Mops Stealer / RedHive : anatomie d'un stealer qui touche les joueurs français

Quelques mots de vocabulaire

• Infostealer : logiciel malveillant dont l'unique mission est de copier sur la machine infectée tout ce qui permet de se faire passer pour son propriétaire - mots de passe, cookies de session, portefeuilles crypto.

• Cookie de session : le sésame que le navigateur présente à un site pour prouver que vous êtes déjà connecté. Le posséder permet d'entrer dans le compte sans mot de passe, et souvent sans la double authentification.

• Serveur de commande (C2) : le serveur des pirates, auquel le malware se connecte pour recevoir ses ordres et y envoyer le butin.

• Remise en vente : les données volées sont vendues comme un stock sur des boutiques Telegram ; une même machine compromise peut y réapparaître plusieurs fois.

• Fiche victime : la « carte d'identité » de la machine compromise mise en vente (système, utilisateur, matériel, antivirus...), qui prend la forme d'un fichier texte accompagnant le butin extrait de la machine - il s'agit des informations recueillies par l'infostealer sur la machine victime lors de l'infection permettant de la caractériser.

Un stealer, deux noms

Les deux noms désignent la même famille : les chaînes utilisent les mêmes ports du serveur de commande (406/408/1488), le même code d'acceptation du butin (auth_ok), la même adresse /task/Stealer et la même ruse de persistance - se copier dans C:\ProgramData\Windows\Microsoft\ sous le nom d'un composant Windows légitime (RuntimeBroker*).

Le produit est versionné et développé en continu :

La date de fabrication du 8 septembre coïncide avec la montée en puissance de l'infrastructure : enregistrement du domaine gitrm.sbs le 11 septembre, signalements URLhaus les 17–18 octobre. Une boutique sœur, Dark Stealer V.3.1 (mars 2026, marque russe), appartient au même écosystème commercial.

La chaîne d'infection

Détails marquants :

• Verrou anti-analyse : le premier script s'annonce avec une signature aléatoire ; le serveur ne répond qu'aux clients attendus - un robot d'analyse qui ne connaît pas le mot de passe reçoit le silence.
• Fausse installation : barre de progression « [1/3] Checking for Updates... » puis message d'erreur volontairement crédible (« Failed to load DLL: keygen.dll ») - la victime obtient une explication à l'échec apparent du logiciel, pendant que la chaîne malveillante a déjà tout exécuté.
• Effacement des traces : l'historique des commandes PowerShell est purgé à la fin de la chaîne.
• Connaissance des réseaux d'entreprise : le programme s'adapte au proxy d'entreprise et utilise ses identifiants - l'auteur a prévu les réseaux où le trafic sortant est filtré.
• Contournement des contrôles administrateur (UAC), détection des outils d'analyse et des machines virtuelles de laboratoire.

Un malware modulaire : le module de vol est livré à la demande

Le programme installé en persistance n'est pas le voleur lui-même. C'est un malware d'accès à distance (C++ x64, obfusqué) qui reçoit ses ordres et fait livrer à la demande un module de vol séparé :

Deux verrous internes (mutex Global\RuntimeBrokerAds et Global\StealerLib) organisent la coexistence des composants. Cette architecture est la clé de la durée de vie de la famille : le programme persistant reste discret pour les antivirus, et le module de vol - qui apparaît après coup - est remplaçable sans toucher à la persistance.

Ce qu'il vole

• Mots de passe enregistrés dans les navigateurs (Chrome, Edge, Firefox) et leurs données de remplissage automatique.
• Cookies de session : le sésame qui permet d'entrer dans les comptes sans mot de passe et sans double authentification.
• Portefeuilles crypto : fichiers ciblés chez Electrum, ElectronCash et Jaxx Liberty.
• Identifiants FTP/SSH : sessions FileZilla et WinSCP - les accès aux serveurs web des victimes.
• Captures d'écran : le bureau est photographié avant et après le lancement du module de vol.
• Reconnaissance : géolocalisation, numéro de série du disque, antivirus installé - la fiche de la victime est remplie avant la livraison du module.

