{"id":239691,"date":"2026-11-13T03:20:38","date_gmt":"2026-11-13T11:20:38","guid":{"rendered":"https:\/\/www.mcafee.com\/blogs\/?p=239691"},"modified":"2026-11-13T05:08:41","modified_gmt":"2026-11-13T13:08:41","slug":"marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe","status":"publish","type":"post","link":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/","title":{"rendered":"Logiciels malveillants \u00e0 la demande\u00a0: les dessous de Marsalek, une campagne MaaS"},"content":{"rendered":"<p style=\"text-align: center;\"><em>Auteur\u00a0: Aayush\u00a0Tyagi<\/em><\/p>\n<h2>Introduction<\/h2>\n<p>Les campagnes de type malware-as-a-service (MaaS) sont de plus en plus accessibles au sein des communaut\u00e9s de jeux en ligne et sur Internet au sens large. Des logiciels malveillants sophistiqu\u00e9s, dont le d\u00e9veloppement n\u00e9cessitait autrefois une expertise technique, peuvent d\u00e9sormais \u00eatre obtenus gratuitement, offrant ainsi aux pirates en herbe les outils n\u00e9cessaires pour cibler des victimes qui ne se doutent de rien. Pour les jeunes utilisateurs en particulier, ce qui commence par de la curiosit\u00e9 ou une simple exp\u00e9rimentation peut devenir une porte d&#8217;entr\u00e9e vers la cybercriminalit\u00e9, ce qui risque de les d\u00e9sensibiliser aux cons\u00e9quences concr\u00e8tes de leurs actes.<\/p>\n<p>Suite \u00e0 <a href=\"https:\/\/www.mcafee.com\/blogs\/other-blogs\/mcafee-labs\/weedhack-minecraft-malware-as-a-service-campaign-research\/\" target=\"_blank\" rel=\"noopener\">notre enqu\u00eate sur WeedHack<\/a>, une campagne de type malware-as-a-service (MaaS) ciblant les joueurs de Minecraft, <strong>McAfee\u00a0Labs a mis au jour une autre op\u00e9ration<\/strong> li\u00e9e au m\u00eame \u00e9cosyst\u00e8me cybercriminel. Baptis\u00e9e <strong>Marsalek<\/strong>, cette campagne a \u00e9tendu sa port\u00e9e au-del\u00e0 de Minecraft en dissimulant des logiciels malveillants sous l&#8217;apparence d&#8217;outils, d&#8217;astuces et d&#8217;utilitaires populaires destin\u00e9s aux amateurs de jeux tels que Roblox, Fortnite et Counter-Strike 2.<\/p>\n<p>Actif entre d\u00e9cembre 2025 et mai 2026 environ, Marsalek offrait un acc\u00e8s gratuit \u00e0 des logiciels malveillants sophistiqu\u00e9s destin\u00e9s \u00e0 voler des renseignements via une plateforme accessible au public, dot\u00e9e d&#8217;un tableau de bord permettant aux utilisateurs de cr\u00e9er des fichiers malveillants, de suivre leurs victimes et d&#8217;acc\u00e9der aux donn\u00e9es vol\u00e9es. <strong>McAfee\u00a0Labs a identifi\u00e9<\/strong> <strong>plus de 1\u00a0560\u00a0comptes enregistr\u00e9s, plus de 400\u00a0fichiers malveillants et plus de 29\u00a0URL de distribution<\/strong> associ\u00e9es \u00e0 cette campagne, ce qui illustre l&#8217;accessibilit\u00e9 et la port\u00e9e potentielle de ces op\u00e9rations.<\/p>\n<p>Notre enqu\u00eate a \u00e9galement mis au jour une tactique particuli\u00e8rement pr\u00e9occupante, connue sous le nom de <strong>double infection<\/strong>. Ce ph\u00e9nom\u00e8ne se produit lorsqu&#8217;une m\u00eame infection par un logiciel malveillant utilise deux canaux distincts pour collecter et transmettre les donn\u00e9es vol\u00e9es, ce qui peut permettre \u00e0 plusieurs cybercriminels de tirer profit d&#8217;une m\u00eame victime. Dans le cas de Marsalek, le logiciel malveillant d\u00e9ploie un autre programme de vol de renseignements appel\u00e9 PureLog, qui envoie les donn\u00e9es vol\u00e9es \u00e0 un serveur distinct. Cela signifie que, m\u00eame si une personne utilisant Marsalek peut penser qu&#8217;elle collecte des mots de passe vol\u00e9s et d&#8217;autres renseignements personnels pour son propre compte, l&#8217;op\u00e9rateur du logiciel malveillant pourrait \u00e9galement acc\u00e9der \u00e0 ces renseignements \u00e0 son insu.<\/p>\n<p>\u00c0 l&#8217;instar de WeedHack, Marsalek met en \u00e9vidence une \u00e9volution inqui\u00e9tante du paysage de la cybercriminalit\u00e9 : les outils malveillants puissants sont de plus en plus faciles \u00e0 se procurer et \u00e0 utiliser, ce qui r\u00e9duit les obstacles emp\u00eachant les utilisateurs inexp\u00e9riment\u00e9s de se livrer \u00e0 des activit\u00e9s cybercriminelles. Pour les joueurs peu m\u00e9fiants et les internautes lambda, les cons\u00e9quences peuvent \u00eatre graves. Le t\u00e9l\u00e9chargement de ce qui semble \u00eatre une modification gratuite d&#8217;un jeu ou une application utile pourrait exposer vos mots de passe enregistr\u00e9s, vos comptes en ligne, vos portefeuilles de cryptomonnaies et vos fichiers personnels sensibles \u00e0 des cybercriminels.<\/p>\n<h2>Principales conclusions<\/h2>\n<ul>\n<li>Marsalek a \u00e9t\u00e9 actif de la mi-d\u00e9cembre\u00a02025 jusqu&#8217;\u00e0 la fin du mois de mai\u00a02026 environ. Il op\u00e9rait en parall\u00e8le de <a href=\"https:\/\/www.mcafee.com\/blogs\/other-blogs\/mcafee-labs\/weedhack-minecraft-malware-as-a-service-campaign-research\/\" target=\"_blank\" rel=\"noopener\">WeedHack<\/a>.<\/li>\n<li>Nous avons d\u00e9couvert que ces deux campagnes \u00e9taient li\u00e9es, car elles renvoient toutes deux au m\u00eame canal Telegram d\u00e9di\u00e9 au support client, \u00e0 savoir \u00ab\u00a0@MetaMaskenMann\u00a0\u00bb.<\/li>\n<li>Cette campagne propose quatre vecteurs d&#8217;infection diff\u00e9rents pour la phase\u00a01\u00a0: PowerShell, ClickFix, Python et les fichiers ex\u00e9cutables PE.<\/li>\n<li>Nous avons identifi\u00e9 plus de 400\u00a0fichiers malveillants li\u00e9s \u00e0 cette attaque, ainsi que plus de 29\u00a0URL qui distribuent ces logiciels malveillants.<\/li>\n<li>En analysant les noms de fichiers et les URL de distribution, nous avons constat\u00e9 que Marsalek \u00e9tait utilis\u00e9 pour cibler divers jeux tels que Roblox, Fortnite, Minecraft, CS2 et Grim\u00a0Dawn, en se faisant passer pour des utilitaires ou des hacks, et en les diffusant via de faux sites Web et serveurs Discord.<\/li>\n<li>Marsalek s&#8217;est \u00e9galement fait passer pour des outils de piratage, des logiciels malveillants destin\u00e9s \u00e0 voler des renseignements, des outils Discord, des programmes permettant d&#8217;usurper des identifiants mat\u00e9riels, des applications de cryptomonnaie et des outils de v\u00e9rification des t\u00e9moins. Nous avons d\u00e9j\u00e0 observ\u00e9 des campagnes similaires, dans lesquelles <a href=\"https:\/\/www.mcafee.com\/blogs\/other-blogs\/mcafee-labs\/githubs-dark-side-unveiling-malware-disguised-as-cracks-hacks-and-crypto-tools\/\" target=\"_blank\" rel=\"noopener\">GitHub \u00e9tait utilis\u00e9 pour diffuser des versions pirat\u00e9es contenant des chevaux de Troie, des hacks de jeux et des outils de cryptomonnaie.<\/a><\/li>\n<li>Contrairement \u00e0 WeedHack, qui s&#8217;appuyait sur des logiciels malveillants bas\u00e9s sur Java, Marsalek utilise Python pour mettre en \u0153uvre ses charges utiles de phase interm\u00e9diaire, mais partage les m\u00eames charges utiles de phase finale que celles observ\u00e9es lors de la campagne WeedHack.<\/li>\n<li>Marsalek comptait plus de 1\u00a0560\u00a0comptes uniques enregistr\u00e9s, ce qui t\u00e9moigne d&#8217;une base d&#8217;utilisateurs importante.<\/li>\n<li>Marsalek ne proposait qu&#8217;une formule gratuite pendant la dur\u00e9e de son activit\u00e9, tandis que la formule premium \u00e9tait signal\u00e9e comme \u00ab\u00a0prochainement disponible\u00a0\u00bb. L&#8217;acc\u00e8s \u00e0 la formule gratuite ne n\u00e9cessite ni compte Discord ni adresse courriel.<\/li>\n<li>Marsalek a contourn\u00e9 le chiffrement li\u00e9 \u00e0 l&#8217;application (ABE, App-Bound Encryption) de Chrome en recourant \u00e0 l&#8217;injection\u00a0DLL pour acc\u00e9der aux t\u00e9moins, aux mots de passe et aux jetons d&#8217;actualisation de navigateurs connus et fiables bas\u00e9s sur Chromium, tels que Chrome, Edge et Brave.<\/li>\n<li>Marsalek cible \u00e9galement plus de 32\u00a0navigateurs bas\u00e9s sur Chromium, qui utilisent des techniques de chiffrement DPAPI traditionnelles ou le chiffrement AES-GCM, afin de d\u00e9rober des t\u00e9moins, des mots de passe et des donn\u00e9es d&#8217;extensions de navigateur relatives aux portefeuilles de cryptomonnaies.<\/li>\n<li>Marsalek recherche les identifiants Discord dans 26\u00a0chemins diff\u00e9rents, les d\u00e9chiffre et les valide avant de les compresser et de les exfiltrer vers le serveur\u00a0C2. Il extrait \u00e9galement les donn\u00e9es relatives \u00e0 Telegram et au VPN Mullvad de l&#8217;ordinateur de la victime.<\/li>\n<li>Marsalek est capable d&#8217;effectuer des recherches dans cinq chemins d&#8217;acc\u00e8s aux fichiers courants, en identifiant les fichiers \u00e0 partir de 24\u00a0mots-cl\u00e9s et de 21\u00a0extensions de fichiers.<\/li>\n<li>Marsalek cible plus de 56\u00a0extensions de navigateur et 12\u00a0applications d\u00e9di\u00e9es \u00e0 la gestion des cryptomonnaies. Les logiciels malveillants cr\u00e9ent \u00e9galement des portes d\u00e9rob\u00e9es dans les applications de bureau Exodus et Atomic\u00a0Wallet.<\/li>\n<li>Le cybercriminel assure sa persistance gr\u00e2ce \u00e0 des entr\u00e9es dans le dossier de d\u00e9marrage et les t\u00e2ches planifi\u00e9es, cr\u00e9e plus de 23\u00a0exclusions dans Windows\u00a0Defender et utilise des binaires LOLBAS pour faciliter l&#8217;\u00e9l\u00e9vation des privil\u00e8ges.<\/li>\n<li>\u00c0 l&#8217;instar de WeedHack, Marsalek propose un tableau de bord complet qui permet aux clients de consulter les identifiants vol\u00e9s, de visualiser une carte thermique de toutes les victimes, de t\u00e9l\u00e9charger diff\u00e9rentes charges utiles, de configurer des notifications pour Telegram et d&#8217;acc\u00e9der \u00e0 une section FAQ qui explique comment utiliser les identifiants d\u00e9rob\u00e9s et blanchir les cryptomonnaies vol\u00e9es.<\/li>\n<li>Cette campagne distribue \u00e9galement le programme de vol de renseignements PureLog, qui cible 48\u00a0extensions de navigateur, 35\u00a0navigateurs et 12\u00a0applications de bureau. Cet \u00e9chantillon exfiltre les donn\u00e9es vers un serveur\u00a0C2 distinct, ce qui d\u00e9montre que l&#8217;op\u00e9ration repose sur une double infection.<\/li>\n<\/ul>\n<h2>Vecteur d&#8217;attaque<\/h2>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239369 size-large\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure1-1024x521.png\" alt=\"Figure\u00a01. Vecteur dattaque\" width=\"1024\" height=\"521\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure1-1024x521.png 1024w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure1-300x153.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure1-768x390.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure1-1536x781.png 1536w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure1-205x104.png 205w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure1.png 1910w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure 1. Vecteur d&#8217;attaque<\/em><\/p>\n<p>Marsalek met \u00e0 la disposition de ses clients deux outils de cr\u00e9ation de scripts qui permettent aux utilisateurs de cr\u00e9er des charges utiles personnalis\u00e9es en PowerShell et en Python, int\u00e9grant un identifiant utilisateur unique. Il propose \u00e9galement des outils de cr\u00e9ation de fichiers EXE et de pages ClickFix.<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239204 size-large\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure2-1024x483.png\" alt=\"Figure\u00a02. Outil de cr\u00e9ation de fichiers EXE de Marsalek\" width=\"1024\" height=\"483\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure2-1024x483.png 1024w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure2-300x142.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure2-768x362.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure2-1536x725.png 1536w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure2-205x97.png 205w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure2.png 1882w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a02. Outil de cr\u00e9ation de fichiers EXE de Marsalek<\/em><\/p>\n<p>Gr\u00e2ce \u00e0 la prise en charge de plusieurs types de charges utiles, les clients peuvent cibler divers d\u00e9p\u00f4ts Python et y charger du code malveillant, partager des scripts PowerShell infect\u00e9s avec des utilisateurs qui ne se doutent de rien, cr\u00e9er des sites Web mettant en \u0153uvre les techniques d&#8217;ing\u00e9nierie sociale ClickFix et se faire passer pour des logiciels ou des mods de jeux connus et couramment utilis\u00e9s, maximisant ainsi la port\u00e9e de leurs campagnes et les taux d&#8217;infection.<\/p>\n<p>La cha\u00eene d&#8217;infection de Marsalek reste globalement inchang\u00e9e apr\u00e8s le vecteur d&#8217;acc\u00e8s initial. Marsalek utilise une charge utile bas\u00e9e sur Python pour les phases 2 et 3. La charge utile de la phase 4 est un \u00e9chantillon du logiciel malveillant PureLog, qui collecte un ensemble similaire d&#8217;identifiants mais les envoie \u00e0 un serveur C2 distinct.<\/p>\n<p>PureLog, rep\u00e9r\u00e9 pour la premi\u00e8re fois en 2022, a \u00e9t\u00e9 d\u00e9velopp\u00e9 par un cybercriminel connu sous le nom de \u00ab PureCoder \u00bb. Depuis lors, il est devenu un programme de vol de renseignements tr\u00e8s r\u00e9pandu et peu co\u00fbteux, dont les abonnements sont propos\u00e9s \u00e0 partir de 59 dollars par mois seulement.