Imaginez : le film tant attendu sort enfin, les fans se précipitent sur les sites de torrents pour obtenir une version haute définition avant tout le monde. Quelques clics plus tard, un fichier au nom rassurant s’installe. Sauf que ce n’est pas un film. C’est un voleur numérique prêt à vider votre portefeuille crypto, à récupérer vos mots de passe et même à contourner la double authentification. Cette histoire n’est pas de la fiction. Elle se déroule en ce moment même avec les faux téléchargements de The Odyssey.
Une nouvelle vague de malware déguisée en film pirate
Depuis début août 2026, des chercheurs en cybersécurité ont repéré une campagne particulièrement bien orchestrée. Des fichiers Windows exécutables se font passer pour des copies pirates du film The Odyssey. Les noms sont soigneusement choisis pour tromper : « the odyssey 2160phd (2026) engsubs eztv.exe », « the odyssey 2026 1080p h264-djt.exe » ou encore « the odyssey 2026 1080p webrip-lama.exe ». À première vue, tout ressemble à un classique torrent de qualité.
Le piège est d’autant plus efficace que Windows, par défaut, masque les extensions de fichiers. L’utilisateur voit donc un titre de film et parfois même une icône de lecteur multimédia comme VLC. Rien ne trahit immédiatement le .exe. Résultat : la curiosité l’emporte, le fichier s’exécute, et le malware entre en action.
Comment les pirates rendent le leurre quasi invisible
Les opérateurs de cette campagne connaissent parfaitement les habitudes des utilisateurs de torrents. Ils savent que les noms de fichiers un peu bizarres, les dossiers compressés ou la présence d’un prétendu lecteur vidéo ne surprennent personne. Ils en profitent. Certains échantillons changent même l’icône de l’exécutable pour qu’il ressemble à un fichier vidéo ordinaire.
Cette technique n’exige pas de sophistication extrême. La victime a déjà décidé de télécharger un contenu non officiel depuis une source non vérifiée. Le simple fait d’avoir cliqué sur le lien suffit à créer l’opportunité. Les pirates n’ont plus qu’à livrer la marchandise toxique.
Lumma Stealer : un outil de vol d’informations vendu comme un service
Une fois le fichier lancé, c’est Lumma Stealer (aussi connu sous le nom de LummaC2) qui prend le relais. Ce malware d’origine russe est commercialisé sur les marchés clandestins. N’importe quel acheteur peut donc l’utiliser sans avoir à développer sa propre solution de vol de données. C’est ce modèle « as a service » qui explique en partie la fréquence des campagnes.
Le programme fouille l’ordinateur à la recherche de tout ce qui a de la valeur : mots de passe enregistrés dans les navigateurs, informations de paiement, données d’autofill, identifiants de bureau à distance et, bien sûr, les données liées aux portefeuilles de cryptomonnaies. Les seed phrases, ces fameuses listes de mots qui permettent de récupérer un wallet, sont particulièrement prisées.
Mais ce n’est pas tout. Lumma Stealer récupère aussi les cookies d’authentification. Et c’est là que le danger devient vraiment sérieux. Un cookie de session volé permet à l’attaquant de reprendre une session déjà ouverte, même si la double authentification est activée. Le criminel n’a pas besoin de passer par l’étape de vérification : il se glisse simplement dans une session déjà validée.
Point clé à retenir : même avec l’authentification à deux facteurs, un cookie de session volé peut suffire à compromettre un compte crypto ou bancaire.
Les domaines de commande et de contrôle identifiés
Lors de l’analyse des fichiers liés à The Odyssey, les chercheurs ont observé des tentatives de connexion vers des infrastructures de commande et de contrôle associées à Lumma Stealer. Trois domaines ont été repérés et bloqués : auditva[.]cyou, myroayy[.]cyou et logmabx[.]click. Ces adresses servent de points de contact pour exfiltrer les données volées.
Contrairement à certaines versions antérieures du malware, les échantillons de cette campagne ne s’appuyaient pas sur des droppers séparés ni sur des mécanismes de persistance complexes. Les opérateurs semblaient se contenter de collecter et d’envoyer les informations disponibles dès la première exécution. Une approche plus directe, mais toujours efficace.
Un précédent inquiétant : les actions des autorités américaines
LummaC2 n’est pas un nouveau venu. En mai 2025, le ministère de la Justice américain avait obtenu des mandats pour saisir cinq domaines utilisés par les administrateurs du malware. Microsoft avait de son côté engagé une action civile visant environ 2 300 autres domaines liés à l’opération. Les documents judiciaires mentionnaient au moins 1,7 million de cas d’utilisation de LummaC2 pour voler des informations.
