Les chercheurs en cybers\u00e9curit\u00e9 ont signal\u00e9 une version mise \u00e0 jour de l’implant LightSpy qui est \u00e9quip\u00e9 d’un ensemble \u00e9largi de fonctionnalit\u00e9s de collecte de donn\u00e9es pour extraire les informations des plateformes de m\u00e9dias sociaux comme Facebook et Instagram.<\/p>\n
LightSpy est le nom donn\u00e9 \u00e0 un logiciel espion modulaire capable d’infecter les syst\u00e8mes Windows et Apple dans le but de r\u00e9colter les donn\u00e9es. Il a \u00e9t\u00e9 document\u00e9 pour la premi\u00e8re fois en 2020, ciblant les utilisateurs de Hong Kong.<\/p>\n
Cela inclut les informations du r\u00e9seau Wi-Fi, les captures d’\u00e9cran, l’emplacement, le trousseau iCloud, les enregistrements sonores, les photos, l’historique du navigateur, les contacts, l’historique des appels et les messages SMS, et les donn\u00e9es de diverses applications telles que les fichiers, la ligne, le ma\u00eetre de messagerie, le t\u00e9l\u00e9gramme, Tencent QQ, WeChat et WhatsApp.<\/p>\n
\u00c0 la fin de l’ann\u00e9e derni\u00e8re, ThreatFabric a d\u00e9taill\u00e9 une version mise \u00e0 jour du malware qui int\u00e8gre des capacit\u00e9s destructrices pour emp\u00eacher le dispositif compromis de d\u00e9marrer, ainsi que l’\u00e9largissement du nombre de plugins pris en charge de 12 \u00e0 28.<\/p>\n
Les r\u00e9sultats pr\u00e9c\u00e9dents ont \u00e9galement r\u00e9v\u00e9l\u00e9 des chevauchements potentiels entre LightSpy et un malware Android nomm\u00e9 DragOnegg, mettant en \u00e9vidence la nature multiplateforme de la menace.<\/p>\n
La derni\u00e8re analyse de Hunt.io sur l’infrastructure malveillante de commandement et de contr\u00f4le (C2) associ\u00e9e au logiciel espion a d\u00e9couvert la prise en charge de plus de 100 commandes couvrant Android, iOS, Windows, MacOS, routeurs et Linux.<\/p>\n
![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/LightSpy-setend-a-plus-de-100-commandes-augmentant-le-controle.png\")
<\/a><\/center><\/div>\n“La nouvelle liste de commandes passe de la collecte directe des donn\u00e9es \u00e0 un contr\u00f4le op\u00e9rationnel plus large, y compris la gestion de la transmission (‘\u4f20\u8f93\u63a7\u5236’) et le suivi des versions du plugin (‘\u4e0a\u4f20\u63d2\u4ef6\u7248\u672c\u8be6\u7ec6\u4fe1\u606f’)”, la soci\u00e9t\u00e9 dit<\/a>.<\/p>\n “Ces ajouts sugg\u00e8rent un cadre plus flexible et adaptable, permettant aux op\u00e9rateurs l\u00e9gers de g\u00e9rer les d\u00e9ploiements plus efficacement sur plusieurs plates-formes.”<\/p>\n Parmi les nouvelles commandes, la possibilit\u00e9 de cibler les fichiers de base de donn\u00e9es d’applications Facebook et Instagram pour l’extraction de donn\u00e9es \u00e0 partir des appareils Android. Mais dans une tournure int\u00e9ressante, les acteurs de la menace ont supprim\u00e9 les plugins iOS associ\u00e9s \u00e0 des actions destructrices sur l’h\u00f4te de la victime.<\/p>\n Il y a \u00e9galement 15 plugins sp\u00e9cifiques \u00e0 Windows con\u00e7us pour la surveillance du syst\u00e8me et la collecte de donn\u00e9es, la plupart d’entre elles ax\u00e9es sur le chyophyse, l’enregistrement audio et l’interaction USB.<\/p>\n La soci\u00e9t\u00e9 de renseignement sur les menaces a d\u00e9clar\u00e9 qu’elle avait \u00e9galement d\u00e9couvert un point de terminaison (“\/ t\u00e9l\u00e9phone \/ phoneInfo”) dans le panneau d’administration qui accorde aux utilisateurs connect\u00e9s la possibilit\u00e9 de contr\u00f4ler \u00e0 distance les appareils mobiles infect\u00e9s. On ne sait actuellement pas si ceux-ci repr\u00e9sentent de nouveaux d\u00e9veloppements ou des versions anciennes auparavant sans papiers.