<\/p>\n<p>Cette double collecte d&#8217;identifiants r\u00e9v\u00e8le que la campagne repose sur une double infection. L&#8217;attaquant derri\u00e8re la campagne conserve l&#8217;acc\u00e8s \u00e0 l&#8217;ensemble des identifiants r\u00e9cup\u00e9r\u00e9s par Marsalek. Par cons\u00e9quent, si un client parvient \u00e0 infecter une victime de grande valeur, l&#8217;auteur de Marsalek pourrait \u00eatre en mesure d&#8217;exploiter les identifiants vol\u00e9s avant m\u00eame ce client.<\/p>\n<p>De ce fait, ce sont les clients qui assument le risque op\u00e9rationnel et la charge de travail li\u00e9s \u00e0 la mise en \u0153uvre des campagnes, sans pour autant en r\u00e9colter pleinement les fruits.<\/p>\n<p>Marsalek cible les navigateurs suivants :<\/p>\n<table width=\"739\">\n<tbody>\n<tr>\n<td width=\"113\">Chrome<\/td>\n<td width=\"113\">Thorium<\/td>\n<td width=\"113\">Maple<\/td>\n<td width=\"113\">Iridium<\/td>\n<td width=\"113\">7Star<\/td>\n<td width=\"175\">CentBrowser<\/td>\n<\/tr>\n<tr>\n<td width=\"113\">Chrome<\/td>\n<td width=\"113\">Edge<\/td>\n<td width=\"113\">Brave<\/td>\n<td width=\"113\">Opera<\/td>\n<td width=\"113\">Opera\u00a0GX<\/td>\n<td width=\"175\">Yandex<\/td>\n<\/tr>\n<tr>\n<td width=\"113\">Chedot<\/td>\n<td width=\"113\">Vivaldi<\/td>\n<td width=\"113\">Kometa<\/td>\n<td width=\"113\">Elements<\/td>\n<td width=\"113\">Uran<\/td>\n<td width=\"175\">Epic\u00a0Privacy\u00a0Browser<\/td>\n<\/tr>\n<tr>\n<td width=\"113\">Fenrir<\/td>\n<td width=\"113\">Catalina<\/td>\n<td width=\"113\">Coowon<\/td>\n<td width=\"113\">Liebao<\/td>\n<td width=\"113\">QIP\u00a0Surf<\/td>\n<td width=\"175\">Orbitum<\/td>\n<\/tr>\n<tr>\n<td width=\"113\">Dragon<\/td>\n<td width=\"113\">360Browser<\/td>\n<td width=\"113\">CocCoc<\/td>\n<td width=\"113\">Maxthon<\/td>\n<td width=\"113\">Amigo<\/td>\n<td width=\"175\">K-Melon<\/td>\n<\/tr>\n<tr>\n<td width=\"113\">Torch<\/td>\n<td width=\"113\">Sputnik<\/td>\n<td width=\"113\">DCBrowser<\/td>\n<td width=\"113\">Slimjet<\/td>\n<td width=\"113\">UR\u00a0Browser<\/td>\n<td width=\"175\">Firefox<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Marsalek affirme dans sa section FAQ qu&#8217;il est capable de voler les mots de passe et les t\u00e9moins de tous les navigateurs bas\u00e9s sur Gecko, ce qui est faux, car il ne cible que Firefox. Bien que sa logique d&#8217;extraction pour Firefox puisse facilement \u00eatre adapt\u00e9e \u00e0 d&#8217;autres navigateurs Gecko compatibles NSS, Marsalek ne les r\u00e9pertorie pas et ne les cible pas explicitement.<\/p>\n<p>Il cible les extensions de navigateur suivantes li\u00e9es aux cryptomonnaies :<\/p>\n<table width=\"742\">\n<tbody>\n<tr>\n<td width=\"105\">Authenticator<\/td>\n<td width=\"96\">Binance<\/td>\n<td width=\"70\">bitApp<\/td>\n<td width=\"92\">BoltX<\/td>\n<td width=\"83\">Coin98<\/td>\n<td width=\"83\">Coinbase<\/td>\n<td width=\"138\">Core<\/td>\n<td width=\"75\">Crocobit<\/td>\n<\/tr>\n<tr>\n<td width=\"105\">Ever<\/td>\n<td width=\"96\">ExodusWeb3<\/td>\n<td width=\"70\">Fewcha<\/td>\n<td width=\"92\">Finnie<\/td>\n<td width=\"83\">Guarda<\/td>\n<td width=\"83\">Guild<\/td>\n<td width=\"138\">Harmony (obsol\u00e8te)<\/td>\n<td width=\"75\">Iconex<\/td>\n<\/tr>\n<tr>\n<td width=\"105\">Kaikas<\/td>\n<td width=\"96\">KardiaChain<\/td>\n<td width=\"70\">Keplr<\/td>\n<td width=\"92\">Liquality<\/td>\n<td width=\"83\">MEWCX<\/td>\n<td width=\"83\">MaiarDEFI<\/td>\n<td width=\"138\">Martian<\/td>\n<td width=\"75\">Math<\/td>\n<\/tr>\n<tr>\n<td width=\"105\">MetaMask2<\/td>\n<td width=\"96\">Mobox<\/td>\n<td width=\"70\">Nami<\/td>\n<td width=\"92\">Nifty<\/td>\n<td width=\"83\">Oxygen<\/td>\n<td width=\"83\">PaliWallet<\/td>\n<td width=\"138\">Petra<\/td>\n<td width=\"75\">Phantom<\/td>\n<\/tr>\n<tr>\n<td width=\"105\">Ronin<\/td>\n<td width=\"96\">Safepal<\/td>\n<td width=\"70\">Saturn<\/td>\n<td width=\"92\">Slope<\/td>\n<td width=\"83\">Solfare<\/td>\n<td width=\"83\">Sollet<\/td>\n<td width=\"138\">Starcoin<\/td>\n<td width=\"75\">Swash<\/td>\n<\/tr>\n<tr>\n<td width=\"105\">TerraStation<\/td>\n<td width=\"96\">TokenPocket<\/td>\n<td width=\"70\">Ton<\/td>\n<td width=\"92\">Tron<\/td>\n<td width=\"83\">XDEFI<\/td>\n<td width=\"83\">Wombat<\/td>\n<td width=\"138\">Trust\u00a0Wallet<\/td>\n<td width=\"75\">XMR.PT<\/td>\n<\/tr>\n<tr>\n<td width=\"105\">Yoroi<\/td>\n<td width=\"96\">iWallet<\/td>\n<td width=\"70\">Equal<\/td>\n<td width=\"92\">TempleTezos<\/td>\n<td width=\"83\">MetaMask<\/td>\n<td width=\"83\">Pontem<\/td>\n<td width=\"138\">Jaxx\u00a0Liberty<\/td>\n<td width=\"75\">XinPay<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Il cible les portefeuilles de cryptomonnaies de bureau suivants :<\/p>\n<table width=\"740\">\n<tbody>\n<tr>\n<td width=\"185\">Atomic<\/td>\n<td width=\"185\">Exodus<\/td>\n<td width=\"185\">\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Electrum<\/td>\n<td width=\"185\">Electrum-LTC<\/td>\n<\/tr>\n<tr>\n<td width=\"185\">Zcash<\/td>\n<td width=\"185\">Armory<\/td>\n<td width=\"185\">Bytecoin<\/td>\n<td width=\"185\">Jaxx<\/td>\n<\/tr>\n<tr>\n<td width=\"185\">Ethereum<\/td>\n<td width=\"185\">Guarda<\/td>\n<td width=\"185\">Coinomi<\/td>\n<td width=\"185\">Monero<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Marsalek recherche des fichiers dans plusieurs r\u00e9pertoires utilisateur couramment utilis\u00e9s. Plus pr\u00e9cis\u00e9ment, il analyse les emplacements suivants :<\/p>\n<p><strong>%USERPROFILE%\\Bureau<\/strong><\/p>\n<p><strong>%USERPROFILE%\\Documents<\/strong><\/p>\n<p><strong>%USERPROFILE%\\T\u00e9l\u00e9chargements<\/strong><\/p>\n<p><strong>%USERPROFILE%\\OneDrive\\Documents<\/strong><\/p>\n<p><strong>%USERPROFILE%\\OneDrive\\Bureau<\/strong><\/p>\n<p>Et il cible activement les mots-cl\u00e9s suivants\u00a0:<\/p>\n<table width=\"739\">\n<tbody>\n<tr>\n<td width=\"113\">passw<\/td>\n<td width=\"113\">mdp<\/td>\n<td width=\"113\">motdepasse<\/td>\n<td width=\"113\">mot_de_passe<\/td>\n<td width=\"113\">connexion<\/td>\n<td width=\"175\">secret<\/td>\n<\/tr>\n<tr>\n<td width=\"113\">account<\/td>\n<td width=\"113\">acount<\/td>\n<td width=\"113\">paypal<\/td>\n<td width=\"113\">banque<\/td>\n<td width=\"113\">metamask<\/td>\n<td width=\"175\">wallet<\/td>\n<\/tr>\n<tr>\n<td width=\"113\">crypto<\/td>\n<td width=\"113\">exodus<\/td>\n<td width=\"113\">discord<\/td>\n<td width=\"113\">2fa<\/td>\n<td width=\"113\">code<\/td>\n<td width=\"175\">memo<\/td>\n<\/tr>\n<tr>\n<td width=\"113\">compte<\/td>\n<td width=\"113\">jeton<\/td>\n<td width=\"113\">sauvegarde<\/td>\n<td width=\"113\">seecret<\/td>\n<td width=\"113\">phrasesecrete<\/td>\n<td width=\"175\">graine<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Cette approche non s\u00e9lective, qui consiste \u00e0 cibler une liste extr\u00eamement vaste d&#8217;applications et de fichiers, garantit que presque chaque utilisateur infect\u00e9 fournit des renseignements exploitables.<\/p>\n<p>Notre analyse a r\u00e9v\u00e9l\u00e9 que Marsalek s&#8217;\u00e9tait principalement attach\u00e9 \u00e0 se faire passer pour des ex\u00e9cuteurs de scripts Roblox tr\u00e8s r\u00e9pandus, tels que Swift Executor, Solara Executor, MatrixHub External et Matcha External. Certains clients Minecraft bien connus ont \u00e9galement \u00e9t\u00e9 pris pour cible, dont Shadow Client et Boss Client.<\/p>\n<p>Les cybercriminels ont \u00e9galement cr\u00e9\u00e9 des sites Web contrefaits afin d&#8217;attirer des utilisateurs peu m\u00e9fiants et de les infecter. Ces vecteurs d&#8217;infection pr\u00e9sentent un risque consid\u00e9rable de contaminer les jeunes joueurs sur Internet.<\/p>\n<h2>R\u00e9partition g\u00e9ographique<\/h2>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239039 size-large\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure3-1024x532.png\" alt=\"Figure\u00a03. R\u00e9partition g\u00e9ographique\" width=\"1024\" height=\"532\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure3-1024x532.png 1024w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure3-300x156.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure3-768x399.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure3-205x107.png 205w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure3.png 1272w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a03. R\u00e9partition g\u00e9ographique<\/em><\/p>\n<p>Au cours des six derniers mois, McAfee a constat\u00e9 que Marsalek \u00e9tait particuli\u00e8rement r\u00e9pandu aux \u00c9tats-Unis, suivis par l&#8217;Allemagne, le Royaume-Uni, l&#8217;Inde, le Br\u00e9sil, la Pologne, les Pays-Bas, l&#8217;Italie et le Canada.<\/p>\n<h2>En quoi est-ce important?<\/h2>\n<p>McAfee a constat\u00e9 une recrudescence des campagnes MaaS en 2026. Auparavant, la vente de logiciels malveillants se limitait au Dark Web, mais ces derniers temps, nous avons remarqu\u00e9 qu&#8217;il suffisait d&#8217;une simple recherche sur Google pour se procurer des programmes malveillants sophistiqu\u00e9s. M\u00eame le co\u00fbt d&#8217;acquisition des logiciels malveillants a consid\u00e9rablement baiss\u00e9, de nombreuses campagnes proposant une formule gratuite pour attirer davantage de clients. Ce sc\u00e9nario, qui pr\u00e9sente peu de risques mais offre des gains importants, attire de nombreux adolescents qui ne mesurent pas les cons\u00e9quences de leurs actes.<\/p>\n<p>Ces relations symbiotiques entre l&#8217;attaquant et ses clients cr\u00e9ent un \u00e9cosyst\u00e8me mutuellement b\u00e9n\u00e9fique pour les deux parties. Les clients qui n&#8217;ont pas les comp\u00e9tences techniques pour cr\u00e9er et g\u00e9rer une campagne de logiciels malveillants ont ainsi acc\u00e8s \u00e0 des programmes malveillants pr\u00eats \u00e0 l&#8217;emploi. D&#8217;autre part, les cybercriminels disposent d&#8217;une bande passante limit\u00e9e et ne peuvent infecter qu&#8217;un certain nombre de victimes par leurs propres moyens. En comptant plus d&#8217;un millier de clients, ils peuvent accro\u00eetre consid\u00e9rablement la port\u00e9e et le succ\u00e8s de leurs campagnes.<\/p>\n<p>Cette campagne reposant sur une double infection, l&#8217;attaquant est en effet le premier \u00e0 s&#8217;en prendre \u00e0 ses victimes, ce qui lui permet d&#8217;en tirer le plus grand profit. L&#8217;achat de la formule premium n&#8217;\u00e9limine pas le risque pour les clients, car le responsable de la campagne peut \u00e0 tout moment d\u00e9manteler le serveur C2 et s&#8217;enfuir avec les identifiants vol\u00e9s et les frais d&#8217;abonnement.<\/p>\n<p>Nous avons constat\u00e9 une recrudescence des logiciels malveillants se faisant passer pour des hacks et des outils l\u00e9gitimes destin\u00e9s aux joueurs. Ces campagnes ciblent les utilisateurs \u00e0 la recherche d&#8217;un moyen simple d&#8217;acc\u00e9der \u00e0 des logiciels de jeux qui sont g\u00e9n\u00e9ralement r\u00e9serv\u00e9s aux abonn\u00e9s payants. Le t\u00e9l\u00e9chargement de ces applications infect\u00e9es par un cheval de Troie peut permettre \u00e0 des cyberpirates d&#8217;acc\u00e9der aux identifiants enregistr\u00e9s sur l&#8217;appareil d&#8217;une victime. Ces identifiants vol\u00e9s sont souvent vendus sur des canaux Telegram ou sur des marketplaces du Dark Web, ce qui g\u00e9n\u00e8re des profits consid\u00e9rables pour les cybercriminels.<\/p>\n<p>Les programmes de vol de renseignements sont devenus le pilier de la cybercriminalit\u00e9 en 2026, et ces attaques devraient conna\u00eetre une croissance exponentielle dans les ann\u00e9es \u00e0 venir.<\/p>\n<p><strong>Chez McAfee\u00a0Labs, nous traquons activement ce type de campagnes de logiciels malveillants\u00a0; vous n&#8217;avez donc pas \u00e0 vous inqui\u00e9ter.<\/strong> Mais il est toujours utile de rester inform\u00e9 et de se tenir au courant des derni\u00e8res menaces, ainsi que des moyens de vous prot\u00e9ger, vous et vos proches, contre celles-ci.<\/p>\n<table width=\"689\">\n<tbody>\n<tr style=\"mso-yfti-irow: 0; mso-yfti-firstrow: yes; height: 14.25pt; mso-prop-change: 'Tyagi\\, Aayush' 20260918T1901;\">\n<td width=\"121\"><span style=\"font-weight: normal !msorm;\"><strong>\u00c9tape<\/strong><\/span><span style=\"font-weight: normal !msorm;\"><strong>\u00a0<\/strong><\/span><\/td>\n<td width=\"120\"><span style=\"font-weight: normal !msorm;\"><strong>Exp\u00e9rience utilisateur<\/strong><\/span><span style=\"font-weight: normal !msorm;\"><strong>\u00a0<\/strong><\/span><\/td>\n<td width=\"120\"><span style=\"font-weight: normal !msorm;\"><strong>En coulisses<\/strong><\/span><span style=\"font-weight: normal !msorm;\"><strong>\u00a0<\/strong><\/span><\/td>\n<td width=\"120\"><span style=\"font-weight: normal !msorm;\"><strong>Signaux d&#8217;alerte<\/strong><\/span><span style=\"font-weight: normal !msorm;\"><strong>\u00a0<\/strong><\/span><\/td>\n<td width=\"209\"><span style=\"font-weight: normal !msorm;\"><strong>Aide apport\u00e9e par McAfee<\/strong><\/span><\/td>\n<\/tr>\n<tr style=\"mso-yfti-irow: 1; height: 14.25pt; mso-prop-change: 'Tyagi\\, Aayush' 20260918T1901;\">\n<td width=\"121\">1.\u00a0\u00a0\u00a0\u00a0\u00a0 Vous tombez sur un fichier EXE sur Discord.<\/td>\n<td width=\"120\">Un autre utilisateur a partag\u00e9 un fichier, affirmant qu&#8217;il s&#8217;agissait d&#8217;un hack de jeu ou d&#8217;un autre outil pirat\u00e9.<\/td>\n<td width=\"120\">Dans la plupart des cas, il s&#8217;agit de logiciels infect\u00e9s par un cheval de Troie, contenant un programme de vol de renseignements.