Omnistealer : le premier infostealer à utiliser la blockchain comme commande et contrôle

Un nouveau canal C2 impossible à démanteler

Les démantèlements sont la façon dont la plupart des campagnes malware se terminent. Une équipe threat intel retrace l’infrastructure de commande et contrôle jusqu’à un hébergeur, dépose un signalement, et le domaine ou serveur C2 s’éteint. Omnistealer brise ce schéma. Selon Malwarebytes, le malware stocke son code d’étape à l’intérieur de transactions sur des blockchains publiques — TRON, Aptos et Binance Smart Chain. Parce que ces blockchains sont append-only et immuables, les payloads malveillants restent accessibles en permanence. Il n’y a pas d’hébergeur à assigner, pas d’enregistrement DNS à sinkholer, pas de compte cloud à suspendre.

Le schéma d’attaque : le loader initial d’Omnistealer contacte la blockchain, lit les données de transaction et les utilise comme pointeur pour récupérer et déchiffrer le payload final. Security Boulevard et Cyber Security Review confirment la même technique dans leurs rapports. C’est une innovation structurelle dans l’infrastructure malware, pas une montée en puissance tactique.

L’appât du faux gig de code

Le vecteur d’accès initial d’Omnistealer est résolument moderne. L’analyse de Malwarebytes décrit le schéma :

1. Un développeur freelance reçoit un message LinkedIn ou Upwork proposant un contrat de développement.
2. On demande au développeur de cloner un dépôt GitHub et de l’exécuter localement pour « évaluer le projet ».
3. Le projet contient du code apparemment bénin à côté du loader Omnistealer, qui s’exécute pendant l’étape de build/run.
4. Une fois exécuté, Omnistealer lit les transactions blockchain pour son payload de prochaine étape et commence l’exfiltration.

Cet appât cible exactement la population aux identifiants les plus précieux : les développeurs qui ont accès aux consoles cloud d’entreprise, au code source, aux gestionnaires de secrets et, dans de nombreux cas, aux portefeuilles crypto. L’ingénierie sociale est minimale et l’exécution technique est invisible pour quiconque ne fait pas tourner d’EDR sur son poste de travail.

Ce qu’Omnistealer vole réellement

La surface cible est large. Le résumé de VoidNews et les rapports de Malwarebytes s’accordent sur les catégories suivantes :

• 10+ password managers, y compris LastPass — une cible notable étant donné son propre antécédent de fuite en 2022.
• Navigateurs majeurs incluant Chrome et Firefox, pour les identifiants stockés, les cookies et les jetons de session.
• Comptes de stockage cloud incluant Google Drive.
• 60+ portefeuilles crypto basés navigateur incluant MetaMask et Coinbase Wallet.

Plus de 300 000 identifiants uniques ont déjà été compromis, le pool de victimes incluant des entreprises de cybersécurité, des sociétés de défense et des agences gouvernementales. Ce mélange compte : ce n’est pas qu’une campagne contre les détenteurs de crypto. L’identité d’entreprise est le premier prix.

Pourquoi le C2 blockchain sera copié

Les acteurs malveillants copient ce qui fonctionne. Le C2 blockchain-résident fonctionne parce qu’il résout le problème du démantèlement sans introduire de surcharge opérationnelle significative. Attendez-vous à voir le même schéma adopté par d’autres familles de malware en quelques mois, pas années. Les implications pour les défenseurs sont triples :

1. Les IOC basés sur des listes de domaines C2 vont se dégrader. Les listes de blocage de domaines restent utiles mais capturent moins de la chaîne d’attaque. Les adresses blockchain peuvent tourner librement et sont difficiles à bloquer au niveau réseau.
2. La détection au niveau réseau change. Les connexions sortantes vers des endpoints RPC blockchain (nœuds publics pour TRON, Aptos, BSC) depuis des endpoints d’entreprise sans raison métier de requêter des blockchains deviennent des détections à fort signal.
3. Les partenariats de démantèlement perdent en efficacité. Les saisies par les forces de l’ordre d’hôtes bulletproof restent utiles contre les serveurs d’accès initial mais n’affectent pas l’étape de récupération du payload secondaire.

L’hygiène de sécurité développeur qui arrête réellement Omnistealer

Pour les développeurs, les PME dev-centriques et les équipes d’ingénierie de toute taille, la pile défensive n’est pas exotique :

• Ne clonez et n’exécutez jamais de dépôt non fiable sur votre poste principal. Utilisez une VM jetable, un dev container sandboxé ou un environnement de dev cloud (GitHub Codespaces, Gitpod, Coder). Cyber Security Review note que c’est le contrôle à plus fort levier.
• L’EDR sur les portables développeurs n’est pas négociable. Beaucoup d’organisations d’ingénierie traitent les machines développeurs comme des cas spéciaux — elles devraient être parmi les endpoints les plus surveillés du parc.
• Clés matérielles pour MFA sur toutes les consoles admin. Les tokens FIDO2 résistent au vol de cookies de session, qui est une des cibles principales d’exfiltration d’Omnistealer.
• Révoquez régulièrement les sessions navigateur en cache. Les infostealers profitent des navigateurs qui stockent des jetons de session longue durée ; les éditeurs de navigateurs ont resserré cela récemment mais la configuration en entreprise traîne.
• Règles de sortie réseau signalant le trafic RPC blockchain depuis des endpoints qui n’ont aucune raison métier de requêter des blockchains publiques.

La vue d’ensemble sur l’évolution des infostealers

Omnistealer est l’exemple en tête, mais les infostealers subissent une montée en puissance technique plus large. L’analyse d’eSentire sur STX RAT, également publiée en 2026, souligne que les capacités d’infostealer sont greffées sur des Remote Access Trojans, et Cyble a rapporté des infostealers ciblant spécifiquement les utilisateurs LinkedIn. La tendance est claire : les infostealers remontent en gamme pour cibler l’identité d’entreprise et l’accès développeur, pas seulement les portefeuilles crypto grand public.

Pour les RSSI, le message est simple. Les opérations rançongiciel et vol d’informations entrée-de-gamme de 2024 reposaient sur des techniques banalisées que des défenses banalisées pouvaient arrêter. Les variantes 2026 — C2 blockchain, appâts ciblant les développeurs, évasion agressive — exigent un investissement proactif dans l’hygiène d’environnement de dev et la télémétrie endpoint. La blockchain ne peut pas être saisie. Votre budget de réponse à incident, si.

Sources et lectures complémentaires

• Omnistealer uses the blockchain to steal everything it can — Malwarebytes
• Omnistealer uses the blockchain to steal everything it can — Security Boulevard
• Omnistealer uses the blockchain to steal everything it can — Cyber Security Review
• Omnistealer Malware Found Hidden in Blockchain Transactions — VOIDNEWS.NET
• STX RAT: A new RAT in 2026 with Infostealer Capabilities — eSentire
• Professional Networks Under Attack By Infostealer — Cyble