Zscaler ThreatLabz a suivi l’obfuscation de chaîne de Vidar de XOR de base à ChaCha20, puis à une machine virtuelle personnalisée.

REX Cyber · Veille du 2026-09-21. Faits attribués à www.zscaler.com.

Zscaler ThreatLabz a suivi l'obfuscation de chaîne de Vidar de XOR de base à ChaCha20, puis à une machine virtuelle personnalisée.

Ce qui s’est passé

Les auteurs de www.zscaler.com rapportent les constatations suivantes :

• Zscaler ThreatLabz a suivi l'obfuscation de chaîne de Vidar de XOR de base à ChaCha20, puis à une machine virtuelle personnalisée.
• En juin 2026 ThreatLabz a observé Vidar introduire une machine virtuelle pour protéger les chaînes du malware avec différents opcodes changeant par build.
• Vidar implémente un chiffrement de flux personnalisé pour déchiffrer certaines chaînes du malware, identifiant deux implémentations générales.
• Vidar version 2.2 et ultérieure utilise un chiffrement de flux personnalisé initialisant l'état puis des transformations ARX pour produire un flux de clés.

Acteurs et cibles

Acteurs rapportés

Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.

Cibles rapportées

Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.

Repère temporel cité par la source : May through early September 2026.

Contexte temporel — extrait de www.zscaler.com : Vidar is an information stealer that was first observed in 2018. Across its iterations, Vidar has continued to improve its string obfuscation to make detection and analysis more difficult by changing deobfuscation algorithms, constants, and primitives. From May through early September 2026, Zscaler ThreatLabz tracked Vidar’s string obfuscation as it evolved from basic XOR to ChaCha20, and more recently, to a custom virtual machine (VM), which is executed via a lightweight bytecode interpreter that is combined with a custom stream cipher that changes with each build.

MITRE ATT&CK

Techniques directement associées au rapport

Aucune technique MITRE structurée directement associée à ce rapport dans les données disponibles.

Répertoire associé aux acteurs et aux malwares

Les techniques suivantes sont liées à une entité présente dans le rapport. Cette association décrit son répertoire connu ; elle ne prouve pas leur emploi dans cet incident.

Vidar

Les identifiants proviennent des objets de renseignement. Les champs absents sont signalés ; aucune technique n’est ajoutée par déduction du texte.

Les libellés, tactiques et statuts sont complétés par le catalogue officiel ATT&CK consulté le 2026-10-10T19:50:10Z. Un remplacement officiel conserve l’identifiant d’origine de la source et ne crée pas une nouvelle preuve d’incident.

Entités et contexte du rapport

• Malware : Vidar ; alias : win.vidar ; is_family : True ; malware_types : bot ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z

Cette liste présente les objets associés par la source. La présence d’un pays, d’un secteur, d’un outil ou d’une CVE ne suffit pas à établir son rôle dans le cas. Les acteurs et les cibles confirmés par le récit sont précisés plus haut.

IOC et observables pour la recherche

10 valeurs typées issues des objets publics du rapport. Les valeurs ci-dessous sont neutralisées pour éviter les liens actifs. L’export CSV conserve les valeurs exactes.

Statuts de validité calculés au 2026-10-10T19:50:06+00:00, à partir du snapshot collecté. Ils doivent être réévalués avant un usage opérationnel ultérieur.

La confiance est le score de la source sur 100 ; elle n’est pas une probabilité de compromission.

Télécharger les IOC en CSV · Lire les IOC neutralisés (TXT) · Télécharger les renseignements structurés (JSON)

Comment utiliser les exports

Le CSV sert à rechercher les valeurs dans les journaux DNS, proxy, réseau et EDR selon leur type. La présence d’un observable dans un rapport ne suffit pas à justifier son blocage. Les indicateurs révoqués ou expirés sont conservés pour la recherche historique, avec leur statut.

Couverture et provenance

Rapport publié le 2026-09-21T16:45:51.156Z ; 23 objets publics et 22 relations publiques explicitement associées. Pagination complète. Une entité mentionnée n’établit pas, à elle seule, une attribution ou un ciblage. La fiche est générée automatiquement depuis les données du rapport et ses références publiques ; elle ne décrit pas un incident observé chez Gringao.

Texte de la source publique lu : extrait de 11679 caractères retenu, dans la limite de 12000 caractères. Le récit est vérifié sur cet extrait.

• Titre source : Vidar Adds Virtual Machine and Custom Stream Ciphers For String Obfuscation
• Types de rapport : threat-report
• Labels : arx cipher, bytecode interpreter, chacha20, custom stream cipher, information stealer, string obfuscation, vidar, virtual machine
• Confiance du rapport : 50/100
• Création déclarée par la source : 2026-09-21T16:45:51.156Z
• Modification déclarée par la source : 2026-09-26T18:40:39.840Z
• Import de l’objet de renseignement : 2026-09-26T18:40:32.496Z
• Mise à jour de l’objet de renseignement : 2026-09-26T18:40:39.840Z

Le JSON rassemble les métadonnées, les alias, les attributs structurés, les références, les relations, les techniques MITRE et tous les IOC retenus. Les dates d’import et de mise à jour sont distinctes de la date d’incident.

Source

Vidar Adds Virtual Machine and Custom Stream Ciphers For String Obfuscation — www.zscaler.com.