<\/td>\n<td width=\"120\">Ce fichier se fait passer pour une version gratuite d&#8217;un client de jeu l\u00e9gitime.<\/td>\n<td width=\"209\">\u00a0<a href=\"https:\/\/www.mcafee.com\/learn\/fr-ca\/protection-web\/\">McAfee\u00ae\u00a0Total\u00a0Protection<\/a> est r\u00e9guli\u00e8rement mis \u00e0 jour afin de lutter contre les menaces en constante \u00e9volution, notamment les programmes de vol de renseignements, les ransomwares, les applications infect\u00e9es par des chevaux de Troie et d&#8217;autres techniques d&#8217;attaque \u00e9mergentes.<\/td>\n<\/tr>\n<tr style=\"mso-yfti-irow: 2; height: 14.25pt; mso-prop-change: 'Tyagi\\, Aayush' 20260918T1901;\">\n<td width=\"121\">2.\u00a0\u00a0\u00a0\u00a0 Vous avez d\u00e9couvert un site Web proposant une version pirat\u00e9e d&#8217;un jeu sorti r\u00e9cemment.<\/td>\n<td width=\"120\">Le site Web semble l\u00e9gitime, car il est bien con\u00e7u et tr\u00e8s esth\u00e9tique.<\/td>\n<td width=\"120\">1.\u00a0Il est d\u00e9sormais plus facile de cr\u00e9er ce type de sites Web, gr\u00e2ce aux avanc\u00e9es des mod\u00e8les d&#8217;IA. \u00a0 2.\u00a0Les jeux et logiciels pirat\u00e9s sont souvent distribu\u00e9s avec des logiciels malveillants int\u00e9gr\u00e9s.<\/td>\n<td width=\"120\">\u00c9tant donn\u00e9 que le contournement des mesures de protection contre le piratage demande g\u00e9n\u00e9ralement du temps et des efforts, les versions \u00ab\u00a0gratuites\u00a0\u00bb de jeux r\u00e9cemment sortis sont souvent utilis\u00e9es comme app\u00e2t pour distribuer des logiciels malveillants.<\/td>\n<td width=\"209\"><a href=\"https:\/\/www.mcafee.com\/learn\/fr-ca\/protection-web\/\">La protection Web de McAfee\u200b<\/a> contribue \u00e0 bloquer les sites malveillants.<\/td>\n<\/tr>\n<tr style=\"mso-yfti-irow: 3; height: 14.25pt; mso-prop-change: 'Tyagi\\, Aayush' 20260918T1901;\">\n<td width=\"121\">3.\u00a0\u00a0\u00a0\u00a0 Vous t\u00e9l\u00e9chargez un client Minecraft ou Roblox, et celui-ci est d\u00e9tect\u00e9 par votre antivirus.<\/td>\n<td width=\"120\">Le site Web pr\u00e9cise que les antivirus commettent parfois des erreurs et qu&#8217;il est recommand\u00e9 de les d\u00e9sactiver pour utiliser le client.<\/td>\n<td width=\"120\">Les cybercriminels incitent les utilisateurs \u00e0 ex\u00e9cuter des logiciels malveillants d\u00e9j\u00e0 connus et d\u00e9tect\u00e9s par les solutions de s\u00e9curit\u00e9.<\/td>\n<td width=\"120\">Le site Web n&#8217;explique pas pourquoi l&#8217;outil est pris pour un logiciel malveillant.<\/td>\n<td width=\"209\">La fonctionnalit\u00e9 Threat Explainer de McAfee vous explique pourquoi un fichier donn\u00e9 est d\u00e9tect\u00e9.<\/td>\n<\/tr>\n<tr style=\"mso-yfti-irow: 4; height: 112.25pt; mso-prop-change: 'Tyagi\\, Aayush' 20260918T1901;\">\n<td width=\"121\">4.\u00a0\u00a0\u00a0\u00a0 Vous, ou une de vos connaissances, avez \u00e9t\u00e9 contact\u00e9(e) par un pirate informatique pr\u00e9tendant avoir pirat\u00e9 votre syst\u00e8me.<\/td>\n<td width=\"120\">Les cybercriminels pr\u00e9tendent conna\u00eetre votre adresse\u00a0IP et vous montrent des preuves indiquant qu&#8217;ils ont acc\u00e8s \u00e0 votre webcam ou \u00e0 votre syst\u00e8me.<\/td>\n<td width=\"120\">Les cybercriminels prennent contact avec leurs victimes afin de les harceler et de les intimider.<\/td>\n<td width=\"120\"><\/td>\n<td width=\"209\">Contactez une personne en qui vous avez confiance, comme un parent ou un tuteur, et informez-la de ce qui s&#8217;est pass\u00e9. Suivre les instructions de l&#8217;attaquant pourrait aggraver les d\u00e9g\u00e2ts.<\/td>\n<\/tr>\n<tr>\n<td width=\"121\">5.\u00a0\u00a0\u00a0\u00a0 Vous avez rep\u00e9r\u00e9 un programme de vol de renseignements disponible gratuitement sur Internet.<\/td>\n<td width=\"120\">Vous avez d\u00e9couvert des d\u00e9p\u00f4ts GitHub ou des canaux Discord sur lesquels sont partag\u00e9s des outils malveillants destin\u00e9s \u00e0 compromettre les syst\u00e8mes d&#8217;autres utilisateurs.<\/td>\n<td width=\"120\">Ces outils contiennent souvent des logiciels malveillants et ciblent les utilisateurs qui sont incit\u00e9s \u00e0 les t\u00e9l\u00e9charger et \u00e0 les utiliser.<\/td>\n<td width=\"120\">M\u00e9fiez-vous des outils malveillants gratuits disponibles en ligne. Les logiciels malveillants sont souvent d\u00e9velopp\u00e9s par des cybercriminels hautement qualifi\u00e9s qui passent des mois \u00e0 peaufiner leur code afin de cr\u00e9er des FUD (Fully UnDetectable). Si vous ne payez pas pour le produit, c&#8217;est peut-\u00eatre vous, le produit.<\/td>\n<td width=\"209\">\u00a0<a href=\"https:\/\/www.mcafee.com\/learn\/fr-ca\/protection-web\/\">McAfee\u00ae\u00a0Total\u00a0Protection<\/a> est r\u00e9guli\u00e8rement mis \u00e0 jour afin de lutter contre les menaces en constante \u00e9volution, notamment les programmes de vol de renseignements, les ransomwares, les applications infect\u00e9es par des chevaux de Troie et d&#8217;autres techniques d&#8217;attaque \u00e9mergentes.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Tableau de bord des logiciels malveillants<\/h2>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-238934 size-large\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure4-1024x479.png\" alt=\"Figure\u00a04. Outil de cr\u00e9ation de scripts PowerShell de Marsalek\" width=\"1024\" height=\"479\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure4-1024x479.png 1024w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure4-300x140.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure4-768x359.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure4-1536x718.png 1536w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure4-205x96.png 205w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure4.png 1881w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a04. Outil de cr\u00e9ation de scripts PowerShell de Marsalek<\/em><\/p>\n<p>Marsalek proposait un tableau de bord de niveau professionnel permettant aux clients de cr\u00e9er et de t\u00e9l\u00e9charger des logiciels malveillants, ainsi que des instructions d&#8217;utilisation expliquant comment infecter un maximum de victimes. Les outils de cr\u00e9ation de scripts PowerShell et Python fournissent un script malveillant pouvant \u00eatre ajout\u00e9 \u00e0 n&#8217;importe quel fichier l\u00e9gitime.<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-238919 size-large\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure5-1024x527.png\" alt=\"Figure\u00a05. Fausse page CAPTCHA\" width=\"1024\" height=\"527\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure5-1024x527.png 1024w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure5-300x154.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure5-768x395.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure5-1536x790.png 1536w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure5-205x105.png 205w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure5.png 1777w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a05. Fausse page CAPTCHA<\/em><\/p>\n<p>L&#8217;outil de cr\u00e9ation de fausses pages CAPTCHA fournit un fichier HTML qui imite la page de v\u00e9rification CAPTCHA de Cloudflare et ex\u00e9cute une commande PowerShell malveillante. L&#8217;outil de cr\u00e9ation de fichiers EXE g\u00e9n\u00e8re un fichier EXE qui, une fois ex\u00e9cut\u00e9, suit la m\u00eame cha\u00eene de frappe.<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-238904 size-large\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure6-1024x479.png\" alt=\"Figure\u00a06. Tableau de bord de Marsalek\" width=\"1024\" height=\"479\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure6-1024x479.png 1024w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure6-300x140.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure6-768x359.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure6-1536x719.png 1536w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure6-205x96.png 205w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure6.png 1880w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a06. Tableau de bord de Marsalek<\/em><\/p>\n<p>Marsalek met \u00e0 disposition une plateforme sur laquelle les utilisateurs peuvent consulter la liste de toutes leurs victimes infect\u00e9es ainsi que l&#8217;ensemble des renseignements recueillis sur leur syst\u00e8me. Il permet aux clients de rechercher et de filtrer les victimes en fonction de leur adresse\u00a0IP et de leur statut.<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-238889 size-large\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure7-1024x474.png\" alt=\"Figure\u00a07. Carte thermique indiquant la localisation de la victime\" width=\"1024\" height=\"474\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure7-1024x474.png 1024w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure7-300x139.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure7-768x356.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure7-1536x711.png 1536w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure7-205x95.png 205w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure7.png 1883w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a07. Carte thermique indiquant la localisation de la victime<\/em><\/p>\n<p>Il fournit une carte thermique mondiale des victimes infect\u00e9es, permettant aux op\u00e9rateurs de visualiser rapidement et d&#8217;un seul coup d&#8217;\u0153il les activit\u00e9s d&#8217;infection. En pr\u00e9sentant les infections d&#8217;un point de vue g\u00e9ographique, l&#8217;outil offre une vue d&#8217;ensemble des activit\u00e9s de la campagne, ce qui aide les op\u00e9rateurs \u00e0 \u00e9valuer les tendances r\u00e9gionales.<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-238874 size-large\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure8-1024x470.png\" alt=\"Figure\u00a08. Section Wallet Injections (Injections dans les portefeuilles)\" width=\"1024\" height=\"470\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure8-1024x470.png 1024w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure8-300x138.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure8-768x352.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure8-1536x705.png 1536w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure8-205x94.png 205w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure8.png 1881w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a08. Section Wallet Injections (Injections dans les portefeuilles)<\/em><\/p>\n<p>Dans le volet lat\u00e9ral (encadr\u00e9 en rouge), les clients peuvent consulter l&#8217;ensemble des donn\u00e9es collect\u00e9es, notamment les injections dans les portefeuilles, les mots de passe r\u00e9cup\u00e9r\u00e9s, les fichiers et les jetons d&#8217;actualisation. Marsalek comporte une section premium encore en cours de d\u00e9veloppement (encadr\u00e9e en jaune).<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-238859 size-large\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure9-1024x463.png\" alt=\"Figure\u00a09. Section Statistics (Statistiques)\" width=\"1024\" height=\"463\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure9-1024x463.png 1024w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure9-300x136.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure9-768x347.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure9-1536x695.png 1536w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure9-205x93.png 205w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure9.png 1882w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a09. Section Statistics (Statistiques)<\/em><\/p>\n<p>Il comprend \u00e9galement une section d\u00e9taill\u00e9e consacr\u00e9e aux statistiques qui offre un aper\u00e7u des activit\u00e9s de l&#8217;op\u00e9ration. Cette section affiche le nombre total de journaux collect\u00e9s, ainsi qu&#8217;une ventilation de ces journaux class\u00e9s comme spam, trait\u00e9s ou en attente de v\u00e9rification. Il indique \u00e9galement le nombre de journaux collect\u00e9s au cours de la semaine \u00e9coul\u00e9e et pr\u00e9sente une ventilation jour par jour des activit\u00e9s de collecte.<\/p>\n<p>En bas de la page, le panneau affiche des statistiques agr\u00e9g\u00e9es concernant l&#8217;ensemble des identifiants collect\u00e9s, class\u00e9s par cat\u00e9gories : mots de passe, t\u00e9moins, fichiers et jetons Discord. Il pr\u00e9sente \u00e9galement un aper\u00e7u de toutes les injections disponibles et les classe en fonction de leur cible, comme les portefeuilles de cryptomonnaies et les injections Discord.<\/p>\n<p>La section FAQ du site Web constitue un autre \u00e9l\u00e9ment essentiel.<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239354 size-large\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure10-1024x468.png\" alt=\"Figure\u00a010. Section FAQ\" width=\"1024\" height=\"468\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure10-1024x468.png 1024w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure10-300x137.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure10-768x351.