Un nouveau malware ModStealer vole des clés crypto sur tous les systèmes
- Le malware ModStealer vole les données des portefeuilles crypto sur les systèmes macOS, Windows et Linux.
- Il se propage principalement via de fausses annonces de recruteurs utilisant des tâches en JavaScript non détectées.
- Les chercheurs avertissent que les outils antivirus ne détectent pas le malware, soulignant la nécessité de nouvelles défenses.
Un nouveau malware nommé ModStealer cible les utilisateurs de crypto sur macOS, Windows et Linux, menaçant les portefeuilles et les identifiants d'accès. La société de sécurité spécialisée sur Apple, Mosyle, a découvert cette souche après avoir constaté qu'elle était restée indétectée par les principaux moteurs antivirus pendant près d'un mois. Selon des sources, le malware a été téléchargé sur VirusTotal, une plateforme en ligne qui vérifie les fichiers pour détecter du contenu malveillant.
— CryptoTale (@cryptotalemedia) 12 septembre 2025
Nouvelle menace de malware : ModStealer cible les portefeuilles crypto
Les chercheurs ont découvert ModStealer, un malware multiplateforme qui échappe aux contrôles antivirus et vide les portefeuilles basés sur navigateur. Distribué via de fausses annonces de recruteurs, il représente une menace directe pour les clés privées des utilisateurs et…
Mosyle a rapporté que ModStealer est conçu avec un code préchargé capable d'extraire des clés privées, des certificats, des fichiers d'identifiants et des extensions de portefeuilles basés sur navigateur. L'entreprise a découvert une logique de ciblage pour plusieurs portefeuilles, y compris ceux installés sur Safari et les navigateurs basés sur Chromium.
Les chercheurs ont indiqué que ModStealer persiste sur macOS en s'enregistrant comme agent d'arrière-plan. Ils ont retracé l'infrastructure serveur du malware jusqu'en Finlande, mais pensent que son itinéraire passe par l'Allemagne afin d'obscurcir la localisation de ses opérateurs.
Distribution via des recrutements trompeurs
L'analyse a révélé que ModStealer se propage via de fausses annonces de recruteurs visant les développeurs. Les attaquants envoient des tâches liées à l'emploi intégrant un fichier JavaScript fortement obscurci, conçu pour contourner la détection. Ce fichier contient des scripts préchargés ciblant 56 extensions de portefeuilles sur navigateur, y compris Safari, permettant le vol de clés et de données sensibles.
Mosyle a confirmé que les systèmes Windows et Linux sont également vulnérables. Cela fait de ModStealer l'une des rares menaces actives à avoir une portée multiplateforme aussi large.
L'entreprise a déclaré que ModStealer correspond au profil Malware-as-a-Service (MaaS). Dans ce modèle, les cybercriminels créent des kits d'infostealer prêts à l'emploi et les vendent à des affiliés qui peuvent manquer de compétences techniques. Cette tendance a accéléré les attaques en 2025, Jamf signalant une augmentation de 28 % de l'activité des infostealers cette année.
Mosyle a noté : « Pour les professionnels de la sécurité, les développeurs et les utilisateurs finaux, cela rappelle brutalement que les protections basées uniquement sur les signatures ne suffisent pas. Une surveillance continue, des défenses basées sur le comportement et une sensibilisation aux menaces émergentes sont essentielles pour garder une longueur d'avance sur les adversaires. »
Capacités croissantes des infostealers
ModStealer possède de nombreuses autres capacités en plus du vol d'extensions. Il détourne le presse-papiers en substituant les adresses de portefeuilles copiées par celles appartenant aux attaquants. Cela permet aux attaquants d'exécuter du code à distance, de capturer des écrans ou d'exfiltrer des fichiers.
Sur macOS, le malware exploite LaunchAgents pour assurer sa persistance. Cela permet au programme malveillant de continuer à fonctionner même après un redémarrage du système, posant un risque à long terme pour les machines infectées.
Mosyle a expliqué que la structure de ModStealer ressemble fortement à celle d'autres plateformes MaaS. Les affiliés ont accès à des kits de malware complets et peuvent personnaliser leurs attaques. L'entreprise a ajouté que ce modèle alimente l'expansion des infostealers sur différents systèmes d'exploitation et secteurs d'activité.
Plus tôt en 2025, des attaques via des paquets npm malveillants, des dépendances compromises et de fausses extensions ont révélé comment les adversaires s'introduisent dans des environnements normalement de confiance pour les développeurs. ModStealer, en tant qu'étape suivante de cette évolution, parvient à s'intégrer dans des flux de travail à l'apparence légitime, rendant sa détection encore plus difficile.
