications li\u00e9es \u00e0 la crypto-monnaie.<\/p>\n “Les acteurs utilisent des compromis Web pour fournir des logiciels malveillants ciblant \u00e0 la fois les utilisateurs d’entreprise et les consommateurs”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. “Il est raisonnable que de telles injects Web fournissent des logiciels malveillants personnalis\u00e9s au destinataire, y compris les utilisateurs de Mac, qui sont encore moins courants dans les environnements d’entreprise que Windows.”<\/p>\n Le d\u00e9veloppement intervient alors que Tonmoy Jitu de DenWP Research divulgu\u00e9<\/a> D\u00e9tails d’une autre porte d\u00e9rob\u00e9e macOS enti\u00e8rement ind\u00e9tectable nomm\u00e9e Tiny FUD qui exploite la manipulation du nom, l’injection de d\u00e9mon de liaison dynamique (DYLD) et l’ex\u00e9cution de commande bas\u00e9e sur la commande et le contr\u00f4le (C2).<\/p>\n Il suit \u00e9galement l’\u00e9mergence de nouveaux logiciels malveillants de voleur d’informations comme Voleur astral<\/a> et Voleur de chair<\/a>tous deux con\u00e7us pour collecter des informations sensibles, \u00e9chapper \u00e0 la d\u00e9tection et maintenir la persistance sur les syst\u00e8mes compromis.<\/p>\n “Le voleur de chair est particuli\u00e8rement efficace pour d\u00e9tecter les environnements de machines virtuelles (VM),” Flashpoint dit<\/a> Dans un rapport r\u00e9cent. “Cela \u00e9vitera de s’ex\u00e9cuter sur les machines virtuelles pour emp\u00eacher toute analyse potentielle m\u00e9dico-l\u00e9gale, pr\u00e9sentant une compr\u00e9hension des pratiques de recherche sur la s\u00e9curit\u00e9.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/Les-nouveaux-logiciels-malveillants-FrigidStealer-ciblent-les-utilisateurs-macOS-via.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n