<\/p>\n “Le passage du ciblage des applications de messagerie vers Facebook et Instagram \u00e9tend la capacit\u00e9 de Lightspy \u00e0 collecter des messages priv\u00e9s, des listes de contacts et des m\u00e9tadonn\u00e9es de compte \u00e0 partir de plateformes sociales largement utilis\u00e9es”, a d\u00e9clar\u00e9 Hunt.io.<\/p>\n “L’extraction de ces fichiers de base de donn\u00e9es pourrait fournir aux attaquants des conversations stock\u00e9es, des connexions utilisateur et des donn\u00e9es potentiellement li\u00e9es \u00e0 la session, une augmentation des capacit\u00e9s de surveillance et des opportunit\u00e9s d’exploitation suppl\u00e9mentaire.”<\/p>\n La divulgation intervient alors que Cyfirma a r\u00e9v\u00e9l\u00e9 que les d\u00e9tails d’un logiciel malveillant Android ont surnomm\u00e9 Spylend qui se masque en tant qu’application financi\u00e8re nomm\u00e9e Finance Simplified (nom apk “com.someca.count”) sur le Google Play Store mais s’engage dans le pr\u00eat pr\u00e9dateur, le chanteur et l’extorsion destin\u00e9s Utilisateurs indiens.<\/p>\n “En tirant parti du ciblage bas\u00e9 sur la localisation, l’application affiche une liste d’applications de pr\u00eat non autoris\u00e9es qui fonctionnent enti\u00e8rement dans WebView, permettant aux attaquants de contourner l’ordre des Play Store”, la soci\u00e9t\u00e9 dit<\/a>.<\/p>\n “Une fois install\u00e9es, ces applications de pr\u00eat r\u00e9coltent des donn\u00e9es d’utilisateurs sensibles, appliquent des pratiques de pr\u00eat d’exploitation et utilisent des tactiques chanteuses pour extorquer de l’argent.”<\/p>\n Certaines des applications de pr\u00eat annonc\u00e9es sont Kreditpro (anciennement KreditApple), Moneyape, Stashfur, Fairbalance et PokketMe. Les utilisateurs qui installent des finances simplifi\u00e9s de l’ext\u00e9rieur de l’Inde sont servis une vue sur le Web inoffensive qui r\u00e9pertorie divers calculatrices pour les finances personnelles, la comptabilit\u00e9 et la fiscalit\u00e9, sugg\u00e9rant que la campagne est con\u00e7ue pour cibler sp\u00e9cifiquement les utilisateurs indiens. <\/p>\n L’application n’est plus disponible en t\u00e9l\u00e9chargement \u00e0 partir du march\u00e9 officiel des applications Android. Selon les statistiques disponibles sur la tour du capteur, l’application \u00e9tait publi\u00e9<\/a> Vers la mi-d\u00e9cembre 2024 et a attir\u00e9 plus de 100 000 installations.<\/p>\n “Initialement pr\u00e9sent\u00e9 comme une application de gestion des finances inoffensive, il t\u00e9l\u00e9charge une application de pr\u00eat de fraude \u00e0 partir d’une URL de t\u00e9l\u00e9chargement externe, qui une fois install\u00e9e, obtient des autorisations approfondies pour acc\u00e9der aux donn\u00e9es sensibles, y compris les fichiers, les contacts, les journaux d’appels, le SMS, le contenu du presse-papiers et m\u00eame les donn\u00e9es Cam\u00e9ra, “a soulign\u00e9 Cyfirma.<\/p>\n Les clients bancaires indiens de la vente au d\u00e9tail sont \u00e9galement devenus la cible d’une autre campagne qui distribue un nom de logiciel malveillant Finstelleur qui se fait passer pour les applications bancaires l\u00e9gitimes, mais est con\u00e7ue pour collecter des r\u00e9f\u00e9rences de connexion et faciliter la fraude financi\u00e8re en effectuant des transactions non autoris\u00e9es. <\/p>\n “Distribu\u00e9 via des liens de phishing et de l’ing\u00e9nierie sociale, ces fausses applications imitent \u00e9troitement les applications bancaires l\u00e9gitimes, incitant les utilisateurs \u00e0 r\u00e9v\u00e9ler des informations d’identification, des donn\u00e9es financi\u00e8res et des d\u00e9tails personnels” dit<\/a>.<\/p>\n “\u00c0 l’aide de robots t\u00e9l\u00e9grammes, le malware peut recevoir des instructions et envoyer des donn\u00e9es vol\u00e9es sans soutenir, ce qui rend plus difficile pour les syst\u00e8mes de s\u00e9curit\u00e9 de d\u00e9tecter et de bloquer la communication.”<\/p>\n <\/p>\n<\/a><\/div>\n<\/a><\/center><\/div>\n