REX Cyber · Veille du 2026-09-22. Faits attribués à asec.ahnlab.com.
Dans une distribution déguisée en crack, Remus, Vidar, LummaC2 et ACRStealer ont été distribués.
Ce qui s’est passé
Les auteurs de asec.ahnlab.com rapportent les constatations suivantes :
- Dans une distribution déguisée en crack, Remus, Vidar, LummaC2 et ACRStealer ont été distribués.
- Une distribution exploitant Renpy a été identifiée, liant setup.Exe et setup.Py pour lancer ACRStealer.
- L'infostealer AgentTesla a été identifié dans des cas d'e-mails utilisant SMTP pour transmettre les informations volées.
- Les fichiers EXE représentaient environ 97.3% du type d'exécution, tandis que le side-loading de DLL représentait environ 2.7%.
Acteurs et cibles
Acteurs rapportés
Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.
Cibles rapportées
Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.
Relations explicites de renseignement
- Cibles associées : British Indian Ocean Territory ; Finance ; India
Ces relations publiques sont liées au rapport. Elles peuvent décrire une activité plus large que l’événement résumé ci-dessus.
MITRE ATT&CK
Techniques directement associées au rapport
| Technique source | Nom | Tactiques | Confiance source | Statut dans ATT&CK |
|---|---|---|---|---|
T1574.002 |
DLL Side-Loading | Execution, Stealth | 50 | Révoquée dans le catalogue officiel ; remplacée par T1574.001 — DLL |
Le lien au rapport est explicite dans les données de renseignement. Il ne démontre pas, à lui seul, chaque comportement décrit par la fiche ATT&CK.
Répertoire associé aux acteurs et aux malwares
Les techniques suivantes sont liées à une entité présente dans le rapport. Cette association décrit son répertoire connu ; elle ne prouve pas leur emploi dans cet incident.
LummaC2
| Technique source | Nom | Tactiques | Confiance source | Statut dans ATT&CK |
|---|---|---|---|---|
T1085 |
Rundll32 | Execution, Stealth | 50 | Révoquée dans le catalogue officiel ; remplacée par T1218.011 — Rundll32 |
T1035 |
Service Execution | Execution | 50 | Révoquée dans le catalogue officiel ; remplacée par T1569.002 — Service Execution |
T1574.002 |
DLL Side-Loading | Execution, Stealth | 50 | Révoquée dans le catalogue officiel ; remplacée par T1574.001 — DLL |
ACRStealer
| Technique source | Nom | Tactiques | Confiance source | Statut dans ATT&CK |
|---|---|---|---|---|
T1574.002 |
DLL Side-Loading | Execution, Stealth | 50 | Révoquée dans le catalogue officiel ; remplacée par T1574.001 — DLL |
Vidar
| Technique source | Nom | Tactiques | Confiance source | Statut dans ATT&CK |
|---|---|---|---|---|
T1107 |
File Deletion | Stealth | 50 | Révoquée dans le catalogue officiel ; remplacée par T1070.004 — File Deletion |
| Identifiant absent | TA0037 | Non renseignées dans les données | 50 | Non vérifié dans le catalogue officiel |
T1574.002 |
DLL Side-Loading | Execution, Stealth | 50 | Révoquée dans le catalogue officiel ; remplacée par T1574.001 — DLL |
T1022 |
Data Encrypted | Exfiltration | 50 | Révoquée dans le catalogue officiel ; remplacée par T1560 — Archive Collected Data |
Remus
| Technique source | Nom | Tactiques | Confiance source | Statut dans ATT&CK |
|---|---|---|---|---|
T1574.002 |
DLL Side-Loading | Execution, Stealth | 50 | Révoquée dans le catalogue officiel ; remplacée par T1574.001 — DLL |
Les identifiants proviennent des objets de renseignement. Les champs absents sont signalés ; aucune technique n’est ajoutée par déduction du texte.
Les libellés, tactiques et statuts sont complétés par le catalogue officiel ATT&CK consulté le 2026-10-10T13:50:39Z. Un remplacement officiel conserve l’identifiant d’origine de la source et ne crée pas une nouvelle preuve d’incident.
Entités et contexte du rapport
- Région : Southern Asia ; confiance : 100/100
- Région : Sub-Saharan Africa ; confiance : 100/100
- Malware : LummaC2 ; is_family : False ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
- Secteur : Finance ; alias : Financial, Financial Industry (FI), Financial Services, Financial-Services ; confiance : 100/100
- Pays : India ; alias : IN, IND ; confiance : 100/100
- Région : Asia ; confiance : 100/100
- Région : Africa ; confiance : 100/100
- Malware : ACRStealer ; is_family : False ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
- Malware : Vidar ; alias : win.vidar ; is_family : False ; malware_types : bot ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
- Malware : Remus ; alias : win.remus ; is_family : False ; malware_types : bot ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
- Pays : British Indian Ocean Territory ; alias : IO, IOT ; confiance : 100/100
Cette liste présente les objets associés par la source. La présence d’un pays, d’un secteur, d’un outil ou d’une CVE ne suffit pas à établir son rôle dans le cas. Les acteurs et les cibles confirmés par le récit sont précisés plus haut.