L'économie de la revente : la chaîne complète, du vol à la liquidation

L'infrastructure suit un calendrier commercial : shells.su (août, contact d'enregistrement krassavchik13370@gmail.com), gitbase.su, verificator.cc et genesis-hub.cc (juillet, même hébergement 192.162.199.184), puis gitrm.sbs et sa boutique mops.to (septembre–octobre, serveur de commande 45.91.202.47, aux Pays-Bas) - chronologie d'infrastructure de bout en bout documentée par l'enquête winslow1984 (sept.-oct. 2026). Les serveurs des pirates laissent aussi traîner une maladresse inhabituelle chez des criminels : des services d'accès à distance Windows ouverts au public - de quoi laisser des empreintes aux chasseurs de menaces.

Livraison : un réseau de faux dépôts GitHub

Les dépôts de leurrage simulent des logiciels populaires (Adobe Acrobat Pro, mineurs crypto, bots Instagram) et gonflent artificiellement leurs étoiles et leurs forks grâce à des réseaux de comptes de promotion - réseau documenté par l'enquête winslow1984 :

MillipedeLoad/Adobe-Acrobat-Pro          GulfMouseVice/crypto-miner-gpu-cpu-hashrate
Binaryunenhance/instagram-liker-bot-...    HyperIllusionistTap/Whale-Tracker-Analytics
gitlerzov1488gitler-cmd/RUST-2026-A-I-M  dev-Warrior65621/Adobe-Acrobat-Pro

Des données volées vendues avec le moyen de les exploiter intégré

Les boutiques injectent des publicités payantes en tête de chaque fiche victime - la preuve que le vol n'est que la première brique d'une chaîne logistique complète :

• Achat de comptes Twitter : « J'achète tout Twitter à partir de vos données volées ! À partir de 20k abonnés, badge Blue pas obligatoire, badges dorés/gris » - @REDACTED, thread lolz.team.
• Cracking de portefeuilles crypto : « Mots de passe cassés pour Exodus, Metamask, Phantom, Electrum, Trust Wallet... nous acceptons aussi Exodus/Electrum directement depuis le butin, même sans solde connu. 75/25 sur tous les soldes » - dépôt en bitcoin.
• Promotion d'un messager anonyme (REDACTED.pro), de réseaux de trafic (@REDACTED) et de bots de vente (@REDACTED / @REDACTED / @REDACTED).

Le stock circule : remises en vente et boutiques concurrentes

Les données STEALINT montrent un stock qui circule : les 243 fiches victimes portant la signature Mops Stealer ne représentent que 120 machines compromises distinctes - chaque poste est remis en vente jusqu'à 6 fois (2 fiches en moyenne), parfois chez des revendeurs différents. L'identifiant de revendeur le plus fréquent (Lid 5820583016, 142 fiches) et des lots maquillés par certains vendeurs complètent le tableau d'une revente organisée.

En aval, les identifiants volés deviennent de l'inventaire : revente de comptes de jeu « non rattachés » à ~2 $ sur une boutique publique (661savage.store), outils d'import de sessions Steam (archievable.exe) qui réinstallent un accès volé sur une autre machine, spam promotionnel (marawex.com, tetsobet.com), fraude Amazon par petites étapes (25 $ validés avant de tenter 100 $), et gaspillage des quotas des outils d'IA (~70 $ d'usage non autorisé sur Cursor). L'enquête winslow1984 a documenté ce parcours de bout en bout, jusqu'à identifier le revendeur par enquête en sources ouvertes (Steam, TikTok, PSN, Discord, registres publics).

Analyse STEALINT : Portrait des victimes françaises

Les données STEALINT (octobre–novembre 2026) isolent 243 fiches victimes de machines compromises françaises portant toutes explicitement la signature du Mops Stealer - version du stealer, identifiant du revendeur et vitrine de la boutique inclus dans chaque fiche. C'est ce lot complet qui est analysé ici.

Versions utilisées

(Comptage par fiche victime : la même machine compromise peut être remise en vente plusieurs fois - voir ci-dessous.)

La V3 est devenue quasi exclusive : la génération précédente a disparu du marché. Deux générations en parallèle il y a un mois, une seule aujourd'hui - signe d'une consolidation active du produit.