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure10-1536x702.png 1536w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure10-205x94.png 205w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure10.png 1881w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a010. Section FAQ<\/em><\/p>\n<p>Ici, l&#8217;attaquant a cr\u00e9\u00e9 une section d\u00e9taill\u00e9e qui aborde les sujets suivants\u00a0:<\/p>\n<ul>\n<li>Comment configurer un bot de notification Telegram \u00e0 l&#8217;aide de la section Param\u00e8tres pour recevoir des alertes concernant les nouvelles infections<\/li>\n<li>Comment utiliser les jetons de connexion Discord collect\u00e9s et acc\u00e9der aux comptes utilisateur compromis<\/li>\n<li>Comment utiliser les t\u00e9moins collect\u00e9s sur l&#8217;ordinateur de la victime<\/li>\n<li>Comment acc\u00e9der \u00e0 des portefeuilles de cryptomonnaies \u00e0 l&#8217;aide de donn\u00e9es vol\u00e9es provenant d&#8217;extensions de navigateur et d&#8217;applications de bureau<\/li>\n<li>Recommandations concernant les VPN et les adresses\u00a0IP r\u00e9sidentielles<\/li>\n<li>Comment blanchir des cryptomonnaies vol\u00e9es<\/li>\n<\/ul>\n<p>Il convient notamment de noter que les attaquants conseillent \u00e0 leurs clients de configurer leur propre n\u0153ud\u00a0XMR ou d&#8217;essayer d&#8217;acc\u00e9der \u00e0 un n\u0153ud\u00a0XMR respectueux de la vie priv\u00e9e. Ils peuvent ensuite \u00e9changer les fonds vol\u00e9s contre du Monero en utilisant des services ax\u00e9s sur la confidentialit\u00e9, tels que ETZ-swap ou Trocador, ce qui emp\u00eacherait toute tra\u00e7abilit\u00e9 de ces fonds. Ces fonds vol\u00e9s peuvent ensuite \u00eatre convertis en n&#8217;importe quelle autre cryptomonnaie.<\/p>\n<h2>Analyse technique<\/h2>\n<p>Comme indiqu\u00e9 plus haut, m\u00eame si Marsalek propose quatre vecteurs d&#8217;attaque initiaux diff\u00e9rents, la cha\u00eene de frappe globale reste la m\u00eame.<\/p>\n<h3>Charge utile de la phase\u00a01 \u2013 Scripts d&#8217;installation<\/h3>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239339 size-large\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure11-1024x358.png\" alt=\"Figure\u00a011. Charges utiles de la phase\u00a01 de Marsalek\" width=\"1024\" height=\"358\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure11-1024x358.png 1024w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure11-300x105.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure11-768x269.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure11-1536x537.png 1536w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure11-205x72.png 205w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure11.png 1842w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a011. Charges utiles de la phase\u00a01 de Marsalek<\/em><\/p>\n<p>Ici, les scripts PowerShell (encadr\u00e9 en rouge) et des faux CAPTCHA (encadr\u00e9 en jaune) sont pratiquement identiques. Ils se connectent au domaine C2 pour t\u00e9l\u00e9charger un script PowerShell.<\/p>\n<p>Ce script t\u00e9l\u00e9charge un environnement d&#8217;ex\u00e9cution Python portable et le configure. Ensuite, il t\u00e9l\u00e9charge pip, un gestionnaire de paquets standard pour Python. Il utilise pip pour installer d&#8217;autres paquets Python, \u00e0 savoir setuptools, cryptography, fernet et requests.<\/p>\n<p>Le script Python malveillant (encadr\u00e9 en vert) t\u00e9l\u00e9charge directement ces paquets. La variante EXE v\u00e9rifie \u00e9galement si Python est install\u00e9 avant de proc\u00e9der \u00e0 l&#8217;installation de ces paquets. Marsalek utilise le chiffrement sym\u00e9trique Fernet tout au long de la campagne.<\/p>\n<p>Ensuite, le logiciel malveillant t\u00e9l\u00e9charge le fichier \u00ab python_setup.py \u00bb \u00e0 partir du domaine C2 et l&#8217;ex\u00e9cute.<\/p>\n<h3>Charge utile de la phase\u00a02 \u2013 python_setup.py<\/h3>\n<p>Cette charge utile v\u00e9rifie si le fichier Python dispose d\u00e9j\u00e0 de droits administrateur. Si ce n&#8217;est pas le cas, elle utilise le contournement du contr\u00f4le du compte utilisateur (UAC, User Account Control) via l&#8217;installateur de profils Gestionnaire des connexions (CMSTP) pour obtenir des privil\u00e8ges administrateur. Il s&#8217;agit de la m\u00eame technique que celle que nous avons observ\u00e9e dans la campagne de logiciels malveillants WeedHack initiale.<\/p>\n<p>Ici, le fichier INF suivant est plac\u00e9 dans le dossier temporaire et ex\u00e9cut\u00e9 via CMSTP.exe.<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239324 size-large\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure12-1024x381.png\" alt=\"Figure\u00a012. Fichier INF malveillant\" width=\"1024\" height=\"381\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure12-1024x381.png 1024w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure12-300x112.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure12-768x285.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure12-205x76.png 205w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure12.png 1111w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a012. Fichier INF malveillant<\/em><\/p>\n<p>CMSTP signifie \u00ab Connection Manager Profile Installer \u00bb (installateur de profils Gestionnaires des connexions) ; il s&#8217;agit d&#8217;un outil l\u00e9gitime utilis\u00e9 pour installer ou supprimer des profils d&#8217;acc\u00e8s \u00e0 distance sur un syst\u00e8me.<\/p>\n<p>Pour obtenir des privil\u00e8ges administrateur, le param\u00e8tre \/au est transmis avec le chemin d&#8217;acc\u00e8s au fichier.<\/p>\n<p><strong>cmstp.exe \/au &#8220;C:\\Users\\admin\\AppData\\Local\\Temp\\wzyjbqkurc.inf&#8221;<\/strong><\/p>\n<p>Ici, l&#8217;indicateur \/au (encadr\u00e9 en rouge ci-dessous) ordonne au programme d&#8217;installation du profil d&#8217;installer le profil de connexion pour chaque utilisateur du syst\u00e8me, ce qui n\u00e9cessite intrins\u00e8quement des privil\u00e8ges administrateur. Cela d\u00e9clenche l&#8217;affichage d&#8217;une invite de consentement standard du contr\u00f4le du compte utilisateur (UAC).<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239309 size-full\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure13.png\" alt=\"Figure\u00a013. Code Python permettant de contourner linvite de lUAC\" width=\"990\" height=\"256\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure13.png 990w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure13-300x78.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure13-768x199.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure13-205x53.png 205w\" sizes=\"auto, (max-width: 990px) 100vw, 990px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure 13. Code Python permettant de contourner l&#8217;invite de l&#8217;UAC<\/em><\/p>\n<p>Marsalek identifie ensuite l&#8217;invite de consentement \u00e0 l&#8217;aide du nom du service figurant dans le fichier INF, masque l&#8217;invite, puis simule la touche Entr\u00e9e (encadr\u00e9e en vert). Cela garantit que le fichier INF est ex\u00e9cut\u00e9 avec des privil\u00e8ges administrateur.<\/p>\n<p>Le fichier INF relance python_setup.py, qui h\u00e9rite des privil\u00e8ges administrateur.<\/p>\n<p>Ensuite, le script Python cr\u00e9e un fichier WinDefConfig.cmd dans le dossier temp et l&#8217;ex\u00e9cute.<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239294 size-full\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure14.png\" alt=\"Figure\u00a014. Fichier WinDefConfig.cmd\" width=\"1002\" height=\"480\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure14.png 1002w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure14-300x144.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure14-768x368.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure14-205x98.png 205w\" sizes=\"auto, (max-width: 1002px) 100vw, 1002px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a014. Fichier WinDefConfig.cmd<\/em><\/p>\n<p>Ce fichier ajoute 8 chemins d&#8217;exclusion et 15 processus d&#8217;exclusion \u00e0 Windows Defender, garantissant ainsi que les charges utiles suivantes ne seront pas d\u00e9tect\u00e9es.<\/p>\n<p>Ensuite, le logiciel malveillant d\u00e9chiffre la charge utile de la phase 3, \u00ab svc.py \u00bb, la place dans le dossier temporaire et l&#8217;ex\u00e9cute.<\/p>\n<h3>Charge utile de la phase\u00a03 \u2013 svc.py<\/h3>\n<p>Le fichier svc.py contient plus de 1 400 lignes de code Python qui ex\u00e9cutent l&#8217;activit\u00e9 notoire que nous avons mentionn\u00e9e au d\u00e9but de cet article.<\/p>\n<p>Au d\u00e9but du script, Marsalek t\u00e9l\u00e9charge quelques biblioth\u00e8ques Python suppl\u00e9mentaires, telles que pycryptodome et psutil.<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239279 size-large\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure15-1024x410.png\" alt=\"Figure\u00a015. Navigateurs Chromium cibl\u00e9s par Marsalek\" width=\"1024\" height=\"410\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure15-1024x410.png 1024w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure15-300x120.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure15-768x308.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure15-205x82.png 205w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure15.png 1251w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a015. Navigateurs Chromium cibl\u00e9s par Marsalek<\/em><\/p>\n<p>Il d\u00e9finit ensuite les applications cibles et les chemins d&#8217;acc\u00e8s aux fichiers correspondants. Cette liste est ensuite utilis\u00e9e pour parcourir chaque entr\u00e9e et rassembler tous les identifiants accessibles.<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239264 size-large\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure16-1024x440.png\" alt=\"Figure\u00a016. Code Python permettant de configurer les fonctions natives\" width=\"1024\" height=\"440\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure16-1024x440.png 1024w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure16-300x129.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure16-768x330.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure16-205x88.png 205w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure16.png 1192w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a016. Code Python permettant de configurer les fonctions natives<\/em><\/p>\n<p>Ensuite, le logiciel malveillant utilise la biblioth\u00e8que ctypes de Python pour appeler directement les API natives de Windows \u00e0 partir du fichier kernel32.dll. Ces API sont ensuite utilis\u00e9es pour la manipulation de processus et les injections DLL.<\/p>\n<h4>3.1\u00a0Ciblage des navigateurs Chromium<\/h4>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239249 size-full\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure17.png\" alt=\"Figure\u00a017. Code Python ciblant un navigateur Chromium\" width=\"854\" height=\"709\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure17.png 854w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure17-300x249.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure17-768x638.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure17-155x129.png 155w\" sizes=\"auto, (max-width: 854px) 100vw, 854px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a017. Code Python ciblant un navigateur Chromium<\/em><\/p>\n<p>Tout d&#8217;abord, Marsalek cible de mani\u00e8re it\u00e9rative le navigateur 32-chromium. Il v\u00e9rifie si un navigateur est install\u00e9. Ensuite, il identifie les profils utilisateur disponibles et recherche la base de donn\u00e9es SQLite correspondante. Il r\u00e9cup\u00e8re la cl\u00e9 de d\u00e9chiffrement dans la base de donn\u00e9es et utilise \u00ab\u00a0<strong>CryptUnprotectData<\/strong> \u00bb pour d\u00e9chiffrer les donn\u00e9es.<\/p>\n<p>Ensuite, il recherche les mots de passe chiffr\u00e9s dans la base de donn\u00e9es et v\u00e9rifie la pr\u00e9sence du pr\u00e9fixe \u00ab v10 \u00bb, qui indique que le mot de passe utilise un format de chiffrement Chromium bas\u00e9 sur l&#8217;algorithme AES-GCM. Le mot de passe chiffr\u00e9 est stock\u00e9 sous la forme de la cha\u00eene suivante :<\/p>\n<p><strong>\u00ab v10 \u00bb + vecteur d&#8217;initialisation de 12 octets + mot de passe chiffr\u00e9 + balise d&#8217;authentification GCM<\/strong><\/p>\n<p>Il initialise ensuite un d\u00e9chiffreur AES-GCM \u00e0 l&#8217;aide de la cl\u00e9 de d\u00e9chiffrement et du vecteur d&#8217;initialisation afin de d\u00e9chiffrer le mot de passe proprement dit, puis supprime la balise d&#8217;authentification. Il convertit les octets d\u00e9chiffr\u00e9s en une cha\u00eene afin d&#8217;obtenir le mot de passe final en clair.<\/p>\n<p>Si le mot de passe chiffr\u00e9 ne comporte pas le pr\u00e9fixe \u00ab v10 \u00bb, il utilise simplement l&#8217;API <strong>CryptUnprotectData<\/strong> pour le d\u00e9chiffrer.<\/p>\n<p>Le processus est identique pour les t\u00e9moins : ceux-ci sont extraits de la base de donn\u00e9es SQLite, puis d\u00e9chiffr\u00e9s \u00e0 l&#8217;aide de la cl\u00e9 de d\u00e9chiffrement identifi\u00e9e et du vecteur d&#8217;initialisation. Il convertit les t\u00e9moins au format Netscape et recense le nombre de t\u00e9moins vol\u00e9s, avant d&#8217;envoyer l&#8217;ensemble des donn\u00e9es au domaine C2.<\/p>\n<p>Il v\u00e9rifie ensuite la pr\u00e9sence de 56 extensions de navigateur. Si certaines sont install\u00e9es, il compresse l&#8217;int\u00e9gralit\u00e9 de leurs donn\u00e9es stock\u00e9es localement et charge l&#8217;archive sur le domaine C2.