À lire aussi :
Un passage des bugs de code à la manipulation de la confiance
Les failles de sécurité sont historiquement apparues dans le secteur crypto en raison de vulnérabilités dans les smart contracts ou les logiciels de portefeuilles. Mais ModStealer s'inscrit dans un changement de paradigme. Ses attaquants n'exploitent plus seulement des bugs ou des failles zero-day ; ils détournent la confiance.
Ils manipulent la façon dont les développeurs interagissent avec les recruteurs, supposent que les outils sont sûrs et s'appuient fortement sur les protections antivirus connues. Cette approche fait de l'humain le maillon le plus faible de la cybersécurité.
Les experts en sécurité recommandent une approche stricte. Les utilisateurs doivent isoler les activités liées aux portefeuilles en utilisant des machines séparées ou des environnements virtuels. Les développeurs doivent examiner très attentivement les tâches des recruteurs et enquêter sur les sources et les dépôts avant d'exécuter le code. Ils recommandent également de s'éloigner des systèmes antivirus purement basés sur les signatures au profit d'outils de détection antivirus comportementale, de solutions EDR et de la surveillance à l'exécution.
D'autres recommandations d'experts incluent des audits réguliers des extensions de navigateur, des permissions restreintes et des mises à jour logicielles. Ils estiment que cela réduira l'exposition aux menaces basées sur ModStealer.
Avertissement : le contenu de cet article reflète uniquement le point de vue de l'auteur et ne représente en aucun cas la plateforme. Cet article n'est pas destiné à servir de référence pour prendre des décisions d'investissement.
Vous pourriez également aimer
Les grandes banques de Wall Street revoient collectivement à la hausse leurs prévisions de relèvement des taux d'intérêt, les contrats à terme sur la dette américaine poursuivent leur baisse, l'or chute de plus de 1 % et passe sous les 4000.
Après un CPI américain d'octobre supérieur aux attentes, Goldman Sachs et Nomura ont révisé leurs prévisions de trajectoire de hausse des taux en ajoutant une hausse en mars prochain, tandis que Deutsche Bank prévoit désormais une hausse en janvier prochain. Actuellement, le marché a totalement intégré une hausse de taux de 25 points de base en décembre, la probabilité d'une hausse de 50 points de base étant de 13 %. Mercredi, le marché au comptant des bons du Trésor américain était fermé, tandis que les contrats à terme sur les bons du Trésor continuaient de baisser, avec des rendements en hausse d'environ 2 à 4 points de base et l'or au comptant sous pression, en baisse de 1,1 %.
Pas besoin de s'inquiéter du ralentissement de la construction des centres de données d'IA ? La vague d'importations américaines ne devrait pas retomber à court terme, l'impact réel pourrait arriver en 2029.
Il faut en moyenne 4,8 ans pour qu’un projet de centre de données passe de la décision d’investissement au début de la construction, et 2,6 ans supplémentaires pour qu’il soit opérationnel après le lancement des travaux. Les serveurs ne peuvent généralement être installés qu’une fois la structure du bâtiment et les racks terminés. Pour les partenaires commerciaux dépendant de la chaîne d’approvisionnement des centres de données américains, tels que Taiwan, la Corée du Sud et le Mexique, l’inertie du cycle de construction garantit au moins une à deux années de stabilité pour leurs exportations futures.
Grande controverse à la Réserve fédérale : quand devrait se terminer le mandat du "numéro trois" Williams ?
Le point de controverse porte sur la question de savoir si Williams doit quitter ses fonctions en juin 2028 (après avoir accompli un mandat complet de dix ans) ou en juin 2027 (atteignant l'âge légal de la retraite à 65 ans). Selon l'analyse, le Conseil des gouverneurs de la Réserve fédérale détient le pouvoir discrétionnaire final ; en cas de départ anticipé de Williams, le président de la Fed, Waller, pourrait ainsi prendre l'initiative de nommer à l'avance la personne qui occupera ce poste clé. Toutefois, un tel écourtage forcé du mandat de Williams risquerait fortement d’être perçu comme une manipulation politique. Williams lui-même envisage de rester en fonction jusqu’en juin 2028.
Morgan Stanley met en garde : les prix du stockage ancien atteignent un sommet, l’offre et la demande pourraient devenir plus détendues d’ici 2028
Morgan Stanley indique qu'après les élections de mi-mandat aux États-Unis, il est prévu qu'environ 20 % de la nouvelle capacité des centres de données américains prévue pour 2028 soit reportée à 2029, ce qui pourrait créer une "coupure" dans la chaîne d'approvisionnement en 2028 et augmenter le risque d'accumulation des stocks d'anciennes mémoires. Ces anciennes mémoires, moins contraintes par des accords à prix fixes de longue durée, pourraient connaître une forte volatilité de prix si l'écart entre l'offre et la demande se réduit. Cette analyse concerne uniquement les anciennes mémoires, y compris DDR3/4, SLC/MLC NAND et la mémoire flash NOR.
Prix des cryptos
Plus
