Loading malware…
13 distinct techniques documented for this family, organized by ATT&CK tactic.
« compromission de l’extension officielle Claude Code [...] sur le Cursor Marketplace, dans sa version 2.1.313 »
« Persistance multi-plateforme : [...] crontab @reboot Linux »
« tâche planifiée Windows (SysMon) »
« Persistance multi-plateforme : [...] crontab @reboot Linux »
« tâche planifiée Windows (SysMon) »
« ajout d’une clé Ed25519 commentée svc-telemetry dans ~/.ssh/authorized_keys »
« LaunchAgent macOS (com.apple.sysmond.plist) »
« Un loader malveillant de 66 lignes a été prépendu au fichier extension.js légitime de l’extension. »
« Persistance multi-plateforme : [...] crontab @reboot Linux »
« tâche planifiée Windows (SysMon) »
« ajout d’une clé Ed25519 commentée svc-telemetry dans ~/.ssh/authorized_keys »
« LaunchAgent macOS (com.apple.sysmond.plist) »
« décodage d’une clé privée embarquée en base64 »
« noms de variables d’environnement contenant KEY, TOKEN, SECRET, PASS, AWS, GCP » ; « T1552.007 — Unsecured Credentials: Container API »
« collecte du [...] username [...] email Git global »
« collecte du hostname, username, OS, architecture CPU, répertoire home »
« tentative d’activation de SSH selon la plateforme (macOS, Linux, Windows) »
« envoi d’un JSON contenant l’IP publique vers http://134.209.82.225:8099/beacon après 1,5 seconde »
« connexion à tunnel@134.209.82.225 avec redirection -R '*:0:localhost:22', reconnexion toutes les 60 secondes »
5 indicators attributed across vendor reports, sandbox runs, and researcher write-ups. Values are masked here and available in full in Mallory.
1 sources tracked across advisories, community write-ups, and news. New activity surfaces here as Mallory finds it.