Des utilisateurs de l’infostealer DanaBot ont infecté leurs propres PC avec ce malware

Le ministère de la Justice (DoJ) des États-Unis a annoncé, le 22 mai 2025, que des agents du Defense Criminal Investigative Service (DCIS) avaient récemment saisi les serveurs de contrôle de l’infostealer DanaBot. Ils ont notamment déconnecté des dizaines de serveurs virtuels hébergés aux États-Unis. DanaBot est un « Malware-as-a-Service » (MaaS), détecté en 2018 sur des forums cybercriminels russes.

Les autorités américaines ont également rendu public, ce même 22 mai 2025, un acte d’accusation datant de 2022 : il vise les deux opérateurs russes de DanaBot, Aleksandr Stepanov, 39 ans, alias « JimmBee », et Artem Aleksandrovich Kalinkin, 34 ans, alias « Onix », ainsi qu’une quarantaine d’affiliés du MaaS. L’infostealer aurait infecté plus de 300 000 systèmes dans le monde, causant des pertes estimées à plus de 50 millions de dollars (44 millions d’euros).

En 2022, les autorités américaines avaient déjà saisi une partie des serveurs de DanaBot. Elles avaient alors identifié des affiliés ayant infecté par erreur leurs propres PC avec l’infostealer. Leurs informations personnelles s’étaient donc retrouvées dans les bases de données volées du MaaS, que les forces de l’ordre américaines avaient interceptées.

Le DoJ distingue chronologiquement deux souches de DanaBot, aux usages distincts : la première, distribuée entre 2018 et juin 2020 sur les forums cybercriminels, permettait des attaques à visée financière. La seconde, active depuis janvier 2021 et pensée pour le cyberespionnage, a notamment servi à pirater des ordinateurs militaires, diplomatiques et d’organisations non gouvernementales.