Bienvenue sur Cyberveille

🔍 Contexte Publié le 15 octobre 2026 par le Citizen Lab (Université de Toronto), ce rapport co-publié avec Confiant constitue la première confirmation technique publique d’une attaque zero-click par spyware mercenaire livrée via des publicités ciblées. Les chercheurs nomment cette technique AdFection. 🎯 Acteurs et victimes Discover-Tech Ltd (Israël, fondée en 2020) : société se présentant comme un acteur publicitaire légitime, identifiée comme facilitateur de spyware mercenaire via sa plateforme Controlium. Candiru (rebaptisé Integrity Labs après acquisition par Integrity Partners en 2025) : fournisseur de spyware mercenaire dont les outils ont été déployés via Discover-Tech. Al Jazeera : au moins 45 appareils infectés en 2024-2025 via des publicités Discover-Tech contenant le spyware Candiru. Autres partenaires identifiés : Bindecy (spyware zero-click, clients en Italie, Mexique, Colombie), Intelos (ADINT mercenaire), DARK CARTOGRAPHER (dé-anonymisation de masse via MSISDN). ⚙️ Mécanisme technique : AdFection Discover-Tech remporte une enchère RTB (Real-Time Bidding) et pousse une publicité vers un site ou une application. La publicité contient un script pointant vers un serveur NOAS (getAd server) de Discover-Tech. Le serveur NOAS évalue l’IP et l’identifiant publicitaire de l’appareil ; si la cible est éligible, il retourne du JavaScript malveillant. Ce JavaScript charge un exploit navigateur ou une iframe pointant vers un serveur validateur Candiru, puis vers un serveur C&C Candiru. L’infection est zero-click : le simple affichage de la publicité suffit. 🧰 Infrastructure Discover-Tech / Controlium Plateforme Controlium : interface permettant aux clients de cibler des utilisateurs par MAID (iOS/Android), cookie ID ou adresse IP, et de pousser des contenus malveillants via des « controlled ads ». MyDSP : DSP propriétaire connecté à Google, Yandex, Vungle, Sunteng. DSPs tiers utilisés : Beeswax (Comcast/FreeWheel), Eskimi. Synchronisation d’identifiants avec Yandex, Beeswax (bidr.io), Xandr (Microsoft Advertising). Fonctionnalité Infinite FIFO : permet de cibler un utilisateur précis une seule fois avec un payload. 3 637 213 utilisateurs éligibles identifiés sur 5 mois (janvier–juin 2026) via le serveur ppv2.mtrtb.com. 📊 Échelle des opérations Analyse de ~4 milliards d’enregistrements d’enchères (mars–juin 2026). Publicités affichées sur plus de 70 000 applications mobiles et 120 000 sites web. 718 748 885 enchères (~19%) contenaient des script tags NOAS malveillants. Pays les plus ciblés (bids NOAS) : Yémen, Pakistan, Monténégro, Brésil, Mexique, Chine, Biélorussie, Arménie, Tchéquie, Israël. Impressions détectées dans des réseaux sensibles : NATO, ONU, Parlement européen, Commission européenne, ministères de la défense, forces armées, agences cyber nationales, infrastructures critiques (Suède, Norvège, Danemark, Australie, Israël, Italie, Tchéquie, Arménie…). Applications touchées : MX Player, Lark Player, Viber, Truecaller, Snap VPN, Duolingo, Yahoo Mail, Opera Mini, Grindr, Badoo. 🦠 Attribution du spyware Candiru DLL Windows isolée sur un appareil compromis d’Al Jazeera : SHA256 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8. C&C hardcodés : fearevolve[.]com, jobmarcher[.]com (Fingerprint C1). Techniques : COM hijack pour persistance, obfuscation XOR 48 octets avec null-terminator factice, vérification de connectivité via google.com et microsoft.com. 305 domaines validateurs Candiru identifiés sur 319 adresses IP (août 2022 – juillet 2026). 🏢 Réseau corporate Discover-Tech CEO : Dekel Boni ; administrateur historique : Eric Banoun (co-fondateur de Circles/NSO, Senpai/Intellexa, actionnaire d’Intelos). Actionnaire historique : Chaia Services Ltd (BVI), liée à Sara Hamou (gestionnaire du réseau Intellexa, condamnée en Grèce dans le scandale Predatorgate). Liens Wix partagés entre discover-tech.io, intelos.io, tekma-dmp.ai, tekma.io, partners.akedo.gg. Entités liées : Akedo, Volasim Ltd (Chypre), MyIPInfo, Adtimizer Ltd, Tekma. 📋 Type d’article Publication de recherche technique approfondie du Citizen Lab, visant à exposer publiquement une infrastructure de spyware mercenaire exploitant l’écosystème publicitaire programmatique, avec divulgation coordonnée aux acteurs de l’industrie. ...

