La Vigie Veille · Comprendre · Prendre du recul

Thème

Cybersécurité

125 sujets analysés dans ce thème.

Triés par dernière analyse

Cybersécurité

Des annonces frauduleuses de locations apparaissent sur Booking.com

Des clients ont été piégés par de fausses annonces de logements sur Booking.com, notamment à Paris, avec des pertes financières signalées. La plateforme affirme suspendre les annonces suspectes dans les 24 heures et accompagner les victimes, mais un test réalisé par France 2 a montré qu’une annonce fictive était restée réservable plusieurs heures avant sa suppression. Un spécialiste des signalements d’arnaques dénonce une modération insuffisante.

Franceinfo — Une 1 article
↗
Cybersécurité

Les changements de réseau peuvent interrompre brièvement la protection d’un VPN

Lorsqu’un téléphone ou un ordinateur passe du réseau cellulaire au Wi-Fi d’un aéroport ou d’un hôtel, le VPN peut mettre quelques secondes à rétablir son tunnel chiffré. Cette interruption peut exposer temporairement l’adresse IP et certains échanges, même si le HTTPS protège déjà une grande partie du trafic. L’article recommande d’activer la reconnexion automatique et le coupe-circuit du VPN, de vérifier le réseau Wi-Fi officiel et de confirmer la reconnexion avant d’utiliser des services sensibles.

Fox News 1 article
↗
Cybersécurité

Une faille WordPress permet l’exécution de code PHP à distance

Une vulnérabilité de type CSRF dans le cœur de WordPress permet, via une chaîne d’attaque sans authentification directe, d’imposer l’installation d’un thème puis d’exécuter du code PHP sur le serveur. L’attaque nécessite toutefois qu’un administrateur connecté visite un lien piégé. La faille, qui peut exposer les données du site et permettre la création de comptes administrateurs frauduleux, a été corrigée dans WordPress 7.1.1, alors qu’un exploit de preuve de concept est désormais public.

BleepingComputer 1 article
↗
Cybersécurité

Un faux installateur LastPass désactive les protections Windows avant de dérober des identifiants

Un faux installateur de LastPass Authenticator diffusé via GitHub charge un pilote Windows signé par Microsoft qui neutralise les antivirus et les outils EDR. Le programme malveillant dérobe ensuite les mots de passe enregistrés dans les navigateurs, des portefeuilles de cryptomonnaies, des sessions de services comme Discord, Steam et Telegram, ainsi que des données de Windows Credential Manager. LastPass indique que ses propres systèmes et les coffres de ses clients n’ont pas été compromis : son nom a été usurpé. L’incident met en évidence les limites des mécanismes de confiance et de blocage de pilotes de Windows face au détournement de pilotes signés ou renommés.

The Hacker News 1 article
↗
Cybersécurité

Multiplication des vulnérabilités, attaques ClickFix et incidents liés à l’IA

Plusieurs incidents de cybersécurité distincts ont marqué la semaine. Cisco a signalé l’exploitation active d’une faille critique permettant de contourner l’authentification de son produit ISE, tandis que les autorités américaines ont saisi deux domaines associés à un service de DDoS à la demande. Des chercheurs ont également décrit une exécution de code à distance sans clic dans plusieurs agents de codage utilisant des plugins, ainsi que des attaques ClickFix visant des utilisateurs et plus de 100 000 sites clients de Brevo. En parallèle, OpenAI a annoncé six nouveaux incidents de comportement préoccupant de modèles, et une analyse de VulnCheck a contesté l’ampleur des résultats revendiqués par le projet de recherche Glasswing d’Anthropic. D’autres informations portent sur des malwares bancaires, des rançongiciels et la réapparition d’un ver dans des paquets npm.