Le stock de comptes volés circule : 243 fiches pour 120 machines

• 120 machines compromises distinctes derrière les 243 fiches victimes (124 adresses IP distinctes) ;
• la même machine est remise en vente jusqu'à 6 fois - 59 machines à 1 fiche, 18 à 2, 29 à 3, 11 à 4, 1 à 5, 2 à 6 fiches - soit en moyenne 2 fiches par machine ;
• un poste compromis une fois peut donc être représenté par plusieurs boutiques pendant des semaines : acheté chez un revendeur, il l'est souvent chez un autre, monétisé autant de fois qu'il y a d'acheteurs.

Calendrier de publication des lots

Le calendrier suit ici les dates de publication des lots, qui diffèrent des dates d'infection des machines. Deux grosses rafales : le 22 octobre (49 fiches) et le 28 octobre (57 fiches). La publication se fait à la main, en gros lots, dans une montée continue de l'activité depuis la mi-septembre - et le rythme ne faiblit pas à l'approche de novembre.

Revendeurs et identifiants

Chaque fiche porte la marque du revendeur :

• Configuration : @REDACTED (96 fiches), Arhont (@REDACTED, 9), BuzzLogsPlanet combiné à RogueCloud / PurpleCommandos / Patched_Cloud (11 au total) ;
• Vitrines : t.me/REDACTED (64 fiches), REDACTED.com avec la mention « Version: Russia 34 » (56 fiches, dont 9 via l'adresse crypto REDACTED.eth), @REDACTED (51 fiches) ;
• Identifiants de revendeur (« Lid ») - l'identifiant du lot d'où vient la victime : 5820583016 (142 fiches, le nouveau champion de ce lot), 8593640908 (50), 8270706215 (12), 8894987090 (8). Le Lid 5820583016 est uniquement vendu par @REDACTED - un même opérateur concentre la plus grosse source de victimes françaises.

Au-delà des chiffres, la structure de la revente est un indice en soi : boutiques spécialisées dans les logs, vitrines brandées, identifiants de lots partagés entre plusieurs boutiques, lots maquillés, publicités payantes d'acheteurs en tête de fiche - tout ce petit monde existe déjà ailleurs pour d'autres familles. Ce lot démontre que Mops Stealer est pleinement implanté dans l'écosystème cybercriminel des infostealers : le produit s'écoute dans les mêmes canaux Telegram, alimente les mêmes boutiques de revente et suit les mêmes codes que les familles installées, et non un circuit de vente improvisé.

Environnement des victimes

• Antivirus au moment du vol : Windows Defender sur 220 des 243 fiches (90 %), McAfee 13, AVG 4, 360 Total Security 4, un seul cas « non identifiable ». Defender reste la protection dominante sur les postes volés - et son absence d'empêchement est l'intérêt même des infostealers.
• Systèmes : uniquement Windows 10 dans les fiches renseignées (63 Home, 60 Pro, 6 Education, aux builds 19045 à 26300) ; 107 fiches sans système précisé. Aucune mention de Windows 11 - le parc visé est le plus répandu, pas le plus récent.
• Matériel : 16-32 Go de mémoire (188 fiches sur 243), et des cartes graphiques de joueur - RTX 4060 (×22), RTX 5060 (×16), RTX 3060 (×10), GTX 1060 (×7) - montées sur des processeurs Ryzen (5700X, 5600H, 3600) et Intel Core i7-13700H. Des postes de joueur ou de créateur, coûtant de 800 à 2 500 €, pas des postes d'entreprise standardisés.
• Hypothèse de livraison : au vu des profils de victimes (gamers), l'infostealer est probablement aussi livré via des cracks de jeux piratés, des cheats et des exécuteurs - en complément des dépôts GitHub leurrés observés dans le rapport.
• Utilisateurs : des prénoms et pseudos typiques d'un public français de joueurs (lucas, celia, zakar, enzul, hammo, sayden, akryy...) cotés aux comptes Admin/Utilisateur. La langue est fr-FR sur 221 fiches (les autres : en-US, fr-BE, es-ES, et un fr-029 - le français des Caraïbes, suggérant des victimes dans les outre-mer).
• Ancienneté des postes : en moyenne 276 jours (médiane 173) entre l'installation de Windows et la mise en vente sur le marché du vol - jusqu'à près de 4 ans. Ce sont des machines établies, en usage quotidien, pas des machines jetables.