📅 Source : The Hacker News, 27 octobre 2026 Apple a publié des correctifs en rétroaction (backport) pour une faille de sécurité de haute sévérité affectant CoreGraphics, initialement corrigée le mois précédent pour les appareils récents, désormais étendue aux anciens modèles d’iPhone et d’iPad. 🔍 Vulnérabilité principale CVE-2026-86950 (CVSS : 8.8) — écriture hors limites (out-of-bounds write) dans CoreGraphics Exploitation possible via le traitement d’un fichier malveillant, pouvant conduire à une exécution de code arbitraire Apple confirme que la faille a été exploitée dans des attaques sophistiquées et ciblées contre des individus spécifiques sur des versions d’iOS antérieures à iOS 27 📦 Versions corrigées (backport) ...

🌐 Contexte Source : Gizmodo, publié le 23 octobre 2026. L’article couvre la montée en popularité de Bitchat, application de messagerie pair-à-pair développée par Jack Dorsey (co-fondateur de Twitter, CEO de Block), en France dans un contexte de tensions sociales et d’instabilité des infrastructures de communication. 📱 Bitchat : fonctionnement technique Bitchat repose sur un réseau maillé Bluetooth permettant aux téléphones de relayer des messages sans connexion internet, sans compte ni numéro de téléphone. Ses caractéristiques techniques incluent : ...

🗓️ Contexte Article publié le 27 octobre 2026 par Dan Goodin sur Ars Technica. La divulgation est qualifiée de « botched » (ratée) : AMI a publié prématurément un pull request contenant le correctif, rompant l’embargo prévu pour janvier, ce qui a contraint TianoCore à publier un avis public en urgence. 🔍 Vulnérabilité CVE-2026-97631 est un buffer overflow de 16 ans dans le driver PXE Base Code (NetworkPkg/UefiPxeBcDxe) de TianoCore EDK II, le codebase open source de référence pour le firmware UEFI. La sévérité est évaluée à 9.5/10. ...

📅 Source : infostealers.com (Hudson Rock), publié le 27 octobre 2026. Cet article présente les résultats de FortiBleed 2.0, une investigation de suivi menée par Hudson Rock avec le crédit de recherche attribué à NyxLab et à leur analyse de l’acteur k0t. 🔍 Contexte : Les fichiers analysés sont des rapports de configuration FortiGate obtenus récemment, dont 1 672 sur 1 703 portent un horodatage de rapport au 20 février 2026, antérieur aux données de FortiBleed 1.0 (estimées mai/juin 2026). Il s’agit de dates de rapport, non de dates de compromission établies indépendamment. ...

🗓️ Contexte Article publié le 26 octobre 2026 sur Gizmodo, relatant deux nouveaux incidents de sécurité affectant des fabricants de portefeuilles matériels (hardware wallets) pour cryptomonnaies : Foundation et Keystone. Ces incidents s’inscrivent dans une série d’attaques particulièrement sévère en 2026 pour ce secteur. 🎣 Incident Foundation : phishing via infrastructure compromise Des emails de phishing ont été envoyés depuis les domaines officiels de Foundation, alertant faussement d’un rappel urgent de dispositifs. La cause identifiée : une ou plusieurs clés API Cloudflare compromises, permettant l’envoi d’emails légitimes en apparence. Un accès non autorisé à l’infrastructure backend via une vulnérabilité dans une application auto-hébergée a également permis l’accès à la boîte de réception du support client. Les attaquants ont été expulsés des systèmes en moins de 10 minutes après les premiers signalements. Les emails personnalisés incluaient noms, adresses et numéros de téléphone, issus de la boîte support, de croisements avec des fuites crypto récentes, ou de la boutique Shopify. Une mauvaise configuration de la base de données WooCommerce (migrations laissant des copies dans des tables legacy) a exposé des données supposément supprimées. 🔑 Incident Keystone : fuite de clé d’authentification et données clients Le 20 octobre 2026, Keystone a détecté un accès non autorisé à son site officiel. L’attaquant a exploité une vulnérabilité dans un outil tiers de monitoring de données, permettant une élévation de privilèges. Données exposées : noms, coordonnées, adresses de livraison, détails de commandes — 25 964 enregistrements acheteurs et 12 873 enregistrements de paiements incomplets. L’attaquant a obtenu la clé WebAuth utilisée pour vérifier l’authenticité des appareils, inscrite en fabrication et non effaçable ni réinscriptible. En réponse, Keystone a décidé de détruire 18 835 appareils en stock contenant l’ancienne clé. La politique de suppression des données (180 jours) n’était pas pleinement appliquée en raison de défaillances non détectées d’un outil automatisé. 📊 Contexte sectoriel 2026 D’autres incidents majeurs ont touché le secteur cette année : ...