<\/p>\n<h4>3.2\u00a0Ciblage du chiffrement li\u00e9 \u00e0 l&#8217;application de Chrome<\/h4>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239234 size-full\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure18.png\" alt=\"Figure\u00a018. Code Python ciblant le chiffrement li\u00e9 \u00e0 lapplication de Chrome\" width=\"637\" height=\"316\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure18.png 637w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure18-300x149.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure18-205x102.png 205w\" sizes=\"auto, (max-width: 637px) 100vw, 637px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure 18. Code Python ciblant le chiffrement li\u00e9 \u00e0 l&#8217;application de Chrome<\/em><\/p>\n<p>Ensuite, l&#8217;accent est mis sur les navigateurs qui utilisent le chiffrement li\u00e9 \u00e0 l&#8217;application de Chrome. Ces navigateurs stockent une cl\u00e9 principale chiffr\u00e9e dans leurs fichiers de configuration locaux.<\/p>\n<p>Au lieu de d\u00e9chiffrer cette cl\u00e9 principale \u00e0 l&#8217;aide des API cryptographiques de Windows, ces navigateurs utilisent leur service d&#8217;\u00e9l\u00e9vation pour le d\u00e9chiffrement. Avant de d\u00e9chiffrer la cl\u00e9, le service d&#8217;\u00e9l\u00e9vation valide le processus appelant en v\u00e9rifiant que le chemin d&#8217;acc\u00e8s \u00e0 son ex\u00e9cutable correspond \u00e0 celui d&#8217;un fichier binaire de navigateur l\u00e9gitime situ\u00e9 dans un r\u00e9pertoire autoris\u00e9.<\/p>\n<p>Par cons\u00e9quent, la cl\u00e9 n&#8217;est d\u00e9chiffr\u00e9e que lorsque la requ\u00eate provient du processus l\u00e9gitime du navigateur.<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239219 size-large\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure19-1024x124.png\" alt=\"Figure\u00a019. Liste des navigateurs cibl\u00e9s qui utilisent le chiffrement li\u00e9 \u00e0 lapplication de Chrome\" width=\"1024\" height=\"124\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure19-1024x124.png 1024w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure19-300x36.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure19-768x93.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure19-205x25.png 205w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure19.png 1367w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure 19. Liste des navigateurs cibl\u00e9s qui utilisent le chiffrement li\u00e9 \u00e0 l&#8217;application de Chrome<\/em><\/p>\n<p>Marsalek commence par v\u00e9rifier si Chrome, Edge ou Brave est install\u00e9 sur le syst\u00e8me et, si c&#8217;est le cas, il r\u00e9cup\u00e8re la cl\u00e9 principale chiffr\u00e9e et lance le navigateur en \u00e9tat suspendu. Il cr\u00e9e ensuite un canal nomm\u00e9 entre le navigateur suspendu et lui-m\u00eame afin de permettre la communication.<\/p>\n<p>Marsalek d\u00e9chiffre ensuite une DLL et la d\u00e9pose sur le disque. \u00c0 l&#8217;aide des API Windows, Marsalek injecte la DLL dans le processus du navigateur mis en attente. Il envoie ensuite la cl\u00e9 principale chiffr\u00e9e \u00e0 la DLL inject\u00e9e via le canal nomm\u00e9. La DLL demande au service d&#8217;\u00e9l\u00e9vation du navigateur de d\u00e9chiffrer la cl\u00e9 principale. La DLL s&#8217;ex\u00e9cutant dans l&#8217;espace d&#8217;adressage du navigateur, la requ\u00eate semble provenir du processus l\u00e9gitime du navigateur, ce qui permet \u00e0 la DLL de recevoir la cl\u00e9 d\u00e9chiffr\u00e9e.<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239189 size-large\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure20-1024x634.png\" alt=\"Figure\u00a020. Code Python permettant de d\u00e9chiffrer les t\u00e9moins \u00e0 laide de la cl\u00e9 principale\" width=\"1024\" height=\"634\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure20-1024x634.png 1024w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure20-300x186.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure20-768x476.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure20-205x127.png 205w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure20.png 1091w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure 20. Code Python permettant de d\u00e9chiffrer les t\u00e9moins \u00e0 l&#8217;aide de la cl\u00e9 principale<\/em><\/p>\n<p>Une fois que l&#8217;\u00e9chantillon dispose de la cl\u00e9 de d\u00e9chiffrement, il la transmet aux fonctions suivantes :<\/p>\n<p><strong>extract_v20_cookies<\/strong><\/p>\n<p><strong>extract_v20_passwords<\/strong><\/p>\n<p><strong>extract_v20_tokens<\/strong><\/p>\n<p>Ces fonctions acc\u00e8dent \u00e0 diff\u00e9rentes bases de donn\u00e9es SQLite sous diff\u00e9rents profils et collectent des donn\u00e9es chiffr\u00e9es. Elles s&#8217;assurent ensuite que les donn\u00e9es comportent le pr\u00e9fixe \u00ab\u00a0v20\u00a0\u00bb, qui indique l&#8217;utilisation du chiffrement li\u00e9 \u00e0 l&#8217;application (ABE, App-Bound Encryption). Marsalek initialise ensuite un d\u00e9chiffreur AES-GCM afin de d\u00e9chiffrer divers identifiants, puis les envoie au domaine\u00a0C2.<\/p>\n<h4>3.3\u00a0Ciblage de Firefox<\/h4>\n<p>Ensuite, Marsalek jette son d\u00e9volu sur Firefox.<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239174 size-large\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure21-1024x680.png\" alt=\"Figure\u00a021. Code Python ciblant Firefox\" width=\"1024\" height=\"680\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure21-1024x680.png 1024w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure21-300x199.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure21-768x510.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure21-194x129.png 194w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure21.png 1145w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a021. Code Python ciblant Firefox<\/em><\/p>\n<p>Il recherche les profils utilisateur \u00e0 l&#8217;emplacement suivant :<\/p>\n<p><strong>%APPDATA%\\Mozilla\\Firefox\\Profiles\\<\/strong><\/p>\n<p>Pour chaque profil, il recherche le fichier cookies.sqlite, qui correspond \u00e0 la base de donn\u00e9es des t\u00e9moins de Firefox. Marsalek interroge ces bases de donn\u00e9es et recherche le nom d&#8217;h\u00f4te, le nom du t\u00e9moin et sa valeur. Il convertit ces t\u00e9moins au format Netscape, comptabilise leur nombre total et stocke les donn\u00e9es en vue de leur exfiltration.<\/p>\n<p>Ensuite, il recherche le fichier NSS3.dll de Firefox. Il s&#8217;agit de la biblioth\u00e8que cryptographique de Mozilla, utilis\u00e9e pour les op\u00e9rations impliquant des identifiants prot\u00e9g\u00e9s. Il initialise le fichier NSS3.dll en m\u00e9moire \u00e0 partir des profils Firefox collect\u00e9s. Cela permet \u00e0 NSS d&#8217;acc\u00e9der aux \u00e9l\u00e9ments cryptographiques associ\u00e9s \u00e0 ce profil.<\/p>\n<p>Ensuite, Marsalek r\u00e9cup\u00e8re les identifiants chiffr\u00e9s contenus dans le fichier logins.json de Firefox. Il d\u00e9chiffre les identifiants collect\u00e9s \u00e0 l&#8217;aide de la fonction \u00ab <strong>PK11SDR_Decrypt<\/strong> \u00bb de NSS. Au lieu d&#8217;impl\u00e9menter lui-m\u00eame l&#8217;algorithme de d\u00e9chiffrement de Firefox, Marsalek utilise la biblioth\u00e8que NSS officielle de Firefox pour effectuer l&#8217;op\u00e9ration cryptographique.<\/p>\n<p>Il stocke les identifiants au format suivant :<\/p>\n<p><strong>{ &#8220;browser&#8221;: &#8220;Firefox&#8221;, &#8220;url&#8221;: h\u00f4te, &#8220;username&#8221;: utilisateur, &#8220;password&#8221;: mot de passe}<\/strong><\/p>\n<p>Ces donn\u00e9es sont ensuite envoy\u00e9es au serveur C2.<\/p>\n<p>Comme indiqu\u00e9 pr\u00e9c\u00e9demment, Marsalek pr\u00e9tend pouvoir voler les mots de passe et les t\u00e9moins de tous les navigateurs bas\u00e9s sur Gecko, ce qui est faux, car il ne cible que Firefox.<\/p>\n<h4>3.4\u00a0Ciblage de Discord<\/h4>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239159 size-large\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure22-1024x627.png\" alt=\"Figure\u00a022. Code Python ciblant Discord\" width=\"1024\" height=\"627\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure22-1024x627.png 1024w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure22-300x184.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure22-768x470.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure22-205x125.png 205w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure22.png 1119w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a022. Code Python ciblant Discord<\/em><\/p>\n<p>Marsalek contient 26 chemins d&#8217;acc\u00e8s \u00e0 Discord cod\u00e9s en dur, ciblant \u00e0 la fois le client Discord de bureau et les jetons Discord pr\u00e9sents dans le stockage local du navigateur Web.<\/p>\n<p>L&#8217;application Discord de bureau chiffrant ses jetons stock\u00e9s localement, Marsalek intercepte la cl\u00e9 chiffr\u00e9e et utilise l&#8217;API Windows \u00ab\u00a0<strong>CryptUnprotectData<\/strong>\u00a0\u00bb pour r\u00e9cup\u00e9rer la cl\u00e9\u00a0AES. Elle analyse ensuite les fichiers LevelDB \u00e0 la recherche de la cha\u00eene \u00ab\u00a0<strong>dQw4w9WgXcQ:<\/strong> \u00bb, qui sert de marqueur pour les entr\u00e9es de jetons Discord. Marsalek capture le jeton et le d\u00e9chiffre en configurant un d\u00e9chiffreur AES-GCM \u00e0 l&#8217;aide de la cl\u00e9\u00a0AES r\u00e9cup\u00e9r\u00e9e.<\/p>\n<p>Ensuite, le logiciel malveillant valide le jeton en l&#8217;envoyant via une requ\u00eate GET \u00e0 l&#8217;API de Discord. \u00c0 partir de la r\u00e9ponse de l&#8217;API, Marsalek recueille des renseignements suppl\u00e9mentaires tels que l&#8217;identifiant utilisateur, l&#8217;adresse courriel, le num\u00e9ro de t\u00e9l\u00e9phone associ\u00e9, le nom d&#8217;utilisateur et le nom global. Ces donn\u00e9es sont ensuite stock\u00e9es en vue de leur exfiltration. Si l&#8217;application Discord de bureau n&#8217;est pas install\u00e9e, Marsalek recherche dans divers navigateurs Web les jetons Discord stock\u00e9s, en utilisant le mod\u00e8le d&#8217;expression r\u00e9guli\u00e8re suivant :<\/p>\n<p><strong>r&#8221;[\\w-]{24}\\.[\\w-]{6}\\.[\\w-]{25,110}&#8221;<\/strong><\/p>\n<p>Ces jetons sont stock\u00e9s en texte clair et ne n\u00e9cessitent pas de cl\u00e9 de d\u00e9chiffrement. Ces jetons sont \u00e9galement valid\u00e9s via l&#8217;API de Discord afin de garantir que seuls les jetons actifs sont captur\u00e9s, ce qui permet d&#8217;\u00e9viter les jetons obsol\u00e8tes ou les cha\u00eenes al\u00e9atoires, puis ils sont stock\u00e9s en vue de leur exfiltration.<\/p>\n<h4>3.5\u00a0Ciblage de Telegram et de Mullvad<\/h4>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239144 size-full\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure23.png\" alt=\"Figure\u00a023. Code Python ciblant Telegram et le VPN Mullvad\" width=\"973\" height=\"614\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure23.png 973w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure23-300x189.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure23-768x485.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure23-205x129.png 205w\" sizes=\"auto, (max-width: 973px) 100vw, 973px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a023. Code Python ciblant Telegram et le VPN Mullvad<\/em><\/p>\n<p>Marsalek s&#8217;en prend ouvertement \u00e0 Telegram. Il met fin \u00e0 tous les processus Telegram en cours d&#8217;ex\u00e9cution et v\u00e9rifie si le chemin d&#8217;acc\u00e8s suivant existe :<\/p>\n<p><strong>%APPDATA%\\Telegram Desktop\\tdata<\/strong><\/p>\n<p>Si ce chemin d&#8217;acc\u00e8s existe, il compresse l&#8217;int\u00e9gralit\u00e9 du dossier et le stocke, avant de l&#8217;envoyer au domaine C2. Ce dossier contient les donn\u00e9es locales de l&#8217;application ainsi que des renseignements relatifs \u00e0 la session. Ces donn\u00e9es vol\u00e9es peuvent permettre au cybercriminel de prendre le contr\u00f4le de comptes ou de mener d&#8217;autres attaques similaires li\u00e9es \u00e0 Telegram.<\/p>\n<p>De m\u00eame, Marsalek v\u00e9rifie si le VPN Mullvad est install\u00e9 sur le syst\u00e8me. Si tel est le cas, il fait appel \u00e0 l&#8217;interface en ligne de commande de Mullvad pour r\u00e9cup\u00e9rer des donn\u00e9es sur le compte Mullvad actuellement configur\u00e9. Il collecte des m\u00e9tadonn\u00e9es et les stocke en vue de leur extraction.<\/p>\n<h4>3.6\u00a0Recherche de fichiers sensibles et d&#8217;applications de portefeuille<\/h4>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239129 size-full\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure24.png\" alt=\"Figure\u00a024. Code Python ciblant les fichiers sensibles et les portefeuilles de cryptomonnaies\" width=\"859\" height=\"506\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure24.png 859w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure24-300x177.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure24-768x452.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure24-205x121.png 205w\" sizes=\"auto, (max-width: 859px) 100vw, 859px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a024. Code Python ciblant les fichiers sensibles et les portefeuilles de cryptomonnaies<\/em><\/p>\n<p>Le logiciel malveillant parcourt une liste de r\u00e9pertoires figurant dans la variable \u00ab PATHS_TO_SEARCH \u00bb. Il r\u00e9pertorie tous les fichiers pr\u00e9sents dans ce r\u00e9pertoire et les filtre en fonction de leur extension. Ces extensions autoris\u00e9es sont stock\u00e9es dans la variable \u00ab ALLOWED_EXTENSIONS \u00bb.