Malware caché en PNG 🖼️, détournement des passkeys Chrome 🔑, proxyjacking par un agent DeepSeek 🤖
• 3 minutes de lecture
Bonjour, voici ta veille Cybere du 4 août 2026 !
La livraison de malwares masqués dans le cache des navigateurs via le service DOUBLECUP, l'extraction de clés d’accès synchronisées dans Google Chrome et l'utilisation d'un agent IA DeepSeek pour mener des attaques de proxyjacking illustrent la diversité des vecteurs employés pour contourner la détection et exploiter la confiance des systèmes.
Retrouve les trois articles à la une du jour :
- DOUBLECUP dissimule un malware dans des images PNG mises en cache par les navigateurs
- Un malware contourne la vérification utilisateur de Google pour extraire les clés d’accès synchronisées
- Un agent DeepSeek piloté par des pirates chinois cible Jesta Security avec du proxyjacking
Le service russe DOUBLECUP livre un malware caché dans le cache navigateur
Un nouveau loader-as-a-service russe nommé DOUBLECUP exploite les attaques ClickFix pour dissimuler du code malveillant dans des images PNG mises en cache par les navigateurs des victimes. Selon SOCRadar, le service opère depuis juin 2026 et livre CountLoader, qui cible Windows et macOS, ainsi qu'un nouveau RAT Windows appelé DeviceManager.
DOUBLECUP fournit à ses clients une application Go permettant de configurer des campagnes d'attaque et de générer le code frontend à intégrer sur des sites ClickFix imitant NetSuite, Odoo, HubSpot ou Salesforce. Une fois la commande exécutée par la victime, le système recherche l'image PNG dans le cache du navigateur et en extrait le payload dissimulé via steganographie.
Points d'attention
- Le mécanisme repose sur une technique de steganographie dans les images PNG, où le payload se trouve caché dans les données pixel et s'extrait par recherche de taille de fichier exacte depuis le cache navigateur.
- SOCRadar a découvert DOUBLECUP en inspectant un répertoire ouvert à l'adresse IP
213.139.77.109:9090contenant des fichiers test, établissant ainsi le lien avec le panneau de licence du service. - DeviceManager utilise des contrats intelligents Ethereum ou Polygon pour récupérer dynamiquement son adresse de commandement, technique baptisée EtherHiding qui rend la perturbation du C2 significativement plus difficile.
Le malware Pass-ta-key peut détourner les clés d'accès synchronisées de Google
Des chercheurs de Palo Alto Networks ont révélé trois attaques collectives baptisées Pass-ta-key permettant à un malware déjà présent sur un ordinateur Windows d'abuser du gestionnaire de mots de passe Google en Chrome pour contourner la vérification utilisateur et accéder à des comptes. Ces attaques ciblent les appareils dotés d'un Trusted Platform Module (TPM).
Les trois techniques exploitent des faiblesses dans la gestion de la confiance des appareils, l'intégration et la synchronisation des identifiants par Chrome et l'authentificateur cloud de Google, sans briser la cryptographie des clés d’accès elles-mêmes. La plus grave, Golden Pass-ta-key, permet d'extraire la clé secrète maître chiffrant toutes les clés d'accès synchronisées, puis de déchiffrer les clés privées pour usurper les comptes de la victime.
Points d'attention
- La première attaque, Pass-ta-key, abuse de la clé d'identité de l'appareil sauvegardée par le TPM pour signer une requête à l'authentificateur cloud de Google, obtenant une réponse d'authentification qui échoue toutefois si un service exige et valide correctement la vérification utilisateur.
- L'attaque Pass-ta-key échoue contre les services validant correctement l'indicateur « User Verified », comme GitHub, mais a réussi contre eBay avant sa correction ultérieure.
- La clé secrète maître, temporairement accessible en mémoire du processus Chrome lors du réenregistrement, ne peut être révoquée ou renouvelée selon les chercheurs, exposant les clés d’accès actuelles et futures.
Un agent DeepSeek piloté par des pirates chinois cible une entreprise de cybersécurité
Un agent IA DeepSeek a ciblé le réseau de Jesta Security, société israélienne de cybersécurité, dans une campagne de proxyjacking visant à construire une infrastructure d'attaque distribuée. Selon Jesta, l'attaque a été volontaire et pilotée de bout en bout par un pirate humain, contrairement à l'incident précédent impliquant OpenAI sur Hugging Face qui était accidentel.
Sur cinq jours, l'agent a mené la reconnaissance via 871 sessions SSH, dont la plupart duraient moins de deux secondes, profitant de pauses brèves pour réfléchir entre les commandes. L'objectif : compromettre des serveurs peu sécurisés et déployer des proxies MicroSocks SOCKS5 pour créer des relais. Jesta a identifié une liste de cibles contenant 1 283 hôtes avec leurs identifiants associés, tandis que 1 000 autres victimes ont été atteintes selon le même schéma.
Points d'attention
- L'agent DeepSeek Flash Free a démontré une autonomie complète : hallucinations, formatage lisible uniquement par un modèle, et extraction de sa propre identité en une fraction de seconde, éliminant toute intervention humaine.
- Les indicateurs d'attribution pointent vers la Chine : fuseaux horaires de Pékin observés et caractères chinois détectés dans les payloads, selon Aviv Halfon, cofondateur de Jesta.
- Les cibles étaient principalement des petites et moyennes entreprises hébergeant des sites et applications, rendant ce vecteur accessible même à des attaquants peu qualifiés pour orchestrer des campagnes de masse.
Autres actus importantes
- N-able met en garde contre une faille de contournement d'authentification N-central exploitée dans des attaques
- Dans les coulisses de l'économie souterraine du malware Android BTMOB RAT
- 18 paquets npm malveillants distribuent un RAT multiplateforme aux utilisateurs d'outils Alibaba
- Qodana 2026.2 ajoute des vérifications de cryptographie post-quantique pour le code JVM
Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️
À demain pour la prochaine veille 🔐 – Kilian de Cybere