🗓️ Contexte Source : Security Affairs (Pierluigi Paganini), publié le 26 octobre 2026. L’article rapporte une opération de police néerlandaise ayant conduit à l’arrestation de deux suspects impliqués dans une fraude bancaire innovante combinant intelligence artificielle et technologie NFC. 🎯 Déroulement de l’attaque Le schéma frauduleux s’est déroulé en plusieurs étapes : Appels automatisés générés par IA : les victimes recevaient un message enregistré les avertissant d’une activité suspecte sur leur compte bancaire, produit par IA avec différentes voix, banques et scénarios. Ingénierie sociale : les victimes pressant la touche 1 étaient mises en relation avec un faux conseiller bancaire suivant un script préparé. Fausse application bancaire : les victimes étaient incitées à télécharger une application frauduleuse et à scanner leur carte bancaire avec leur téléphone. Exfiltration NFC : l’application capturait les données de la puce NFC (Near Field Communication) de la carte et les transmettait en temps réel à des complices positionnés à des distributeurs automatiques ou terminaux de paiement. Retrait frauduleux : les complices effectuaient des retraits de plusieurs milliers d’euros sans que les victimes ne s’en aperçoivent immédiatement. 👥 Suspects identifiés Homme de 23 ans, originaire de Vaassen (Gueldre) : suspecté d’avoir développé la technologie et dirigé le groupe. Homme de 25 ans, originaire d’Ede (Gueldre) : suspecté d’avoir coordonné l’opération. Les deux suspects ont été placés en détention provisoire pour 90 jours supplémentaires par un tribunal de Rotterdam. 📊 Impact 170 victimes à travers les Pays-Bas 380 000 € de pertes totales Durée de l’opération : trois semaines Victimes de tous âges, dont des dizaines entre 20 et 30 ans 🔍 Enquête L’affaire a débuté mi-septembre lorsque des banques néerlandaises ont signalé la fraude via l’Electronic Crimes Task Force (ECTF), un partenariat entre banques, police et procureurs. L’équipe cybercriminalité de Rotterdam a rapidement identifié l’infrastructure numérique utilisée, surveillé les serveurs et retracé les personnes impliquées. La police a qualifié cette méthode technique de inédite. ...

🗓️ Contexte Source : Blick.ch (ATS – Agence télégraphique suisse), publié le 26 octobre 2026. L’information a été initialement révélée par l’émission Espresso de la radio alémanique SRF. 🎯 Incident La plateforme Camping.Care, utilisée pour les réservations des campings du Touring Club Suisse (TCS), a été victime d’une fuite de données à la suite d’une cyberattaque exploitant une vulnérabilité internationale du langage de programmation PHP. Environ 15 000 clients ont été notifiés à titre préventif par le TCS. ...

📰 Source : ITPro | Date : 27 octobre 2026 | Type : Article de presse spécialisée 🇯🇵 Contexte général Le gouvernement japonais a déclaré une urgence nationale en matière de cybersécurité via son agence NCHS, en réponse à une série d’incidents cyber affectant des secteurs variés : transport ferroviaire, services internet, commerce de détail et forces de l’ordre. 🎯 Incidents déclencheurs identifiés JR East (opérateur ferroviaire) : fuite de 1,67 million d’adresses email Times Car (location de véhicules) : vol massif de scans de permis de conduire de clients IDC Frontier (opérateur cloud/IaaS) : attaque par ransomware ayant impacté environ 500 entreprises clientes en cascade Le régulateur financier japonais a demandé aux banques de ne plus accepter les permis de conduire comme justificatif d’identité lors d’ouvertures de compte 🔗 Dimension supply chain L’attaque contre IDC Frontier est liée aux fuites chez JR East et d’autres organismes publics, illustrant un effet de cascade typique des attaques supply chain : un seul point de compromission ayant des répercussions sur l’ensemble de l’écosystème dépendant. ...

🗓️ Contexte Source : cyberattaque.org, publié le 19 octobre 2026 et mis à jour le 22 octobre 2026. L’incident a été confirmé publiquement par Octave Klaba, fondateur d’OVHcloud, via un message sur X (Twitter). 🔓 Nature de l’attaque L’attaque constitue un cas typique d’attaque de la chaîne d’approvisionnement logicielle (supply chain). L’attaquant a compromis le compte GitHub d’un développeur OVHcloud et l’a utilisé pour remplacer les binaires associés aux releases officielles du CLI par des versions contenant un binaire malveillant. Le code source principal du CLI n’a pas été modifié ; seule la chaîne de distribution a été ciblée. ...