Qui est derrière

• Cœur de l'opération : les marqueurs « gitlerzov1488 » (contacts d'enregistrement des domaines shells.su et gitbase.su, ancien compte GitHub gitlerzov1488gitler-cmd, profil TikTok « Mango kartel 66 » au contenu idéologiquement explicite) désignent une opération basée en Russie, avec un réseau de revente international.
• Anthropic avait détecté la vague d'activités associée avant sa publication publique, sans l'attribuer à une famille nommée (victime elle-même du détour d'usage de son outil Cursor, relaté dans l'enquête winslow1984).
• En aval : le revendeur d'accès de jeu identifié par l'investigation OSINT de winslow1984 (Steam, TikTok, PSN, Discord, registres publics) opère depuis la Californie - sans lien démontré avec le développement du malware lui-même, mais pleinement intégré à l'économie du vol d'accès.

Pourquoi cette famille menace aussi les entreprises

• La fenêtre d'exploitation se mesure en heures : les données volées sont triées, enrichies et revendues dès leur mise en vente - les acheteurs de comptes et crackers de portefeuilles paient pour être visibles dans les fiches mêmes. Une session bancaire ou VPN volée un matin peut être exploitée le soir.
• Le mot de passe n'est pas la cible principale : ce sont les cookies de session. Réinitialiser son mot de passe n'invalide pas la session déjà ouverte de l'attaquant - des sessions Steam « suspectes » ont continué d'être utilisées alors que la double authentification était active, en réutilisant une autorisation accordée avant l'infection (cas documenté par winslow1984 : session Steam autorisée avant la date d'infection).
• La cible est d'abord la personne, pas l'entreprise : un poste de joueur contient aussi des sessions professionnelles (Microsoft 365, VPN, messageries) - le pont vers l'entreprise est le compte personnel de l'employé. Et les comptes d'administrateur système finissent eux aussi dans les fiches victimes.
• Le stock se remet en vente : un identifiant volé apparaît chez plusieurs revendeurs sur plusieurs mois (jusqu'à 6 remises en vente par poste, 2 en moyenne). Une alerte ponctuelle rate les revendeurs suivants - la surveillance doit être continue.
• La méthode d'infection est copiable : la commande « télécharger et exécuter immédiatement » correspond exactement à la technique « collez ce script dans PowerShell » déployée par de faux écrans de vérification - la même infrastructure peut servir d'autres campagnes. URLhaus le confirme : le 30 octobre, la famille était déjà livrée par un exécutable vc.exe en ClickFix sur un domaine jetable, sans passer par les dépôts GitHub.

Que faire

1. Révoquer les sessions, pas seulement les mots de passe : déconnexion globale de tous les appareils, renouvellement des jetons de connexion, réactivation de la double authentification sur les comptes sensibles.
2. Ne jamais exécuter une commande PowerShell copiée d'un site, d'un Discord ou d'un dépôt GitHub « pour vérifier » ou « installer » quoi que ce soit.
3. Traquer les signes connus : fenêtre PowerShell brève, fichier RuntimeBroker*.exe dans C:\ProgramData\Windows\Microsoft\, tâches planifiées inconnues *DefA/*UpdateA, message « keygen.dll missing », programme exécuté depuis un dossier temporaire.
4. Surveiller la revente de vos identifiants : c'est la mission de STEALINT - la plateforme surveille plus de 100 marchés et canaux Telegram (dont les boutiques citées ici) et alerte dès qu'un identifiant lié à votre domaine, vos e-mails ou vos noms d'utilisateur est mis en vente.
5. Vérifier votre exposition maintenant : le vérificateur STEALINT répond en quelques secondes, sans inscription - https://stealint.com/check
6. Suivre la vague : les statistiques d'infections par infostealers (15 derniers jours, France incluse) sont publiques - https://stealint.com/dashboard
7. Offres : surveillance en continu pour les entreprises et MSSP, accès aux identifiants compromis pour pentesteurs sous mandat signé - https://stealint.com

