Alerte Cybersécurité : Le logiciel malveillant SantaStealer cible agressivement les portefeuilles de cryptomonnaies et les navigateurs.
Un nouveau cheval de Troie financier fait des ravages dans l'écosystème crypto. Son nom ? SantaStealer. Sa mission ? Vider vos portefeuilles numériques et piller vos données de navigation.
Mode opératoire : une attaque ciblée
SantaStealer ne s'en prend pas au petit porteur lambda. Il vise spécifiquement les extensions de navigateur liées aux cryptomonnaies et les applications de portefeuille. Une fois installé, il scanne silencieusement l'appareil, recherche les fichiers de clés privées, les phrases de récupération et les identifiants de session stockés. Le tout est ensuite exfiltré vers des serveurs contrôlés par les attaquants.
Pourquoi les navigateurs sont dans le collimateur
La majorité des interactions avec les plateformes DeFi, les exchanges et les portefeuilles web passent par le navigateur. Les cookies, les données de formulaire autoremplies et les sessions actives représentent une mine d'or. SantaStealer les exploite pour contourner les authentifications à deux facteurs et siphonner les actifs.
La parade : hygiène numérique renforcée
Face à cette menace, la vigilance est la première ligne de défense. Méfiez-vous des pièces jointes inattendues et des liens suspects, même provenant de sources apparemment fiables. Privilégiez les portefeuilles matériels (hardware wallets) pour le stockage à long terme et gardez vos logiciels à jour. Une vérification méticuleuse des adresses de destination avant toute transaction reste un réflexe vital.
Dans un monde où la quête de rendements à deux chiffres fait parfois oublier les fondamentaux de la sécurité, SantaStealer rappelle une vérité simple : en crypto, votre capital le plus précieux n'est pas votre ETH ou votre BTC, mais vos clés privées. Les protéger relève moins de la spéculation que du bon sens – un concept parfois sous-évalué par la finance traditionnelle comme par la finance décentralisée.
SantaStealer cible les portefeuilles de cryptomonnaies
Les portefeuilles de cryptomonnaies sont la cible principale de SantaStealer. Ce logiciel malveillant vise les applications de portefeuille de cryptomonnaies comme Exodus et les extensions de navigateur comme MetaMask. Il est conçu pourtracles données privées liées aux actifs numériques.
Le logiciel malveillant ne s'arrête pas là. Il vole également les données du navigateur, notamment les mots de passe, les cookies, l'historique de navigation et les informations de carte bancaire enregistrées. Les plateformes de messagerie telles que Telegram et Discord sont également ciblées. Les données Steam et les documents locaux sont aussi concernés. Le logiciel malveillant peut également effectuer des captures d'écran du bureau.
Pour ce faire, il dépose ou charge un fichier exécutable intégré. Ce fichier déchiffre et injecte du code dans le navigateur, permettant ainsi d'accéder aux clés protégées.
SantaStealer exécute simultanément plusieurs modules de collecte de données. Chaque module fonctionne dans son propre thread. Les données volées sont écrites en mémoire, compressées dans des fichiers ZIP, puis exfiltrées par blocs de 10 Mo. Elles sont ensuite envoyées à un serveur de commande et de contrôle intégré au système via le port 6767.
Pour accéder aux données de portefeuille stockées dans les navigateurs , le logiciel malveillant contourne le chiffrement lié aux applications de Chrome, introduit en juillet 2024. Selon Rapid7, plusieurs voleurs d'informations l'ont déjà déjoué.
Ce logiciel malveillant est présenté comme étant sophistiqué et capable d'échapper totalement aux attaques. Or, selon les chercheurs en sécurité de Rapid7, il ne correspond pas à ces affirmations. Les échantillons actuels sont faciles à analyser et révèlent des symboles et des chaînes de caractères lisibles, ce qui laisse supposer un développement précipité et une sécurité opérationnelle insuffisante.
« Les capacités anti-analyse et de furtivité du voleur annoncées sur le panneau web restent très rudimentaires et amateurs, seule la charge utile de décryptage Chrome tierce étant quelque peu dissimulée », a écrit Milan Spinka de Rapid7.
L'interface d'administration de SantaStealer est très bien conçue. Les opérateurs peuvent personnaliser les configurations et choisir de voler toutes les données ou de se concentrer uniquement sur les données du portefeuille et du navigateur. Les options permettent également d'exclure la Communauté des Étatsdent (CEI) et de différer l'exécution.
SantaStealer ne s'est pas encore propagé à grande échelle et son mode de diffusion reste inconnu. Les campagnes récentes privilégient les attaques ClickFix, car les victimes sont amenées à coller des commandes malveillantes dans des terminaux Windows.
D'après les chercheurs, d'autres vecteurs de diffusion de logiciels malveillants restent courants. Il s'agit notamment des courriels d'hameçonnage, des logiciels piratés, des torrents, des publicités malveillantes et des commentaires trompeurs sur YouTube.
Les experts en sécurité conseillent aux utilisateurs de cryptomonnaies de rester vigilants et d'éviter les liens et pièces jointes inconnus.
Spinka a écrit : « Évitez d'exécuter tout type de code non vérifié provenant de sources telles que des logiciels piratés, des codes de triche pour jeux vidéo, des plugins et des extensions non vérifiés. »
Vous souhaitez que votre projet soit présenté aux plus grands noms de la cryptomonnaie ? Présentez-le dans notre prochain rapport sectoriel, où données et impact se rencontrent.
