De faux cheats pour Roblox et Fortnite cachaient Marsalek, un voleur de mots de passe
De faux cheats et outils pour Roblox, Fortnite, Minecraft et Counter-Strike 2 cachaient un voleur de mots de passe nommé Marsalek, selon un rapport publié par McAfee Labs le 4 novembre. Le service a fonctionné de la mi-décembre 2025 jusqu'à fin mai 2026 environ et était gratuit : n'importe qui pouvait s'inscrire sur un site public, fabriquer un fichier infecté et suivre ses victimes depuis un tableau de bord. McAfee a compté plus de 1 560 comptes inscrits, plus de 400 fichiers malveillants et plus de 29 adresses web qui les diffusaient.
Ce que volent les faux fichiers
Les fichiers se faisaient passer pour des exécuteurs de scripts Roblox, des clients Minecraft, des réglages pour Fortnite et des cheats pour CS2, mais aussi pour des utilitaires Discord et des applications de cryptomonnaies. Ils circulaient via de faux sites et Discord. Une variante se passait même de téléchargement : une page déguisée en vérification CAPTCHA de Cloudflare lançait une commande PowerShell malveillante.
Une fois lancé, Marsalek obtient les droits d'administrateur en masquant la demande d'autorisation de Windows et en appuyant lui-même sur Entrée. Il ajoute ensuite des exclusions dans Microsoft Defender pour que les fichiers suivants ne soient pas analysés.
Le vol est très large :
- Navigateurs : mots de passe et cookies de plus de 32 navigateurs Chromium. Sur Chrome, Edge et Brave, il contourne l'App-Bound Encryption de Chrome.
- Messageries : jetons Discord dans 26 emplacements du disque et données de session Telegram.
- Cryptomonnaies : plus de 56 extensions de navigateur et 12 applications de portefeuille, avec des portes dérobées dans les applications de bureau Exodus et Atomic Wallet.
- Autres données : informations sur le compte Mullvad VPN configuré sur l'ordinateur, et fichiers du bureau et du dossier Téléchargements dont le nom contient des mots comme "wallet" ou "paypal".
Ces sessions étaient déjà le butin de l'affaire ukrainienne des 610 000 comptes Roblox. Un cookie de session ouvre un compte sans mot de passe, et les faux téléchargements de jeux sont un moyen bien connu de s'en emparer, comme avec les faux sites GTA 6 qui diffusaient le voleur Vidar.
Le kit gratuit volait aussi ses propres utilisateurs
Les clients de Marsalek étaient eux aussi visés. La dernière étape de l'infection installe un second voleur, PureLog, qui envoie ses données vers un serveur distinct. McAfee parle de double hameçon : le client croit être seul à détenir les identifiants volés, alors que l'auteur du kit en garde une copie et peut utiliser avant lui les comptes d'une victime intéressante.
L'offre payante est restée marquée "coming soon". Selon McAfee, payer n'aurait rien changé : le propriétaire pouvait couper les serveurs à tout moment et partir avec les données et l'argent. La FAQ du tableau de bord expliquait comment utiliser les cookies et jetons volés, et comment blanchir des cryptomonnaies via Monero.
McAfee relie Marsalek à WeedHack, un service comparable visant les joueurs de Minecraft : les deux renvoyaient leurs clients vers le même canal d'assistance Telegram. Marsalek a surtout été repéré aux États-Unis, puis en Allemagne, au Royaume-Uni, en Inde et au Brésil.
Ce qu'il faut vérifier à la maison
McAfee cite plusieurs signaux d'alerte : un fichier .exe partagé par un autre utilisateur sur Discord, une version "crackée" d'un jeu récent sur un site soigné, et tout outil dont le site affirme que l'antivirus se trompe et qu'il faut le désactiver. Si des enfants jouent sur l'ordinateur familial, demandez-leur ce qu'ils ont installé récemment.
Si un tel fichier a été lancé, considérez l'ordinateur comme compromis :
- Depuis un autre appareil sain, changez vos mots de passe, en commençant par celui de la messagerie.
- Fermez toutes les sessions sur Discord, Telegram, Google et les comptes de jeu, car des cookies volés peuvent fonctionner même après un changement de mot de passe.
- Transférez vos cryptomonnaies vers un nouveau portefeuille créé sur un appareil sain.
- Réinstallez Windows. Le voleur modifie les réglages de Defender et crée ses propres tâches planifiées, supprimer le fichier ne suffit donc pas.
McAfee prévient aussi que les attaquants contactent parfois directement leurs victimes en affirmant détenir leur adresse IP ou accéder à leur webcam. Un enfant qui reçoit un tel message doit en parler à un parent ou à un tuteur et ne pas suivre les instructions.