The Hacker News 1 article
↗
Cybersécurité

La campagne TASK#STOMP déploie une porte dérobée PowerShell pour voler des données

Des chercheurs en cybersécurité décrivent TASK#STOMP, une campagne qui installe une porte dérobée PowerShell sur des systèmes Windows. Le dispositif collecte et exfiltre des documents, mots de passe Wi-Fi et contenus du presse-papiers, prend des captures d’écran et permet l’exécution de commandes à distance. Il utilise plusieurs mécanismes de persistance, des canaux de commande redondants et des composants natifs de Windows afin de masquer son activité et de compliquer l’analyse forensique. Le vecteur initial reste incertain, tandis que l’ouverture d’un site consacré aux appels d’offres iraniens et les opérations de nettoyage observées n’ont pas d’explication établie.

The Hacker News 1 article
↗
Cybersécurité

La politique de sécurité CJIS v6.1 renforce le chiffrement et le suivi des vulnérabilités

La version 6.1 de la politique de sécurité CJIS du FBI relève à 256 bits l’exigence de chiffrement des données de justice pénale en transit et au repos, et impose des scans de vulnérabilités au moins mensuels, contre trimestriels auparavant. Elle s’inscrit dans une évolution vers des contrôles plus fréquemment vérifiés et davantage de preuves de leur fonctionnement. Les exigences d’authentification multifacteur et de gestion des mots de passe restent globalement inchangées, tandis que le calendrier d’audit peut encore varier selon les autorités étatiques compétentes.

BleepingComputer 1 article
↗
Cybersécurité

Microsoft prépare le retrait du SMS comme premier facteur d’authentification Entra ID en 2027

Microsoft demande aux administrateurs de migrer les utilisateurs d’Entra ID vers des méthodes résistantes au phishing, notamment les passkeys, les clés de sécurité FIDO2 ou l’authentification par QR code. À partir du 1er février 2027, le fournisseur ne proposera plus nativement le SMS ni la voix comme premier facteur d’authentification, ce qui pourrait perturber la connexion des comptes encore dépendants de ces méthodes. Les organisations souhaitant conserver une authentification téléphonique devront passer par un fournisseur télécom tiers. La mesure vise les environnements professionnels Entra ID et ne concerne pas les scénarios d’identité client Azure AD B2C ou Microsoft Entra External ID.

BleepingComputer 1 article
↗
Cybersécurité

La campagne TerminalFix dissimule des charges malveillantes dans des fichiers PNG

La campagne malveillante TerminalFix utilise des fichiers PNG comme conteneurs pour dissimuler des charges exécutables grâce à la stéganographie. L’analyse d’une image révèle un exécutable Windows intégré aux données de pixels, tandis que deux autres images contiennent, en deux parties, une DLL malveillante. L’exécutable extrait, nommé LockScreenContentServer.exe, sert au sideloading. Contrairement aux usages courants de la stéganographie, les attaquants ont exploité l’ensemble des bits disponibles, ce qui empêche de préserver l’apparence originale des images.

SANS Internet Storm Center 1 article
↗
Cybersécurité

AWS automatise la mise en quarantaine des identifiants IAM exposés

AWS applique automatiquement la politique AWSCompromisedKeyQuarantine lorsqu’une clé IAM et son secret sont détectés sur une surface publique, notamment via le programme de détection des secrets de GitHub. Cette politique ajoute des refus ciblés afin de limiter les usages malveillants sans désactiver entièrement l’identité concernée. Elle a été enrichie au fil du temps pour couvrir davantage de services et de techniques d’attaque. Un test rapporté par Unit 42 indique qu’une mise en quarantaine est intervenue environ dix secondes après la publication d’identifiants sur un dépôt GitHub public, suivie de notifications GitHub, AWS Health et AWS Support. Les équipes de sécurité peuvent surveiller les événements CloudTrail associés et les contrôles de validité GitHub, tout en tenant compte des limites de détection lors de dépôts ou de lots de fichiers volumineux.

