Summer Pack YARA : 72 familles de malware couvertes cet été (Prometei, WannaCry, SpyNote…)

Trois mois de détection fraîche, en une fois

La détection, c'est une course de vitesse : entre le moment où une souche circule et celui où une règle publique la reconnaît, il s'écoule souvent des semaines. Chaque mois, ThreatClaw analyse le dernier lot de malwares réellement observés dans la nature et en forge ses propres règles.

Bilan de l'été : 72 nouvelles familles de malware ajoutées au feed YARA de ThreatClaw, sur juin, juillet et août 2026. Voici ce que le Summer Pack couvre, par surface d'attaque.

Nous comptons en familles, pas en nombre de règles : une famille, c'est une menace de plus que votre parc reconnaît. Derrière chacune, un filet de plusieurs règles (variante précise + traits partagés de la lignée), pas une signature unique qu'un attaquant contourne en recompilant.

Rançongiciels et exploits, les classiques qui frappent encore les PME

Ces menaces ne sont pas nouvelles, mais elles restent actives contre les systèmes non corrigés, et une PME sans EDR à jour y est exposée aujourd'hui :

• WannaCry, le rançongiciel de 2017 continue de se propager sur les réseaux non patchés via SMB.
• EternalBlue (MS17-010), l'exploit SMB qui a porté WannaCry et NotPetya, toujours scanné en masse.
• CVE-2017-11882, exploit Microsoft Office (Equation Editor), vecteur de pièce jointe toujours d'actualité.
• CVE-2017-17215, exploit routeur Huawei, utilisé pour enrôler les équipements de bord dans des botnets.
• Exploit Netgear et BypassUAC (contournement du contrôle de compte Windows).

Vos serveurs Linux, l'angle mort des PME

• Prometei, botnet modulaire qui s'installe durablement sur les serveurs Linux : minage, vol d'identifiants, propagation latérale. L'archétype de la compromission qui passe inaperçue des mois.
• Plusieurs familles de portes dérobées et téléchargeurs Linux (IRCBot, Shellbot, RevShell, agents shell), les scripts qui s'exécutent en premier et vont chercher le reste.

Banque mobile Android, la vague de l'été

C'est la catégorie qui a le plus grossi cet été, et la plus dangereuse pour les dirigeants et comptables qui font de la banque sur mobile :

• GhostNFC, cheval de Troie bancaire exploitant le relais NFC.
• SpyNote, RAT Android complet (surveillance, vol de données, interception d'OTP).
• Mamont, dropper bancaire en forte diffusion.
• Banbra, BeatBanker, Rewardsteal, Btmob, chevaux de Troie bancaires par superposition d'écran et vol d'identifiants.

Postes Windows

• Neshta, virus infecteur de fichiers, increvable, encore très présent.
• Qukart, Sdum, PMax, Zapchast, CoreWarrior, DLLhijack, chevaux de Troie, proxys, détournement de DLL et outils de déni de service.

La partie que personne ne montre : la preuve anti-faux-positifs

Une règle trop large est pire que pas de règle : elle noie l'équipe sous les alertes jusqu'à ce que plus personne ne les lise. Alors nous mesurons.

Chaque famille du Summer Pack a été passée sur 5 694 fichiers légitimes, exécutables et pilotes Windows signés Microsoft, binaires système Linux, applications macOS. Le résultat exigé était zéro, et le résultat obtenu est zéro déclenchement.

Ce n'est pas un argument commercial, c'est un critère de sortie : une famille qui échoue à ce test ne part pas. Cet été, plusieurs familles ont ainsi été écartées parce qu'elles réagissaient sur des fichiers parfaitement sains, elles ne sont pas dans le feed, et c'est très bien ainsi.

Chaque règle est aussi validée à la compilation sur le vrai moteur YARA, celui que fait tourner votre EDR.

Ce que ça change

Ces 72 familles s'intègrent au feed YARA de ThreatClaw, chargeable dans votre EDR, vos scanners DFIR, votre passerelle de messagerie ou vos outils d'analyse de fichiers. Elles font partie de notre set exclusif : des détections que nous écrivons, réservées aux abonnés, que vous ne trouverez pas dans les dépôts publics.

Et le mois prochain, il y en aura d'autres, parce que le mois prochain, il y aura de nouvelles familles. C'est exactement le principe.

Vous voulez savoir ce que votre dispositif actuel ne voit pas ? Découvrez le feed YARA de ThreatClaw, licences vérifiées, validation anti-faux-positifs fournie avec le pack, mise à jour continue.