<\/p>\n<p>Ensuite, il filtre ces fichiers \u00e0 l&#8217;aide des mots-cl\u00e9s de nom de fichier pr\u00e9sents dans la variable \u00ab FILE_KEYWORDS \u00bb. Il copie alors les fichiers correspondants dans son r\u00e9pertoire de pr\u00e9paration en vue de leur collecte et de leur exfiltration ult\u00e9rieures.<\/p>\n<p>Parall\u00e8lement \u00e0 cette activit\u00e9, Marsalek v\u00e9rifie la pr\u00e9sence de 12 applications de portefeuille de cryptomonnaies et, lorsqu&#8217;il en d\u00e9tecte, compresse leurs donn\u00e9es stock\u00e9es localement dans une archive ZIP en vue de leur exfiltration.<\/p>\n<h4>3.7\u00a0Injection dans Exodus et Atomic\u00a0Wallet<\/h4>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239114 size-large\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure25-1024x485.png\" alt=\"Figure\u00a025. Code Python \u00e0 injecter dans Exodus et Atomic\u00a0Wallet\" width=\"1024\" height=\"485\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure25-1024x485.png 1024w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure25-300x142.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure25-768x364.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure25-205x97.png 205w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure25.png 1166w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a025. Code Python \u00e0 injecter dans Exodus et Atomic\u00a0Wallet<\/em><\/p>\n<p>Dans cette partie du code, le logiciel malveillant v\u00e9rifie si Exodus ou Atomic Wallet est pr\u00e9sent sur le syst\u00e8me. Si ces applications sont pr\u00e9sentes, Marsalek envoie une requ\u00eate GET au domaine C2, t\u00e9l\u00e9charge deux fichiers Atom Shell Archive (.asar) et remplace les fichiers correspondants dans le r\u00e9pertoire local. Cela permet aux cybercriminels de conserver une porte d\u00e9rob\u00e9e dans ces deux portefeuilles.<\/p>\n<p>Enfin, Marsalek envoie une nouvelle requ\u00eate GET pour t\u00e9l\u00e9charger la charge utile de la phase 4 et la copie dans le dossier temporaire.<\/p>\n<h3>Charge utile de la phase\u00a04 \u2013 Programme de vol de renseignements PureLog<\/h3>\n<p>La charge utile de la phase finale est le programme de vol de renseignements PureLog. Il a \u00e9t\u00e9 obfusqu\u00e9 \u00e0 l&#8217;aide de .NET\u00a0Reactor.<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239099 size-full\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure26.png\" alt=\"Figure\u00a026. Logiciel malveillant PureLog d\u00e9chiffr\u00e9\" width=\"851\" height=\"496\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure26.png 851w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure26-300x175.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure26-768x448.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure26-205x119.png 205w\" sizes=\"auto, (max-width: 851px) 100vw, 851px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a026. Logiciel malveillant PureLog d\u00e9chiffr\u00e9<\/em><\/p>\n<p>Cet \u00e9chantillon lit une ressource int\u00e9gr\u00e9e chiffr\u00e9e \u00e0 l&#8217;aide de l&#8217;algorithme de chiffrement par blocs sym\u00e9trique Triple DES (3DES). Il initialise ensuite une routine de d\u00e9chiffrement 3DES (encadr\u00e9e en vert) \u00e0 l&#8217;aide d&#8217;une cl\u00e9 3DES et d&#8217;un vecteur d&#8217;initialisation cod\u00e9s en dur (encadr\u00e9s en rouge).<\/p>\n<p>Apr\u00e8s avoir d\u00e9chiffr\u00e9 la ressource int\u00e9gr\u00e9e, l&#8217;\u00e9chantillon d\u00e9compresse les donn\u00e9es obtenues \u00e0 l&#8217;aide de GZIP. La charge utile d\u00e9compress\u00e9e est ensuite charg\u00e9e directement en m\u00e9moire et ex\u00e9cut\u00e9e sans \u00eatre \u00e9crite sur le disque. La phase suivante, sans fichier, est \u00e9galement obfusqu\u00e9e \u00e0 l&#8217;aide de .NET Reactor.<\/p>\n<p>Cette charge utile cible un ensemble d&#8217;identifiants similaire \u00e0 celui du script Python pr\u00e9c\u00e9dent, \u00e0 quelques diff\u00e9rences pr\u00e8s.<\/p>\n<h4>4.1\u00a0Recherche de portefeuilles de cryptomonnaies et de donn\u00e9es relatives aux navigateurs et aux applications de bureau<\/h4>\n<p>PureLog cible plus de 35\u00a0navigateurs.<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239084 size-full\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure27.png\" alt=\"Figure\u00a027. Navigateurs cibl\u00e9s par le logiciel malveillant PureLog\" width=\"584\" height=\"482\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure27.png 584w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure27-300x248.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure27-156x129.png 156w\" sizes=\"auto, (max-width: 584px) 100vw, 584px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a027. Navigateurs cibl\u00e9s par le logiciel malveillant PureLog<\/em><\/p>\n<p>Outre les navigateurs vis\u00e9s par Marsalek, il cible sp\u00e9cifiquement les navigateurs suivants.<\/p>\n<table width=\"671\">\n<tbody>\n<tr>\n<td width=\"156\">QQBrowser<\/td>\n<td width=\"156\">Nichrome<\/td>\n<td width=\"156\">Chromodo<\/td>\n<td width=\"203\">Atom\u00a0Browser de Mail.Ru<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>De m\u00eame, il cible plus de 48\u00a0extensions de navigateur.<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239069 size-full\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure28.png\" alt=\"Figure\u00a028. Extensions de navigateur cibl\u00e9es par le logiciel malveillant PureLog\" width=\"565\" height=\"637\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure28.png 565w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure28-266x300.png 266w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure28-114x129.png 114w\" sizes=\"auto, (max-width: 565px) 100vw, 565px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a028. Extensions de navigateur cibl\u00e9es par le logiciel malveillant PureLog<\/em><\/p>\n<p>Cette liste recoupe celle des extensions de navigateur \u00e9tablie par Marsalek, \u00e0 cette diff\u00e9rence pr\u00e8s qu&#8217;elle cible sp\u00e9cifiquement les 19\u00a0extensions de navigateur suivantes.<\/p>\n<table>\n<tbody>\n<tr>\n<td width=\"85\">BitClip<\/td>\n<td width=\"113\">Solana\u00a0Wallet<\/td>\n<td width=\"132\">EOS\u00a0Authenticator<\/td>\n<td width=\"189\">Trezor\u00a0Password\u00a0Manager<\/td>\n<td width=\"104\">Authy<\/td>\n<\/tr>\n<tr>\n<td width=\"85\">TezBox<\/td>\n<td width=\"113\">Cyano\u00a0Wallet<\/td>\n<td width=\"132\">BitKeep<\/td>\n<td width=\"189\">GAuth\u00a0Authenticator<\/td>\n<td width=\"104\">Rabet<\/td>\n<\/tr>\n<tr>\n<td width=\"85\">ZilPay<\/td>\n<td width=\"113\">Exodus\u00a0Web3<\/td>\n<td width=\"132\">Trust\u00a0Wallet<\/td>\n<td width=\"189\">Braavos\u00a0Smart\u00a0Wallet<\/td>\n<td width=\"104\">Yoroi<\/td>\n<\/tr>\n<tr>\n<td width=\"85\">MetaMask<\/td>\n<td width=\"113\">Guarda\u00a0Wallet<\/td>\n<td width=\"132\">BitKeep<\/td>\n<td width=\"189\">Waves\u00a0Keeper<\/td>\n<td width=\"104\"><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>REMARQUE : <\/strong>nous avons pris en compte les identifiants des extensions Chrome pour identifier les diff\u00e9rences mentionn\u00e9es ci-dessus. Les entr\u00e9es portant le m\u00eame nom dans les deux listes ont des identifiants diff\u00e9rents.<\/p>\n<p>De m\u00eame, PureLog cible les applications de bureau suivantes.<\/p>\n<table>\n<tbody>\n<tr>\n<td width=\"156\">Atomic\u00a0Wallet<\/td>\n<td width=\"156\">Bitcoin-Qt<\/td>\n<td width=\"156\">Dash-Qt<\/td>\n<td width=\"156\">Electrum<\/td>\n<\/tr>\n<tr>\n<td width=\"156\">Ethereum<\/td>\n<td width=\"156\">Exodus<\/td>\n<td width=\"156\">Jaxx<\/td>\n<td width=\"156\">Litecoin-Qt<\/td>\n<\/tr>\n<tr>\n<td width=\"156\">Zcash<\/td>\n<td width=\"156\">Foxmail<\/td>\n<td width=\"156\">Telegram<\/td>\n<td width=\"156\">Ledger\u00a0Live<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>\u00c0 ce stade, PureLog se contente de v\u00e9rifier si l&#8217;une des applications susmentionn\u00e9es est pr\u00e9sente dans le syst\u00e8me\u00a0; si c&#8217;est le cas, il g\u00e9n\u00e8re un journal et l&#8217;envoie au serveur\u00a0C2. PureLog met en \u0153uvre une architecture bas\u00e9e sur des composants, dans laquelle la charge utile initiale se concentre uniquement sur la reconnaissance et l&#8217;\u00e9valuation de la valeur d&#8217;une victime en termes de piratage. Les cybercriminels peuvent d\u00e9ployer des composants suppl\u00e9mentaires \u00e0 la vol\u00e9e, ce qui leur permet de d\u00e9rober des identifiants, d&#8217;installer des enregistreurs de frappe, d&#8217;acc\u00e9der \u00e0 des webcams ou d&#8217;injecter d&#8217;autres logiciels malveillants.<\/p>\n<h4>4.2\u00a0Reconnaissance du syst\u00e8me et captures d&#8217;\u00e9cran<\/h4>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239054 size-full\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure29.png\" alt=\"Figure\u00a029. PureLog collectant des identifiants mat\u00e9riels\" width=\"791\" height=\"120\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure29.png 791w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure29-300x46.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure29-768x117.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure29-205x31.png 205w\" sizes=\"auto, (max-width: 791px) 100vw, 791px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a029. PureLog collectant des identifiants mat\u00e9riels<\/em><\/p>\n<p>Ensuite, PureLog se concentre sur la reconnaissance du syst\u00e8me : il collecte des identifiants mat\u00e9riels, tels que les num\u00e9ros de s\u00e9rie de la RAM et des disques, et les utilise pour g\u00e9n\u00e9rer un hachage MD5, qui sert d&#8217;identifiant de la victime.<\/p>\n<p>Il identifie ensuite l&#8217;antivirus pr\u00e9sent sur le syst\u00e8me.<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239024 size-full\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure30.png\" alt=\"Figure\u00a030. PureLog collectant des renseignements sur un antivirus\" width=\"846\" height=\"53\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure30.png 846w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure30-300x19.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure30-768x48.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure30-205x13.png 205w\" sizes=\"auto, (max-width: 846px) 100vw, 846px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a030. PureLog collectant des renseignements sur un antivirus<\/em><\/p>\n<p>Il identifie ensuite le niveau de privil\u00e8ge actuel, la version de Windows install\u00e9e et son architecture.<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-239009 size-full\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure31.png\" alt=\"Figure\u00a031. PureLog collectant des renseignements sur un syst\u00e8me dexploitation\" width=\"776\" height=\"61\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure31.png 776w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure31-300x24.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure31-768x60.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure31-205x16.png 205w\" sizes=\"auto, (max-width: 776px) 100vw, 776px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure 31. PureLog collectant des renseignements sur un syst\u00e8me d&#8217;exploitation<\/em><\/p>\n<p>Ensuite, \u00e0 l&#8217;aide de la requ\u00eate ci-dessous, il v\u00e9rifie si le syst\u00e8me dispose d&#8217;une cam\u00e9ra ou de tout autre dispositif d&#8217;imagerie.<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-238994 size-full\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure32.png\" alt=\"Figure\u00a032. PureLog collectant des renseignements sur une webcam\" width=\"996\" height=\"60\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure32.png 996w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure32-300x18.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure32-768x46.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure32-205x12.png 205w\" sizes=\"auto, (max-width: 996px) 100vw, 996px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a032. PureLog collectant des renseignements sur une webcam<\/em><\/p>\n<p>Enfin, PureLog identifie les dimensions de l&#8217;\u00e9cran et r\u00e9alise une capture de l&#8217;\u00e9cran de la victime.<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-238979 size-full\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure33.png\" alt=\"Figure\u00a033. PureLog effectuant une capture d\u00e9cran\" width=\"843\" height=\"345\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure33.png 843w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure33-300x123.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure33-768x314.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure33-205x84.png 205w\" sizes=\"auto, (max-width: 843px) 100vw, 843px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure 33. PureLog effectuant une capture d&#8217;\u00e9cran<\/em><\/p>\n<p>Cette capture d&#8217;\u00e9cran est ensuite redimensionn\u00e9e et convertie au format JPEG, avant d&#8217;\u00eatre envoy\u00e9e au domaine\u00a0C2.<\/p>\n<h4>4.3\u00a0M\u00e9canisme de persistance<\/h4>\n<p>Pour garantir la persistance, PureLog ex\u00e9cute la commande PowerShell suivante\u00a0:<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-238964 size-large\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure34-1024x141.png\" alt=\"Figure\u00a034. Commande PowerShell malveillante\" width=\"1024\" height=\"141\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure34-1024x141.png 1024w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure34-300x41.