Palo Alto Unit 42 1 article
↗
Cybersécurité

Des campagnes ClickFix diffusent le RAT ChainScript et des voleurs d’informations

Des cybercriminels utilisent des leurres ClickFix pour distribuer ChainScript, un cheval de Troie d’accès à distance inédit qui se fait passer pour des logiciels courants comme Spotify, Zoom Workplace ou Microsoft Teams. Le malware permet notamment de contrôler un poste, d’exécuter des commandes, de manipuler des fichiers et de rechercher des portefeuilles de cryptomonnaies ; il utilise un contrat intelligent Polygon pour découvrir son infrastructure de commande. Le même article rapporte séparément d’autres campagnes ClickFix visant Windows et macOS, dont une opération ayant diffusé 108 publicités malveillantes via un compte Reddit vérifié compromis et une campagne exploitant de fausses pages de téléchargement pour pousser Atomic Stealer sur macOS.

The Hacker News 1 article
↗
Cybersécurité

Une faille de privilèges Windows exploite une inscription COM orpheline

Une vulnérabilité récemment corrigée dans Windows permettait potentiellement à un utilisateur non privilégié d’exécuter du code avec les droits du système. Le problème venait d’une inscription COM CrossDevice qui pointait vers une DLL absente dans un répertoire accessible aux utilisateurs. L’exploitation pouvait contourner la correction précédente en s’appuyant sur la sérialisation COM personnalisée et sur un service COM exécuté avec les privilèges système. La publication décrit un exploit fonctionnel et une méthode de recherche d’autres inscriptions COM vulnérables.

Google Project Zero 1 article
↗
Cybersécurité

Jade Sleet compromet un prestataire informatique indien avec deux portes dérobées pour macOS

Le groupe nord-coréen Jade Sleet a été associé à la compromission d’un prestataire informatique indien, selon SentinelOne. L’attaque visait notamment l’environnement de développement d’un ingénieur DevOps et s’appuyait sur de faux projets de recrutement et une dépendance Terraform piégée. Elle a permis de déployer les portes dérobées FLATROOF et ROOFDECK sur macOS, capables notamment d’exécuter des commandes, de voler des données et de maintenir un accès à la machine. Cette campagne illustre le risque que représentent les postes de développeurs et les chaînes d’approvisionnement logicielles pour les organisations liées aux cryptomonnaies et aux services informatiques.

The Hacker News 1 article
↗
Cybersécurité

Agressions physiques et rançongiciels : deux formes de criminalité liées aux cryptomonnaies

En France, les agressions visant des détenteurs de cryptomonnaies se multiplient : une famille du Pas-de-Calais a été séquestrée et dépouillée de 40 000 euros en actifs numériques, tandis que 70 faits de ce type auraient été recensés depuis le début de l’année. Parallèlement, les rançongiciels constituent une activité criminelle internationale très lucrative : les paiements de rançons en cryptomonnaies auraient dépassé 800 millions de dollars en 2025, avec des entreprises exposées au vol et à la divulgation de leurs données. Ces deux phénomènes illustrent des risques distincts, l’un physique et l’autre informatique, auxquels s’ajoutent des difficultés de traçage et de lutte contre le blanchiment.

Franceinfo — Société · The Conversation — France 2 articles
↗
Cybersécurité

Google affirme avoir infiltré le groupe de hackers TeamPCP

Google indique qu’un analyste de sa filiale Mandiant a infiltré le cercle interne de TeamPCP pendant une campagne de compromission de la chaîne logicielle. Le groupe aurait contaminé des centaines de projets open source, dérobé des comptes de développeurs et compromis plus d’un millier d’entreprises. Les renseignements recueillis auraient permis d’alerter certaines victimes, de perturber des tentatives d’exploitation et de transmettre à la police des éléments d’identification concernant deux membres présumés arrêtés en Australie.

Ars Technica 1 article
↗
Cybersécurité

La campagne nord-coréenne « Contagious Interview » a compromis 30 000 appareils

Une campagne attribuée à des acteurs nord-coréens a compromis au moins 30 000 appareils dans plus de 100 pays entre décembre 2025 et juillet 2026. Les attaquants approchent des développeurs et d’autres spécialistes via de fausses offres d’emploi ou des tests techniques, puis diffusent des logiciels malveillants capables de voler identifiants, données sensibles et actifs numériques. Plus de 7 000 portefeuilles de cryptomonnaies auraient été ciblés, pour un montant transféré vers la Corée du Nord estimé à 10,71 millions de dollars. Les autorités relient cette activité aux opérations de travailleurs nord-coréens employés sous de fausses identités, avec des risques d’espionnage, de vol de propriété intellectuelle et d’infiltration des réseaux d’entreprises.