Relations entre les entités nommées
| Origine | Relation déclarée | Destination | Confiance / statut |
|---|---|---|---|
| ACRStealer | cible | India | 50/100 |
| India | situé dans | Southern Asia | 100/100 |
| Remus | cible | British Indian Ocean Territory | 50/100 |
| British Indian Ocean Territory | situé dans | Sub-Saharan Africa | 100/100 |
| LummaC2 | cible | India | 50/100 |
| Vidar | utilise | T1574.002 | 50/100 |
| Remus | utilise | T1574.002 | 50/100 |
| ACRStealer | cible | Finance | 50/100 |
| LummaC2 | cible | Finance | 50/100 |
| LummaC2 | utilise | T1574.002 | 50/100 |
| ACRStealer | utilise | T1574.002 | 50/100 |
| Vidar | cible | British Indian Ocean Territory | 50/100 |
| ACRStealer | cible | British Indian Ocean Territory | 50/100 |
| Remus | cible | Finance | 50/100 |
| Remus | cible | India | 50/100 |
| Vidar | cible | Finance | 50/100 |
| Vidar | cible | India | 50/100 |
| Sub-Saharan Africa | situé dans | Africa | 100/100 |
| LummaC2 | cible | British Indian Ocean Territory | 50/100 |
| Southern Asia | situé dans | Asia | 100/100 |
IOC et observables pour la recherche
11 valeurs typées issues des objets publics du rapport. Les valeurs ci-dessous sont neutralisées pour éviter les liens actifs. L’export CSV conserve les valeurs exactes.
Statuts de validité calculés au 2026-10-10T13:50:29+00:00, à partir du snapshot collecté. Ils doivent être réévalués avant un usage opérationnel ultérieur.
La confiance est le score de la source sur 100 ; elle n’est pas une probabilité de compromission.
| Type | Valeur neutralisée | Qualification | Confiance | Usage / validité |
|---|---|---|---|---|
| md5 | 015eab9d9dfbb6479f6001b0ec5d5f7c |
Indicateur | 50 | Dans la période de validité déclarée |
| md5 | 01751fdcd020df3de36c18b2c65e319c |
Indicateur | 50 | Dans la période de validité déclarée |
| md5 | 01b0c7fb95f3bd473afc02c295b6accc |
Indicateur | 50 | Dans la période de validité déclarée |
| md5 | 01cd5d41e875224867c385ae931b7b4e |
Indicateur | 50 | Dans la période de validité déclarée |
| md5 | 01dfd32fa42c976b09bad618a84ebc67 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha1 | 62f8c0ecc7ab0ec15c056bc8c7ffe05e43d83531 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha1 | 64e9c4abc663d8f8780185144e03e9c7bc4c847f |
Indicateur | 50 | Dans la période de validité déclarée |
| sha1 | e4b895404f2512e8e4d19d5352669181a11f5f63 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 54e378e35d80ccebba22abd63d23909e8533df4a4713afbcef05c1592e465e5d |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 5f3939ab860a1d2b1a08e168ee45925423bf722e46e292c2b710ca9f4cedf27a |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | c375cb55dafefcb4ad4fdad99e58159943b9e1c51c7756c2e7880656881fc0f0 |
Indicateur | 50 | Dans la période de validité déclarée |
Télécharger les IOC en CSV · Lire les IOC neutralisés (TXT) · Télécharger les renseignements structurés (JSON)
Comment utiliser les exports
Le CSV sert à rechercher les valeurs dans les journaux DNS, proxy, réseau et EDR selon leur type. La présence d’un observable dans un rapport ne suffit pas à justifier son blocage. Les indicateurs révoqués ou expirés sont conservés pour la recherche historique, avec leur statut.
Couverture et provenance
Rapport publié le 2026-09-22T13:13:35.394Z ; 36 objets publics et 92 relations publiques explicitement associées. Pagination complète. Une entité mentionnée n’établit pas, à elle seule, une attribution ou un ciblage. 2 patterns non pris en charge ou valeurs invalides ont été exclus de l’export. La fiche est générée automatiquement depuis les données du rapport et ses références publiques ; elle ne décrit pas un incident observé chez Gringao.
Texte de la source publique lu : extrait de 2856 caractères retenu, dans la limite de 12000 caractères. Le récit est vérifié sur cet extrait.
- Titre source : August 2026 Infostealer Trend Report
- Types de rapport : threat-report
- Labels : acrstealer, agenttesla, dll side-loading, email distribution, formbook, infostealer, lummac2, remus, seo poisoning, vidar
- Confiance du rapport : 50/100
- Création déclarée par la source : 2026-09-22T13:13:35.394Z
- Modification déclarée par la source : 2026-09-26T19:02:34.464Z
- Import de l’objet de renseignement : 2026-09-26T19:02:13.357Z
- Mise à jour de l’objet de renseignement : 2026-09-26T19:02:34.464Z
Le JSON rassemble les métadonnées, les alias, les attributs structurés, les références, les relations, les techniques MITRE et tous les IOC retenus. Les dates d’import et de mise à jour sont distinctes de la date d’incident.
Source
August 2026 Infostealer Trend Report — asec.ahnlab.com.