Autre

Cyber Security News relaie une analyse de Koi identifiant un package npm malveillant, “lotusbail”, actif depuis six mois et se présentant comme un fork de “@whiskeysockets/baileys”. Le module, téléchargé plus de 56 000 fois, fonctionne réellement comme une API WhatsApp Web, ce qui lui permet de passer en production sans éveiller de soupçons tout en dérobant des données sensibles. – Le package vole des jetons d’authentification, des clés de session WhatsApp, l’historique des messages (passés et présents), les annuaires de contacts (numéros) ainsi que les fichiers média et documents. Il maintient en outre un accès persistant aux comptes compromis. ...

Source: space.com (article de Tereza Pultarova). Un article rapporte qu’AISLE, une start-up californienne, a identifié une vulnérabilité dans le logiciel de sécurité CryptoLib, utilisé pour protéger les communications sol–satellite de la NASA, et indique que son IA a détecté et corrigé la faille en quatre jours. Selon AISLE, la faille réside dans le système d’authentification de CryptoLib et « transforme une configuration d’authentification de routine en arme ». Un attaquant pourrait injecter des commandes arbitraires s’exécutant avec pleins privilèges. Les chercheurs précisent que la vulnérabilité aurait perduré environ trois ans et qu’elle « menace des milliards de dollars d’infrastructures spatiales » et les missions scientifiques associées. 🔐⚠️ ...

Selon The Register (article de Carly Page), AWS avertit que des groupes étatiques chinois ont commencé à exploiter quelques heures après sa divulgation la faille critique « React2Shell » (CVE-2025-55182), détectée via son réseau de honeypots MadPot. L’éditeur indique avoir vu des tentatives par des clusters connus, dont Earth Lamia et Jackpot Panda, utilisant des requêtes HTTP basées sur des exploits publics. La vulnérabilité, de sévérité maximale, affecte React Server Components et des frameworks dépendants comme Next.js. Elle découle d’une désérialisation non sécurisée dans les packages côté serveur de React, permettant à un attaquant non authentifié d’envoyer une requête spécialement conçue pour obtenir une exécution de code à distance (RCE). 🐞 ...

Source: Swiss Financial Sector Cyber Security Centre (Swiss FS-CSC). Dans un communiqué daté du 13 novembre 2025, l’association annonce avoir conduit à Zurich un exercice opérationnel d’envergure pour la place financière suisse et liechtensteinoise, visant à améliorer la cyberrésilience sectorielle. L’exercice a simulé une cyberattaque complexe en plusieurs étapes contre le secteur financier. Les 134 participants — CISO/RSSI, responsables sécurité, responsables et analystes SOC, analystes des menaces et analystes principaux — devaient reconnaître les signaux faibles, limiter les effets, se coordonner via la plateforme d’échange du Swiss FS-CSC avec d’autres instituts et autorités, et assurer la continuité des activités. ...

Selon l’actualité fournie, MedQ Inc., un prestataire de services administratifs pour le secteur de la santé, a accepté de régler des actions collectives liées à une attaque par ransomware survenue en décembre 2023. • Chronologie de l’incident: l’enquête a confirmé un accès non autorisé au réseau à partir du 20 décembre 2023, suivi du déploiement du ransomware aux alentours du 26 décembre 2023. L’exfiltration de données a été confirmée. • Portée et impact: l’incident a affecté 54 725 personnes. ...

Source: Cisco Security Advisory (sec.cloudapps.cisco.com). Cisco publie un avis sur une vulnérabilité d’exécution de code à distance (RCE) via des services web/SSL impactant plusieurs familles de produits lorsque certaines fonctionnalités sont activées, et fournit des commandes pour déterminer si un équipement est exposé. Produits affectés (selon configuration) et identifiants internes: Secure Firewall ASA/FTD (CSCwo18850), IOS avec Remote Access SSL VPN activé (CSCwo35704), IOS XE avec Remote Access SSL VPN activé (CSCwo35704, CSCwo35779), et IOS XR 32-bit sur routeurs ASR 9001 avec HTTP server activé (CSCwo49562). Cisco NX-OS n’est pas affecté. ...

Source: Ars Technica (Ryan Whitwam), relayant des captures d’écran d’un briefing Cellebrite partagées par « rogueFed » sur les forums GrapheneOS et repérées par 404 Media. — Le cœur de l’info — Cellebrite présenterait une matrice de prise en charge indiquant que ses outils peuvent extraire des données des Google Pixel 6, 7, 8 et 9 en états BFU (Before First Unlock), AFU (After First Unlock) et déverrouillé lorsqu’ils tournent sur l’OS stock de Google. 🔓 La société indique ne pas pouvoir brute-forcer les codes d’accès pour prendre le contrôle total d’un appareil, et ne pas pouvoir copier l’eSIM des Pixel. Le Pixel 10 n’est pas listé dans ces captures. — Focus GrapheneOS — ...

Source: Python Software Foundation News — La PSF annonce avoir retiré une proposition de 1,5 M$ recommandée par la NSF (programme Safety, Security, and Privacy of Open Source Ecosystems) visant à renforcer la sécurité de Python et de PyPI. La décision fait suite à des conditions imposées par la NSF, dont l’exigence d’affirmer que l’organisation « n’opère pas et n’opérera pas de programmes qui promeuvent la DEI » et la possibilité de clawback (récupération a posteriori de fonds déjà versés). La PSF juge ces clauses incompatibles avec sa mission qui inclut le soutien à une communauté diverse et internationale. ...

Selon BleepingComputer, une nouvelle technique de phishing baptisée « CoPhish » exploite des agents Microsoft Copilot Studio pour délivrer des demandes de consentement OAuth frauduleuses en s’appuyant sur des domaines Microsoft légitimes et de confiance. Cette approche arme des agents Copilot Studio comme canal de diffusion, donnant à la demande d’autorisation une apparence officielle. L’attaque cible spécifiquement le flux de consentement OAuth, où l’utilisateur est incité à valider une autorisation trompeuse. ...

Selon BleepingComputer, une nouvelle technique de phishing baptisée « CoPhish » a été observée. Cette méthode arme des agents Microsoft Copilot Studio pour envoyer des demandes de consentement OAuth frauduleuses, en passant par des domaines Microsoft légitimes et de confiance. 🎯 L’objectif est de faire parvenir des requêtes d’autorisation OAuth qui paraissent légitimes, car servies depuis des domaines Microsoft reconnus. TTPs observés: Phishing Abus d’agents Microsoft Copilot Studio Fraude au consentement OAuth (OAuth consent phishing) Utilisation de domaines Microsoft légitimes pour la livraison Il s’agit d’un article de presse spécialisé visant à informer sur l’émergence de cette nouvelle technique de phishing. ...