Un faux agent de trading IA vole les mots de passe de portefeuilles crypto

Des attaquants ont créé un site Web pour un faux agent de trading crypto par IA et l'ont utilisé pour installer Needle Stealer, un malware qui remplace le portefeuille du navigateur d'une victime par une copie qui envoie le mot de passe du portefeuille à l'attaquant. HP a intercepté la campagne entre avril et juin 2026.

La campagne Needle cible les personnes qui téléchargent des agents d'IA à partir des résultats de recherche ou de publicités, ainsi que les utilisateurs de sept extensions de portefeuille de navigateur, parmi lesquelles MetaMask, Coinbase Wallet et Phantom. HP a également détecté du hameçonnage par code QR (quishing) qui déplace les victimes sur leurs téléphones.

Exemple d'un site Web promettant un installateur pour un agent de trading par IA (Source : HP)

L'installateur est un logiciel Microsoft authentique

Le site, tradingclaw[.]pro, a donné à son bot un nom qui rappelle un assistant d'IA bien connu et a promis un agent qui négocie des cryptos 24 heures sur 24. À l'intérieur du téléchargement ZIP, Trading Agent.exe est OLEView, un programme signé par Microsoft, de sorte que le contrôle de réputation de Windows SmartScreen lui fait confiance. Son seul but est de passer ce contrôle. Lorsqu'il s'exécute, il charge iviewers.dll, le fichier malveillant placé à côté, une technique appelée DLL side-loading.