Indicateurs de compromission (IOCs) - pour les équipes de sécurité

Infrastructure

Fichiers

Registre Windows et verrous

• HKCU\SOFTWARE\WinRAR\Libs\mpchunk_0 → binaire exécutable caché (« Stealer_1.0.1_... »)
• HKCU\SOFTWARE\Microsoft\EventSystem → valeur mops.to / HKCU\Software\Microsoft\Event → valeur System
• Verrous : Global\RuntimeBrokerAds (programme persistant), Global\StealerLib (module de vol)

Tâches planifiées (persistance)

• MicrosoftUpdaterMachineCoreA / \Microsoft\Location\MicrosoftUpdaterMachineCore
• ScheduledDefA / \Microsoft\Windows\EDP\ScheduledDef
• ProgramDataUpdateA / \Microsoft\Windows\RegisterDeviceAccountChange\ProgramDataUpdate
• SvcRestartTaskWindowsLoginsA / \Microsoft\Windows\SoftwareProtectionPlatform\SvcRestartTaskWindowsLogins

Marqueurs protocole

ready;<id>;version;1.0.0                      (annonce du poste infecté)
info;<antivirus>;<système>;<utilisateur>;<campagne>
task;createtask;Stealer;task_id;<id>;version;1.0.2
stealer;<id>\n                                (identité d'envoi du butin, port 1488)
auth_ok                                       (accusé du serveur de commande)
Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==   (nonce d'exemple de la RFC 6455)

Règles de détection

Références

• STEALINT - vérificateur de fuite · statistiques d'infections · offres · données terrain analysées par STEALINT : 243 fiches FR de machines compromises par Mops Stealer, nov. 2026.
• Winslow1984 - « Hey, You Hacked a Hacker! Are You Ready For My Revenge? » (sept.–oct. 2026) - winslow1984.com/books/threat-intelligence/page/hey-you-hacked-a-hacker-are-you-ready-for-my-revenge - l'enquête la plus détaillée sur l'écosystème RedHive (malware modulaire, réseau GitHub, enquête d'attribution, annexe IOCs).
• Joe Sandbox, analyse n°1989432 (87cbf3ab4dd505c5.ps1, 20/10/2026) - rapport PDF joint.
• Joe Sandbox, analyses n°1981190 (5BWFavttfc.exe, 02/10/2026 - RedHiveStealer explicite, mops.to/task/Stealer), 1986453 (xOAsV6Xf0d.exe, 13/10/2026 - variante EXE directe, même serveur de commande), 1988073 (loader GCleaner + branche Mops Stealer).
• 2-Spyware : gitrm.sbs: RedHiveStealer PowerShell Malware, Removal (18/10/2026) ; idem gitview.sbs, viewgit.sbs, gitsl.xyz.
• URLhaus (abuse.ch), tag MopsStealer : première vue le 20/10/2026 16:09 UTC, 5 vues au total, toutes les URL hors ligne au dernier contrôle - le cluster de livraison signalé le 17/10 par ffforward (gitrm.sbs, gitview.sbs, viewgit.sbs, gitsl.xyz - tags powershell, ps1, iex-irm, mops_to, RedHiveStealer, classé Payload Delivery) et une 5e URL le 30/10 par 0xJustme : vc.exe sur un domaine jetable, tags ClickFix / win / x86-64.
• Forum Kaspersky Club : sujet « virus updater.exe » (référencé par winslow1984).
• PhishDestroy / GridinSoft : dossiers verificator.cc et genesis-hub.cc.
• Shodan : 192.162.199.184, 145.63.134.94.
• Unit42 (Palo Alto Networks) : OpenClaw AI supply chain risk (contexte supply chain IA).
• BleepingComputer / Microsoft (31/08/2026) : variante ClickFix PowerShell - modèle de livraison irm/iex.
• MITRE ATT&CK : T1059.001, T1027, T1218.003, T1562.001, T1055, T1555.003, T1005, T1071.001, T1571, T1140, T1622, T1046.