Ce logiciel malveillant invisible 'ModStealer' cible vos portefeuilles cryptographiques basés sur le navigateur

Une nouvelle souche de logiciel malveillant conçue spécifiquement pour voler les données des portefeuilles crypto échappe à tous les principaux moteurs antivirus, selon la société de sécurité des appareils Apple Mosyle.

Surnommé ModStealer, ce logiciel voleur d'informations est en activité depuis près d'un mois sans être détecté par les antivirus. Les chercheurs de Mosyle indiquent que ce malware est diffusé via des annonces frauduleuses de recruteurs ciblant les développeurs et utilise un script NodeJS fortement obfusqué pour contourner les défenses basées sur les signatures.

Cela signifie que le code du logiciel malveillant a été brouillé et superposé avec des astuces qui le rendent illisible pour les outils antivirus basés sur des signatures. Étant donné que ces défenses reposent sur la détection de « motifs » de code reconnaissables, l’obfuscation les masque, permettant ainsi au script de s’exécuter sans être détecté.

En pratique, cela permet aux attaquants d’introduire des instructions malveillantes dans un système tout en contournant les analyses de sécurité traditionnelles qui détecteraient habituellement un code plus simple et non modifié.

Contrairement à la plupart des logiciels malveillants ciblant les Mac, ModStealer est multiplateforme, affectant également les environnements Windows et Linux. Sa mission principale est l'exfiltration de données, et le code est présumé inclure des instructions préchargées visant 56 extensions de portefeuilles de navigateurs conçues pour extraire des clés privées, des identifiants et des certificats.

Le logiciel malveillant prend également en charge le détournement du presse-papiers, la capture d'écran et l'exécution de code à distance, offrant aux attaquants la capacité de prendre le contrôle quasi total des appareils infectés. Sur macOS, la persistance est assurée via l'outil de lancement d'Apple, s'intégrant en tant que LaunchAgent.

Mosyle déclare que cette version correspond au profil de « Malware-as-a-Service », où les développeurs vendent des outils prêts à l’emploi à des affiliés ayant une expertise technique limitée. Ce modèle a entraîné une augmentation des logiciels de vol d’informations cette année, Jamf signalant une hausse de 28 % rien qu’en 2025.

La découverte intervient dans la foulée des récentes attaques ciblant npm, où des paquets malveillants comme colortoolsv2 et mimelib2 ont utilisé des contrats intelligents Ethereum pour dissimuler un malware de seconde phase. Dans les deux cas, les attaquants ont exploité l’obfuscation et l’infrastructure de développeurs de confiance pour contourner la détection.

ModStealer étend ce schéma au-delà des dépôts de paquets, montrant comment les cybercriminels intensifient leurs techniques à travers les écosystèmes pour compromettre les environnements des développeurs et cibler directement les portefeuilles crypto.