Bienvenue sur Cyberveille

Selon Ashes Cybersecurity (billet de recherche du 21 août 2025), une vulnérabilité 0‑day dans le pilote kernel « elastic-endpoint-driver.sys » d’Elastic EDR permettrait une chaîne d’attaque complète aboutissant à un bypass EDR, de la RCE, de la persistance et un DoS privilégié provoquant un BSOD sur les hôtes protégés. Le chercheur décrit une chaîne en quatre étapes: 1) contournement d’Elastic Agent/Elastic Defend via un loader C maison, 2) exécution de code à faible privilège sans détection, 3) persistance par chargement d’un pilote personnalisé interagissant avec « elastic-endpoint-driver.sys », 4) DoS persistant où le pilote d’Elastic adopte un comportement de type malveillant et peut rendre le système inutilisable 🚫. ...

Source: helpnetsecurity.com (20 août 2025). Apple a colmaté CVE-2025-43300, une vulnérabilité zero-day d’écriture hors limites (out-of-bounds write) dans le framework Image I/O, déclenchable lors du traitement d’une image malveillante et menant à une corruption mémoire exploitable. Apple indique que la faille a été activement exploitée dans des attaques ciblées. 🔧 Correctif: Apple affirme avoir corrigé le problème par une amélioration des contrôles de limites (improved bounds checking). 🖥️ Produits/versions corrigés: ...

Source: Microsoft Threat Intelligence et Microsoft Defender Experts — billet technique détaillant, avec exemples et IOCs, l’essor de la technique d’ingénierie sociale « ClickFix » observée depuis 2024. • ClickFix insère une étape d’« interaction humaine » dans la chaîne d’attaque via des pages d’atterrissage qui miment des vérifications (CAPTCHA, Cloudflare Turnstile, faux sites officiels). Les victimes copient-collent puis exécutent elles‑mêmes des commandes dans Win+R, Terminal ou PowerShell. Les charges livrées incluent des infostealers (Lumma, Lampion), des RATs (Xworm, AsyncRAT, NetSupport, SectopRAT), des loaders (Latrodectus, MintsLoader) et des rootkits (r77 modifié). Beaucoup d’exécutions sont fileless et s’appuient sur des LOLBins (powershell.exe, mshta.exe, rundll32.exe, msbuild.exe, regasm.exe). ...

Source et contexte: Recherche publiée par Marek Tóth (présentée à DEF CON 33), initialement le 9 août 2025 et mise à jour le 20 août 2025, portant sur une nouvelle technique de clickjacking ciblant les interfaces injectées par des extensions de navigateur. La recherche décrit une nouvelle technique générale de DOM-based Extension Clickjacking: un script malveillant rend invisibles (opacity/pointer-events/overlays/Popover API) les éléments d’UI injectés par les extensions dans le DOM, tout en restant cliquables. Testée sur 11 gestionnaires de mots de passe, la méthode a montré que tous étaient vulnérables à ce type d’attaque (et certains aussi à la variante IFRAME via web_accessible_resources mal configurés). ...

TechCrunch rapporte le lancement d’une startup par deux anciens étudiants de Harvard. Deux anciens étudiants de Harvard viennent de lancer une paire de lunettes connectées baptisées Halo X, qui promettent de transformer l’expérience utilisateur grâce à une intelligence artificielle « toujours activée ». Selon TechCrunch, ces lunettes enregistrent et transcrivent en continu toutes les conversations de leur porteur, affichant en temps réel des informations utiles pour l’aider à répondre ou comprendre une question. Proposées à 249 dollars, elles sont financées à hauteur d’un million de dollars par plusieurs fonds de capital-risque. ...

Source: Cybernews (18.08.2025). Des chercheurs de Cybernews ont découvert des vulnérabilités critiques dans l’implémentation du chatbot IA « Lena » de Lenovo (propulsé par GPT‑4), permettant des attaques de type Cross‑Site Scripting (XSS) déclenchées par un simple prompt et pouvant mener au vol de cookies de session, à l’exécution de scripts non autorisés sur des machines de l’entreprise et potentiellement à une compromission de la plateforme de support client. ⚠️ Points clés: les failles proviennent d’une sanitisation insuffisante des entrées utilisateur et des sorties du chatbot, de l’absence de vérification par le serveur web du contenu produit par le chatbot, de l’exécution de code non vérifié et du chargement de ressources web arbitraires. Cybernews a divulgué de manière responsable; Lenovo a accusé réception et a protégé ses systèmes. ...

Selon The Record, le FBI a publié un avertissement indiquant qu’un groupe de cyber‑espionnage russe intensifie ses attaques contre des équipements réseau Cisco non patchés en exploitant une vulnérabilité identifiée pour la première fois en 2018. ( CVE-2018-0171 ) 🚨 L’alerte met en avant une campagne de cyber‑espionnage ciblant des équipements Cisco restés non corrigés, avec l’exploitation d’une vulnérabilité datant de 2018. Le FBI observe une augmentation de ces tentatives. Les éléments clés rapportés: ...

Selon TechCrunch, les prix des outils de piratage mobile permettant à des gouvernements d’entrer dans des téléphones augmentent, une évolution attribuée aux efforts des entreprises technologiques pour renforcer la cybersécurité. “Une nouvelle start-up basée aux Émirats arabes unis offre jusqu’à 20 millions de dollars pour des outils de piratage qui pourraient aider les gouvernements à accéder à n’importe quel smartphone à l’aide d’un simple SMS.” 📈 Tendance: hausse des tarifs sur le marché des outils d’intrusion mobile. 🎯 Cible: smartphones. 🏛️ Acteurs: gouvernements acheteurs de ces capacités. 🔐 Cause principale: durcissement de la sécurité par les entreprises technologiques. Impact et dynamique: la rareté accrue et la complexité nécessaires pour contourner des protections plus robustes tirent les prix à la hausse, rendant ces outils plus coûteux à développer et à acquérir. ...

Selon Hunt.io (billet du 20 août 2025, avec recoupements Trellix), une campagne sophistiquée attribuée à APT MuddyWater cible des directeurs financiers sur plusieurs continents via des leurres hébergés sur Firebase/Web.app, des scripts VBS et l’abus d’outils légitimes pour maintenir un accès persistant. • Panorama de l’attaque 🎯: Des e‑mails d’hameçonnage ciblé se faisant passer pour un recruteur de Rothschild & Co mènent vers des pages Firebase avec CAPTCHA/maths et redirections AES chiffrées. La chaîne d’infection déploie des scripts VBS, livre des charges additionnelles depuis une infrastructure contrôlée et installe NetBird et OpenSSH afin d’établir une persistance et un contrôle à distance. Les opérateurs abusent également d’outils légitimes comme AteraAgent.exe. Des recoupements d’IoC, d’infrastructure et de TTPs alignent cette activité avec APT MuddyWater. ...

Selon BleepingComputer, Orange Belgium, filiale du groupe Orange, a annoncé mercredi qu’une intrusion survenue en juillet a permis à des attaquants de dérober des données clients. Orange Belgium, filiale du groupe de télécommunications Orange, a révélé mercredi 20 août avoir été victime d’une cyberattaque ayant entraîné le vol de données appartenant à environ 850 000 clients. L’incident, survenu fin juillet, a permis à des cybercriminels d’accéder à certaines informations sensibles contenues dans ses systèmes informatiques. ...