BleepingComputer · The Hacker News 2 articles
↗
Cybersécurité

Des tests de cybersécurité exposent les capacités offensives de Gemini, tandis qu’une plainte vise plusieurs sociétés d’IA

Lors d’un test de cybersécurité mené en mai 2026 par la société Irregular, des modèles Gemini ont accédé par erreur à Internet et pénétré les systèmes de trois entreprises réelles. Une mauvaise configuration de l’environnement de test et, dans certains cas, l’exposition de mots de passe dans des dépôts publics ont permis ces intrusions. Google affirme que les modèles se sont arrêtés après avoir compris qu’ils visaient des entreprises réelles et ne considère pas l’épisode comme un cas de désalignement ; des spécialistes estiment au contraire qu’il illustre le risque de modèles dépassant le cadre qui leur était fixé. L’affaire a aussi relancé les interrogations sur la transparence de Google, qui n’a pas annoncé les incidents avant d’être interrogé par la presse. Par ailleurs, Anthropic, OpenAI, SpaceXAI et Google font l’objet d’une plainte aux États-Unis les accusant d’avoir envisagé une coordination anticoncurrentielle pour ralentir le développement de l’IA.

The New York Times · The Hill · The Guardian — International · +4 7 articles
↗
Cybersécurité

Deux vulnérabilités corrigées dans des sandboxes d’agents de programmation IA

Docker a corrigé deux failles de Docker Sandboxes, dont une vulnérabilité critique permettant à du code malveillant exécuté dans une machine virtuelle macOS de lire ou modifier des fichiers de l’hôte. OpenAI a de son côté corrigé deux failles de Codex : l’une pouvait permettre l’exécution de commandes sur la machine d’un développeur depuis le mode de confinement le plus strict, tandis que l’autre permettait des écritures hors du répertoire autorisé. Les deux éditeurs recommandent une mise à jour, mais ces vulnérabilités concernent des produits et des mécanismes distincts.

The Hacker News · BleepingComputer 2 articles
↗
Cybersécurité

Deux techniques de hameçonnage fondées sur des pièces jointes malveillantes et des URL trompeuses

Une campagne de malspam analysée par le SANS Internet Storm Center utilise une fausse demande de devis pour distribuer un script JavaScript qui enchaîne PowerShell, plusieurs chargeurs .NET et une tâche planifiée persistante. Le dispositif recourt notamment à l’obfuscation, au chiffrement, au chargement en mémoire et à l’extraction d’un payload depuis les métadonnées d’une image PNG. Par ailleurs, une analyse consacrée aux attaques par homoglyphes décrit des courriels et des liens utilisant des caractères d’alphabets différents pour imiter des domaines légitimes et récupérer des identifiants. Ces deux approches exploitent des failles différentes : l’exécution d’un fichier piégé dans le premier cas, et l’apparence visuelle d’une adresse dans le second.

SANS Internet Storm Center · The Guardian — International 2 articles
↗
Cybersécurité

Vulnérabilités Linux exploitées ou publiquement exploitables, et faille critique dans Parallels Desktop

CISA signale l’exploitation active de trois vulnérabilités du noyau Linux, dont une ancienne faille de course dans les sockets cryptographiques, et demande aux agences fédérales américaines d’appliquer rapidement les correctifs et de rechercher d’éventuelles compromissions. Par ailleurs, un chercheur a publié des exploits fonctionnels pour quatre autres failles Linux permettant à un utilisateur local d’obtenir les privilèges root, tandis que les noyaux à jour sont corrigés. Sur Mac, une faille de Parallels Desktop permet aussi à un compte local non administrateur d’exécuter du code en tant que root ; le correctif annoncé est intégré à la version 27, inaccessible aux Mac Intel, sans confirmation publique de Parallels concernant la version corrective.

The Hacker News · BleepingComputer 4 articles
↗