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure34-768x106.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure34-1536x212.png 1536w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure34-205x28.png 205w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure34.png 1802w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a034. Commande PowerShell malveillante<\/em><\/p>\n<p>Cette commande PowerShell cr\u00e9e une t\u00e2che planifi\u00e9e \u00e0 des fins de persistance et ex\u00e9cute le fichier \u00ab\u00a0RunetimeBroker.exe\u00a0\u00bb toutes les 5\u00a0minutes avec des privil\u00e8ges \u00e9lev\u00e9s. Elle configure \u00e9galement la t\u00e2che afin qu&#8217;elle continue de s&#8217;ex\u00e9cuter m\u00eame en mode batterie.<\/p>\n<h4>4.4\u00a0Gestionnaire des communications\u00a0C2<\/h4>\n<p>Enfin, PureLog se connecte \u00e0 son domaine\u00a0C2. Il d\u00e9chiffre la configuration int\u00e9gr\u00e9e \u00e0 l&#8217;\u00e9chantillon afin d&#8217;obtenir le domaine\u00a0C2 et le num\u00e9ro de port. La configuration est encod\u00e9e en Base64 et compress\u00e9e \u00e0 l&#8217;aide de GZIP.<\/p>\n<div class=\"wp-block-image\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-238949 size-large\" src=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure35-1024x228.png\" alt=\"Figure\u00a035. Configuration PureLog chiffr\u00e9e\" width=\"1024\" height=\"228\" data-warning=\"Missing alt text\" srcset=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure35-1024x228.png 1024w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure35-300x67.png 300w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure35-768x171.png 768w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure35-205x46.png 205w, https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/10\/figure35.png 1478w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/div>\n<p style=\"text-align: center;\"><em>Figure\u00a035. Configuration PureLog chiffr\u00e9e<\/em><\/p>\n<p>L&#8217;\u00e9chantillon effectue une r\u00e9solution DNS afin d&#8217;obtenir l&#8217;adresse IP \u00e0 partir du nom d&#8217;h\u00f4te. Il \u00e9tablit ensuite une connexion TCP et met en \u0153uvre le chiffrement TLS afin d&#8217;assurer une communication s\u00e9curis\u00e9e avec le serveur C2.<\/p>\n<p>PureLog met \u00e9galement en \u0153uvre une routine personnalis\u00e9e de validation des certificats. La configuration contient un certificat X.509, qui est compar\u00e9 au certificat X.509 re\u00e7u du serveur C2, ce qui indique la mise en \u0153uvre d&#8217;un m\u00e9canisme d&#8217;\u00e9pinglage de certificat.<\/p>\n<p>PureLog cr\u00e9e ensuite un objet structur\u00e9 contenant des renseignements sur la machine infect\u00e9e et envoie ces donn\u00e9es au domaine C2. Le domaine C2 que nous avons d\u00e9couvert \u00e9tait \u00ab <strong>telemetrydata.to<\/strong> \u00bb.<\/p>\n<p>Ensuite, le logiciel malveillant maintient la connexion TLS active afin de recevoir les donn\u00e9es de commande provenant du serveur C2. Chaque commande re\u00e7ue est ex\u00e9cut\u00e9e dans son propre thread, ce qui permet aux cyberpirates d&#8217;ex\u00e9cuter des commandes \u00e0 distance.<\/p>\n<p>Le logiciel malveillant met \u00e9galement en \u0153uvre un m\u00e9canisme de reconnexion persistante. En cas de rupture de connexion, le logiciel malveillant ferme le socket et le flux actifs, r\u00e9initialise son \u00e9tat de connexion et tente de se reconnecter.<\/p>\n<p>Cela permet aux cybercriminels d&#8217;installer des composants PureLog suppl\u00e9mentaires.<\/p>\n<h2>Indicateur(s) de compromission<\/h2>\n<p>McAfee propose une couverture exhaustive de la campagne de logiciels malveillants Marsalek. Nous assurons une surveillance proactive des nouveaux \u00e9chantillons d\u00e9tect\u00e9s en circulation.<\/p>\n<p>Trojan:Win\/Marsalek.AB\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Trojan:Script\/Marsalek.AA<\/p>\n<table width=\"508\">\n<tbody>\n<tr>\n<td width=\"384\"><strong><em>SHA256\/URL<\/em><\/strong><\/td>\n<td width=\"124\"><strong>Nom du fichier<\/strong><\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><strong><em>Charge utile de la phase\u00a01<\/em><\/strong><\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>c70728c7e1bb1369152817d732ae068c0cd6e3356343ca5ea3a916acdf6f3b97<\/em><\/td>\n<td width=\"124\">Fake CAPTCHA Page<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>98f138624ea96313dd5803356dc9428d230e535b5e775ed7cb4fc6dfd8397ab4<\/em><\/td>\n<td width=\"124\">build_1280.exe<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>29f65faa96c9743e9ea1242dcb9d8a4a453b778f7dfb488c8add3f04ee087011<\/em><\/td>\n<td width=\"124\">build_1505.exe<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>ae975e468c26c67a2618d0da28d671c1101d01979a10677abe658a7b40f221be<\/em><\/td>\n<td width=\"124\">payload_1.ps1<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>04b0dbddaa7791445adbaf7c47fe388d4ddad724b2a6b55463d2a81cacf3339d<\/em><\/td>\n<td width=\"124\">ShadowClient.exe<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>075d2ad32039674a2c65d899ae6760adf2457fe6af93710d204cee69e318a858<\/em><\/td>\n<td width=\"124\">Discord Free Nitro Gen.exe<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>0c6f22efc8212739358ee2ce3564ffd3d193a74c1197cfc90d6345e33655ddeb<\/em><\/td>\n<td width=\"124\">build_1540.exe<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>206e7a9a9cb0767d356de26d2f3b6fca85552c2d89104f343fc2e20a64e1efa4<\/em><\/td>\n<td width=\"124\">Fortnite_tweaks.exe<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>279b6b8621f61f63e1537f7225bef375fc497342a812904d8194b5a44df3efbe<\/em><\/td>\n<td width=\"124\">r.vbs<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>fe510937483b1b79e9da1f1a18bc7fce21637c0ce7a5799259ee3d29e8364f1e<\/em><\/td>\n<td width=\"124\">CS2-TriggerBot-main\/main.py<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>\u00a0<\/em><\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><strong><em>Charge utile de la phase\u00a02<\/em><\/strong><\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>4067e5f3dea8180dc47ea8c737b0cd2b11d4dfd5ef65f9e5ff30049eb8762f3e<\/em><\/td>\n<td width=\"124\">python_setup.py<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>b75cc775a8c1f91d38dab69a9b7278b9ef7c84cf14435d374a6d7c2660e16c02<\/em><\/td>\n<td width=\"124\">downloaded_payload.txt<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>4067e5f3dea8180dc47ea8c737b0cd2b11d4dfd5ef65f9e5ff30049eb8762f3e<\/em><\/td>\n<td width=\"124\">python_setup.py<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>6fb6adb819a82bc9e7afdc83649af7e9e23daec19b45d19ed92f1877bc54acd9<\/em><\/td>\n<td width=\"124\">virus.py<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>091736aba514598513a936446a7776b1fa4585883bee38afb74cfe840176a8bc<\/em><\/td>\n<td width=\"124\">payload.py<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>76d90ab4ba2be337e1ae03f69d12bfa873357bd5a0f177274a95b66621139c59<\/em><\/td>\n<td width=\"124\">python_setup.py<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>b28bbedac88d0b52531cf344f25ef95fe364e0f3ff9e5105a119f379d83c6ebd<\/em><\/td>\n<td width=\"124\">AsyncRAT.py<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>9327a55cb9e76aab18c404ae4c4b95f2be50fce57c65ba7c0c16ff48193e84ae<\/em><\/td>\n<td width=\"124\">python_setup.py<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>\u00a0<\/em><\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><strong><em>Charge utile de la phase\u00a03<\/em><\/strong><\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>3281e77e96bbd073ec8287928eadb2e47ba5337909800268bc9af0ee985def42<\/em><\/td>\n<td width=\"124\">svc.py<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>7387b1ff5c2d4cdff9abcdb078742f26373e479f883bdd472f1aff58969b4fb2<\/em><\/td>\n<td width=\"124\">svc.py<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>c12ffe59220fff73cabe6fd3cbec73a1c78df6988b742ae1d3a6458a82d135a7<\/em><\/td>\n<td width=\"124\">svc.py<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>714267c512e8cfec6a535cda85897d901dfca9761c678b82781177ff13ec5923<\/em><\/td>\n<td width=\"124\">svc.py<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>54ec316f639c97ec8b0cf321a8df32b1e9e2a19da91784f5575ed0a625ead811<\/em><\/td>\n<td width=\"124\">svc.py<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>2c1c38eb0c427ff5f2aaa3029cc4526f797676ee3ba154c6a980c39f9357e2df<\/em><\/td>\n<td width=\"124\">src.py<\/td>\n<\/tr>\n<tr>\n<td width=\"384\">c7691712d794d4ef582c591566bf5fda76a364b0bcdad315adbaaec8607ad0f3<\/td>\n<td width=\"124\">chromedriver.dll<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><strong><em>Charge utile de la phase\u00a04<\/em><\/strong><\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\">9cf8bab29514d62595e148eb588f0cbecefb947d572c06b4547cff7ea4231747<\/td>\n<td width=\"124\">WinSvcHost.exe<\/td>\n<\/tr>\n<tr>\n<td width=\"384\">e0866124208da639f6cde652d78a3d5e350ad99dbd008aa48dbd1475af4e93ff<\/td>\n<td width=\"124\">Pdihj.exe<\/td>\n<\/tr>\n<tr>\n<td width=\"384\">9e4ea8b578475f18e092da73e56c0054261a881180d93f0909135bd6bdb4845d<\/td>\n<td width=\"124\">Kvxefnlfro.exe<\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><strong>Domaine C2 principal<\/strong><\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\">marsalek.cy<\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><strong>Domaine C2 secondaire<\/strong><\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\">telemetrydata.to<\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\">huehnchenfarm.ru<\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><strong><em>URL distribuant Marsalek<\/em><\/strong><\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>hxxp:\/\/cdn.filepost.dev\/file\/filepost\/uploads\/ad\/adac14669df84170ae21e99e542ff7d3.exe<\/em><\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>hxxp:\/\/solaraexecutor.online\/solara.zip<\/em><\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>hxxps:\/\/cdn.discordapp.com\/attachments\/1406651955421384817\/<\/em> <em>1453822535136186560\/net-nuker.exe?ex=69517c3f&amp;is=69502abf&amp;hm=<\/em> <em>4786f77b0db68586992f5e2f7f8961146ae3401cb3ae4edef52a69dce1392538&amp;<\/em><\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>hxxps:\/\/cdn.discordapp.com\/attachments\/1406651955421384817\/<\/em> <em>1455720862660563037\/net-nuker.exe?ex=695a5e73&amp;is=69590cf3&amp;hm=<\/em> <em>80369b451d7f9b20ebe4893adab9f7530dead3493e895aad7727b0b29ff1e50c&amp;<\/em><\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\">hxxps:\/\/files.catbox.moe\/11b8bu.py<\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\">hxxps:\/\/github.com\/shreddfv\/Matcha-External\/archive\/refs\/heads\/main.zip<\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\">hxxps:\/\/github.com\/shreddfv\/Matcha-External\/raw\/refs\/heads\/main\/Matcha.exe<\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\">hxxps:\/\/github.com\/shreddfv\/Matrix-Hub-External-Cracked\/blob\/main\/newuimatrix.exe?raw=true<\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\">hxxps:\/\/github.com\/shreddfv\/Matrix-Hub-External-Cracked\/raw\/refs\/heads\/main\/newuimatrix.exe<\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\">hxxps:\/\/www.swiftexecutor.online\/swift.zip<\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\">hxxp:\/\/130.12.180.43\/files\/6749237131\/MVvd2DP.exe<\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\">hxxp:\/\/github.com\/FomaNory\/Roblox-Script-Executor\/releases\/download\/Release\/Executor.rar<\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\">hxxp:\/\/130.12.180.43\/files\/5532726588\/cPr84lu.exe<\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\">hxxp:\/\/cdn.filepost.dev\/file\/filepost\/uploads\/ad\/adac14669df84170ae21e99e542ff7d3.exe<\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\">hxxp:\/\/solaraexecutor.online\/solara.zip<\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>hxxps:\/\/cdn.filepost.dev\/file\/filepost\/uploads\/ad\/adac14669df84170ae21e99e542ff7d3.exe<\/em><\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>hxxps:\/\/cdn.discordapp.com\/attachments\/1406651955421384817<\/em> <em>\/1455720862660563037\/net-nuker.exe?ex=699af7f3&amp;is=6999a673&amp;hm=<\/em> <em>6d372f7c5fc686135fedbc1943d7b1eff339fbfd91d26a62f3dddca1c1b7a884&amp;<\/em><\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>hxxps:\/\/cdn.discordapp.com\/attachments\/1460394029215781075<\/em> <em>\/1462929986381152378\/netgen.exe?ex=696ffb38&amp;is=696ea9b8&amp;<\/em> <em>hm=50afe3eaad628cce1300d9571049357f09ae70fae17a56231736c335eda276de&amp;<\/em><\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>hxxps:\/\/cdn.discordapp.com\/attachments\/1467511838848847997\/<\/em> <em>1475468285955932232\/szatum.exe?ex=699ee9ec&amp;is=699d986c&amp;hm<\/em> <em>=4d10ad22da0b18019744b491de4be40b31b336c4b42d4067e16e967bfc07e8f8&amp;<\/em><\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<tr>\n<td width=\"384\"><em>hxxps:\/\/cdn.discordapp.com\/attachments\/684808088372510766\/1458557911142895737\/<\/em> <em>Fortnite_tweaks.exe?ex=69601368&amp;is=695ec1e8&amp;hm=<\/em> <em>4c997f6b315b450a4db6f7079966ff58203b7ef66023a36e97b4b1131d515ce7&amp;<\/em><\/td>\n<td width=\"124\"><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n","protected":false},"excerpt":{"rendered":"<p>Auteur\u00a0: Aayush\u00a0Tyagi Introduction Les campagnes de type malware-as-a-service (MaaS) sont de plus en plus accessibles au sein des communaut\u00e9s de&#8230;<\/p>\n","protected":false},"author":695,"featured_media":233220,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[13930],"tags":[],"coauthors":[4136],"class_list":["post-239691","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-internet-security"],"acf":[],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v25.4 - https:\/\/yoast.com\/wordpress\/plugins\/seo\/ -->\n<title>Logiciels malveillants \u00e0 la demande\u00a0: les dessous de Marsalek, une campagne MaaS | Blog McAfee<\/title>\n<meta name=\"description\" content=\"Marsalek dissimule des logiciels malveillants sous l&#039;apparence d&#039;outils, d&#039;astuces et d&#039;utilitaires populaires destin\u00e9s aux amateurs de jeux.