Les cibles listées à l’époque incluaient déjà les enregistrements de navigateurs, les identifiants de messagerie et de banque, les données d’autofill et les seed phrases de portefeuilles crypto. Un responsable de la division criminelle du ministère de la Justice avait alors souligné que ce type de malware facilitait des transferts bancaires frauduleux et des vols de cryptomonnaies à grande échelle.
Malgré ces interventions, de nouveaux domaines liés à Lumma sont apparus dans les analyses de 2026. La campagne autour de The Odyssey prouve que la famille de malware continue de circuler et de s’adapter.
Les films pirates, un appât récurrent pour les cybercriminels
Utiliser un film très attendu comme leurre n’est pas une invention récente. Les pirates savent que la demande est forte juste après la sortie en salles. Les utilisateurs sont impatients, moins vigilants, et prêts à télécharger presque n’importe quoi pour regarder le contenu rapidement. Cette psychologie est exploitée de façon systématique.
En 2025, une campagne similaire avait déjà utilisé de faux fichiers de Mission: Impossible – The Final Reckoning. À l’époque, les opérateurs avaient recours à des techniques plus élaborées : exécution retardée en présence de logiciels de sécurité, livraison de payloads chiffrés via des scripts AutoIt, et divers contrôles anti-analyse. La version 2026 autour de The Odyssey semble plus directe, mais le principe reste le même.
D’autres vecteurs de vol de crypto en 2026
Les téléchargements de films ne sont qu’une facette d’un phénomène plus large. Les cybercriminels multiplient les approches pour atteindre les détenteurs de cryptomonnaies.
Début août, une campagne de faux CAPTCHA a été identifiée. Les victimes étaient invitées à ouvrir l’invite de commandes Windows ou PowerShell et à coller une instruction fournie par l’attaquant. L’opération ciblait des milliers d’appareils grand public et professionnels chaque jour, et livrait plusieurs familles de malware, dont Lumma Stealer. Une fois de plus, l’objectif était de récupérer des identifiants et d’ouvrir la porte à des accès distants ou à des rançongiciels.
Sur mobile, le malware SparkKitty a refait parler de lui. Présent sur iOS, Android et dans certaines applications tierces, il collectait des images depuis la galerie des téléphones. Or, de nombreux utilisateurs y stockent des captures d’écran de seed phrases, de mots de passe ou de codes QR de wallets. Une simple photo peut donc suffire à compromettre un portefeuille.
Les outils de développement ne sont pas épargnés non plus. Une campagne baptisée TrapDoor a touché les dépôts npm, PyPI et Rust avec des dizaines de packages malveillants. Les cibles principales étaient les développeurs crypto et intelligence artificielle. Les packages cherchaient des données de wallets, des tokens GitHub, des identifiants cloud et des clés SSH.
Récapitulatif des principales menaces récentes :
- Faux téléchargements de films (Lumma Stealer)
- Campagnes de faux CAPTCHA menant à l’exécution de commandes
- Malware mobile ciblant les captures d’écran de seed phrases
- Packages malveillants dans les dépôts de code open source
Pourquoi les détenteurs de crypto sont particulièrement exposés
Les cryptomonnaies présentent une particularité qui attire les cybercriminels : une fois les fonds sortis du portefeuille et transférés vers une adresse contrôlée par l’attaquant, la transaction est quasiment irréversible. Contrairement à une carte bancaire, il n’existe pas de procédure simple de contestation ou de remboursement. Cette irréversibilité rend chaque seed phrase volée extrêmement rentable.
De plus, de nombreux utilisateurs stockent leurs clés privées ou leurs phrases de récupération dans des endroits peu sécurisés : fichiers texte sur le bureau, notes dans le navigateur, captures d’écran, ou même dans des gestionnaires de mots de passe synchronisés. Lumma Stealer est conçu pour chercher précisément ces emplacements.
Les cookies de session ajoutent une couche de risque supplémentaire. Même un utilisateur prudent qui active l’authentification à deux facteurs peut se retrouver compromis si un cookie de session valide est exfiltré. L’attaquant n’a alors plus besoin de connaître le mot de passe ni de passer par le second facteur.
Comment se protéger concrètement
La première règle reste la plus simple : éviter les sources non officielles pour regarder des films. Les plateformes de streaming légitimes, même si elles demandent un abonnement, évitent ce type de risque. Quand on télécharge un fichier prétendument vidéo, il faut systématiquement vérifier l’extension réelle. Dans Windows, activer l’affichage des extensions de fichiers dans l’Explorateur permet de voir immédiatement un .exe déguisé.
Un antivirus à jour et un système d’exploitation régulièrement patché constituent une barrière essentielle. Les solutions de sécurité détectent souvent les signatures connues de Lumma Stealer et bloquent les téléchargements ou l’exécution. Mais aucune protection n’est parfaite, surtout face à des variantes nouvelles.
Pour les portefeuilles crypto, les bonnes pratiques sont connues mais trop souvent négligées. Les seed phrases ne doivent jamais être stockées en clair sur un appareil connecté. Un hardware wallet (portefeuille matériel) offre une protection nettement supérieure. Les sessions de navigateurs liées à des exchanges ou à des wallets web doivent être fermées après usage, et les cookies nettoyés régulièrement.
Enfin, se méfier des invitations à coller des commandes dans PowerShell ou l’invite de commandes reste une règle d’or. Aucun service légitime ne demande ce type d’action pour « vérifier » une identité ou débloquer un contenu.
Le rôle des extensions de fichiers et des icônes trompeuses
Beaucoup d’utilisateurs ignorent que Windows cache par défaut les extensions des types de fichiers connus. Un fichier nommé « film.mp4.exe » apparaît donc simplement comme « film.mp4 » si l’option n’est pas activée. Combiné à une icône de lecteur vidéo, le leurre devient très convaincant.
Activer l’affichage des extensions est une opération simple qui prend moins d’une minute. Dans l’Explorateur de fichiers, il suffit d’aller dans les options d’affichage et de cocher la case correspondante. Cette petite habitude peut éviter bien des déconvenues.
Une menace qui évolue plus vite que les défenses
Les campagnes autour de films populaires montrent que les cybercriminels adaptent rapidement leurs leurres aux actualités culturelles. Dès qu’un titre génère de l’attente, des versions pirates malveillantes apparaissent. La rapidité de réaction est impressionnante : dans le cas de The Odyssey, les fichiers suspects ont été détectés seulement quelques jours après la sortie du film.
Cette agilité pose un défi permanent aux éditeurs de solutions de sécurité. Les signatures doivent être mises à jour en continu, et les analyses comportementales deviennent de plus en plus importantes pour détecter des variantes encore inconnues. Pour l’utilisateur final, la vigilance reste le dernier rempart.
Ce que révèle la persistance de Lumma Stealer
Malgré les saisies de domaines en 2025 et les actions judiciaires, Lumma Stealer continue de circuler. Cela illustre une réalité du cybercrime contemporain : les infrastructures peuvent être reconstruite, les domaines remplacés, et le code redistribué. Tant que la demande existe sur les marchés clandestins, des opérateurs continueront de proposer ce type d’outil.
La campagne 2026 autour de The Odyssey ne fournit pas de chiffre précis de victimes ni d’estimation des pertes en cryptomonnaies. Mais l’historique de LummaC2, avec ses 1,7 million de cas recensés par le passé, laisse peu de doute sur le potentiel de nuisances.
Adopter une posture de sécurité réaliste
Il est illusoire de penser que l’on peut se protéger à 100 % contre toutes les menaces. En revanche, réduire drastiquement la surface d’attaque est parfaitement possible. Éviter les téléchargements suspects, vérifier les extensions de fichiers, utiliser un hardware wallet pour les montants significatifs, et se méfier des demandes d’exécution de commandes constituent un socle solide.
Les détenteurs de cryptomonnaies ont une responsabilité particulière. La nature décentralisée et irréversible des transactions transforme chaque erreur en perte potentielle définitive. Dans ce contexte, la prudence n’est pas une option : c’est une nécessité.
Les faux téléchargements de The Odyssey ne sont qu’un épisode de plus dans une longue série. Ils rappellent que les cybercriminels savent exploiter nos désirs de divertissement et notre impatience. La prochaine campagne utilisera peut-être un autre film, une série populaire ou un outil de développement très attendu. Le principe, lui, restera le même : transformer une envie légitime en porte d’entrée pour le vol.
Rester informé, adopter des réflexes simples et ne jamais baisser la garde face aux fichiers provenant de sources non vérifiées : voilà la meilleure défense face à des menaces qui, comme Lumma Stealer, refusent de disparaître.