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<meta property=\"og:locale\" content=\"fr_CA\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Logiciels malveillants \u00e0 la demande\u00a0: les dessous de Marsalek, une campagne MaaS | Blog McAfee\" \/>\n<meta property=\"og:description\" content=\"Marsalek dissimule des logiciels malveillants sous l&#039;apparence d&#039;outils, d&#039;astuces et d&#039;utilitaires populaires destin\u00e9s aux amateurs de jeux.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/\" \/>\n<meta property=\"og:site_name\" content=\"Blog McAfee\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/McAfee\/\" \/>\n<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/McAfee\/\" \/>\n<meta property=\"article:published_time\" content=\"2026-11-13T11:20:38+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2026-11-13T13:08:41+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/08\/600x400.png\" \/>\n\t<meta property=\"og:image:width\" content=\"600\" \/>\n\t<meta property=\"og:image:height\" content=\"400\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"McAfee Labs\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:creator\" content=\"@McAfee_Labs\" \/>\n<meta name=\"twitter:site\" content=\"@McAfee\" \/>\n<meta name=\"twitter:label1\" content=\"\u00c9crit par\" \/>\n\t<meta name=\"twitter:data1\" content=\"McAfee Labs\" \/>\n\t<meta name=\"twitter:label2\" content=\"Estimation du temps de lecture\" \/>\n\t<meta name=\"twitter:data2\" content=\"39 minutes\" \/>\n\t<meta name=\"twitter:label3\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data3\" content=\"McAfee Labs\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/#article\",\"isPartOf\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/\"},\"author\":{\"name\":\"McAfee Labs\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad\"},\"headline\":\"Logiciels malveillants \u00e0 la demande\u00a0: les dessous de Marsalek, une campagne MaaS\",\"datePublished\":\"2026-11-13T11:20:38+00:00\",\"dateModified\":\"2026-11-13T13:08:41+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/\"},\"wordCount\":8149,\"publisher\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#organization\"},\"image\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/#primaryimage\"},\"thumbnailUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/08\/600x400.png\",\"articleSection\":[\"S\u00e9curit\u00e9 Internet\"],\"inLanguage\":\"fr-CA\"},{\"@type\":\"WebPage\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/\",\"name\":\"Logiciels malveillants \u00e0 la demande\u00a0: les dessous de Marsalek, une campagne MaaS | Blog McAfee\",\"isPartOf\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/#primaryimage\"},\"image\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/#primaryimage\"},\"thumbnailUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/08\/600x400.png\",\"datePublished\":\"2026-11-13T11:20:38+00:00\",\"dateModified\":\"2026-11-13T13:08:41+00:00\",\"description\":\"Marsalek dissimule des logiciels malveillants sous l'apparence d'outils, d'astuces et d'utilitaires populaires destin\u00e9s aux amateurs de jeux.\",\"breadcrumb\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/#breadcrumb\"},\"inLanguage\":\"fr-CA\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"fr-CA\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/#primaryimage\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/08\/600x400.png\",\"contentUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/08\/600x400.png\",\"width\":600,\"height\":400},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Blog\",\"item\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"S\u00e9curit\u00e9 Internet\",\"item\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/\"},{\"@type\":\"ListItem\",\"position\":3,\"name\":\"Logiciels malveillants \u00e0 la demande\u00a0: les dessous de Marsalek, une campagne MaaS\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#website\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/\",\"name\":\"McAfee Blog\",\"description\":\"Actualit\u00e9s concernant la s\u00e9curit\u00e9 Internet\",\"publisher\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"fr-CA\"},{\"@type\":\"Organization\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#organization\",\"name\":\"McAfee\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"fr-CA\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#\/schema\/logo\/image\/\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png\",\"contentUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png\",\"width\":1286,\"height\":336,\"caption\":\"McAfee\"},\"image\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#\/schema\/logo\/image\/\"},\"sameAs\":[\"https:\/\/www.facebook.com\/McAfee\/\",\"https:\/\/x.com\/McAfee\",\"https:\/\/www.linkedin.com\/company\/mcafee\/\",\"https:\/\/www.youtube.com\/McAfee\"]},{\"@type\":\"Person\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad\",\"name\":\"McAfee Labs\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"fr-CA\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#\/schema\/person\/image\/af947d76ffbef8521094b476cf8050c3\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg\",\"contentUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg\",\"caption\":\"McAfee Labs\"},\"description\":\"McAfee Labs is one of the leading sources for threat research, threat intelligence, and cybersecurity thought leadership. See our blog posts below for more information.\",\"sameAs\":[\"https:\/\/www.linkedin.com\/company\/mcafee\/\",\"https:\/\/www.facebook.com\/McAfee\/\",\"https:\/\/x.com\/McAfee_Labs\"],\"url\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/author\/mcafee-labs\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Logiciels malveillants \u00e0 la demande\u00a0: les dessous de Marsalek, une campagne MaaS | Blog McAfee","description":"Marsalek dissimule des logiciels malveillants sous l'apparence d'outils, d'astuces et d'utilitaires populaires destin\u00e9s aux amateurs de jeux.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"og_locale":"fr_CA","og_type":"article","og_title":"Logiciels malveillants \u00e0 la demande\u00a0: les dessous de Marsalek, une campagne MaaS | Blog McAfee","og_description":"Marsalek dissimule des logiciels malveillants sous l'apparence d'outils, d'astuces et d'utilitaires populaires destin\u00e9s aux amateurs de jeux.","og_url":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/","og_site_name":"Blog McAfee","article_publisher":"https:\/\/www.facebook.com\/McAfee\/","article_author":"https:\/\/www.facebook.com\/McAfee\/","article_published_time":"2026-11-13T11:20:38+00:00","article_modified_time":"2026-11-13T13:08:41+00:00","og_image":[{"width":600,"height":400,"url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/08\/600x400.png","type":"image\/png"}],"author":"McAfee Labs","twitter_card":"summary_large_image","twitter_creator":"@McAfee_Labs","twitter_site":"@McAfee","twitter_misc":{"\u00c9crit par":"McAfee Labs","Estimation du temps de lecture":"39 minutes","Written by":"McAfee Labs"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/#article","isPartOf":{"@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/"},"author":{"name":"McAfee Labs","@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad"},"headline":"Logiciels malveillants \u00e0 la demande\u00a0: les dessous de Marsalek, une campagne MaaS","datePublished":"2026-11-13T11:20:38+00:00","dateModified":"2026-11-13T13:08:41+00:00","mainEntityOfPage":{"@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/"},"wordCount":8149,"publisher":{"@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#organization"},"image":{"@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/#primaryimage"},"thumbnailUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/08\/600x400.png","articleSection":["S\u00e9curit\u00e9 Internet"],"inLanguage":"fr-CA"},{"@type":"WebPage","@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/","url":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/","name":"Logiciels malveillants \u00e0 la demande\u00a0: les dessous de Marsalek, une campagne MaaS | Blog McAfee","isPartOf":{"@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#website"},"primaryImageOfPage":{"@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/#primaryimage"},"image":{"@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/#primaryimage"},"thumbnailUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/08\/600x400.png","datePublished":"2026-11-13T11:20:38+00:00","dateModified":"2026-11-13T13:08:41+00:00","description":"Marsalek dissimule des logiciels malveillants sous l'apparence d'outils, d'astuces et d'utilitaires populaires destin\u00e9s aux amateurs de jeux.","breadcrumb":{"@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/#breadcrumb"},"inLanguage":"fr-CA","potentialAction":[{"@type":"ReadAction","target":["https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/"]}]},{"@type":"ImageObject","inLanguage":"fr-CA","@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/#primaryimage","url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/08\/600x400.png","contentUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2026\/08\/600x400.png","width":600,"height":400},{"@type":"BreadcrumbList","@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/marsalek-logiciel-malveillant-fausses-astuces-vol-mots-de-passe\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Blog","item":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/"},{"@type":"ListItem","position":2,"name":"S\u00e9curit\u00e9 Internet","item":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/"},{"@type":"ListItem","position":3,"name":"Logiciels malveillants \u00e0 la demande\u00a0: les dessous de Marsalek, une campagne MaaS"}]},{"@type":"WebSite","@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#website","url":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/","name":"McAfee Blog","description":"Actualit\u00e9s concernant la s\u00e9curit\u00e9 Internet","publisher":{"@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"fr-CA"},{"@type":"Organization","@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#organization","name":"McAfee","url":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/","logo":{"@type":"ImageObject","inLanguage":"fr-CA","@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#\/schema\/logo\/image\/","url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png","contentUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png","width":1286,"height":336,"caption":"McAfee"},"image":{"@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.facebook.com\/McAfee\/","https:\/\/x.com\/McAfee","https:\/\/www.linkedin.com\/company\/mcafee\/","https:\/\/www.youtube.com\/McAfee"]},{"@type":"Person","@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad","name":"McAfee Labs","image":{"@type":"ImageObject","inLanguage":"fr-CA","@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#\/schema\/person\/image\/af947d76ffbef8521094b476cf8050c3","url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg","contentUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg","caption":"McAfee Labs"},"description":"McAfee Labs is one of the leading sources for threat research, threat intelligence, and cybersecurity thought leadership. See our blog posts below for more information.","sameAs":["https:\/\/www.linkedin.com\/company\/mcafee\/","https:\/\/www.facebook.com\/McAfee\/","https:\/\/x.com\/McAfee_Labs"],"url":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/author\/mcafee-labs\/"}]}},"_links":{"self":[{"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/posts\/239691","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/users\/695"}],"replies":[{"embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/comments?post=239691"}],"version-history":[{"count":5,"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/posts\/239691\/revisions"}],"predecessor-version":[{"id":239711,"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/posts\/239691\/revisions\/239711"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/media\/233220"}],"wp:attachment":[{"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/media?parent=239691"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/categories?post=239691"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/tags?post=239691"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/coauthors?post=239691"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}