Publication De Recherche

Source : GMO Flatt Security Research – flatt.tech (publication du 3 octobre 2025). Contexte : un chercheur (RyotaK) détaille CVE-2025-59489, une vulnérabilité du Unity Runtime affectant les jeux/apps Unity (2017.1 et +), signalée à Unity qui a publié des correctifs (2019.1 et +) et un outil de patch binaire. • La vulnérabilité repose sur la gestion des intents Android par Unity : l’extra « unity » est interprété comme des arguments de ligne de commande pour l’application. Un argument spécifique, -xrsdk-pre-init-library, est transmis à dlopen(), permettant de charger une bibliothèque native arbitraire et d’exécuter du code dans le contexte de l’app Unity, avec ses permissions. • Impact : exécution de code arbitraire et détournement de permissions des apps Unity. Unity a publié un avis officiel et des mises à jour (2019.1 et +) ainsi qu’un Unity Binary Patch tool pour atténuer le risque. Avis Unity : https://unity.com/security/sept-2025-01 ...

Selon Legit Security, des chercheurs ont découvert une vulnérabilité critique (CVSS 9.6) affectant GitHub Copilot Chat, permettant l’exfiltration silencieuse de secrets et de code source depuis des dépôts privés, tout en manipulant les réponses/suggestions de Copilot. • Contexte et impact: La faille combinait un contournement de la Content Security Policy (CSP) via l’infrastructure Camo proxy de GitHub et des prompt injections distantes insérées dans des commentaires invisibles de descriptions de pull requests. Exploitée, elle permettait d’accéder à des dépôts privés avec les permissions de la victime et de voler des informations sensibles (dont des vulnérabilités zero-day et des clés AWS), et de contrôler les réponses/suggestions de Copilot. ...

Selon des chercheurs de Trellix, de nouvelles versions du backdoor XWorm sont distribuées via des campagnes de phishing, alors que le développeur original, XCoder, a abandonné le projet l’an dernier. Le malware intègre désormais plus de 35 plugins qui étendent ses capacités, allant du vol d’informations sensibles jusqu’au chiffrement de fichiers (ransomware). 🧩 La fonctionnalité de chiffrement, fournie via Ransomware.dll, permet aux opérateurs de: définir un papier peint de bureau après le verrouillage des données, fixer le montant de la rançon, renseigner une adresse de portefeuille (wallet), indiquer un email de contact. 🔐 TTPs observés: ...

Selon une étude académique sur des négociations de ransomware, la hausse des paiements ne s’explique pas par des attaques plus innovantes mais par la dynamique des négociations et la sélection des victimes. L’étude met en évidence une hausse spectaculaire des paiements moyens (près de +20 000% depuis 2018) et propose un modèle de négociation en six étapes: intention de l’attaquant, engagement de la victime, offre de remise, magnitude de la remise, décision de paiement, et ré-extorsion. Les auteurs exploitent deux jeux de données: 481 incidents déclarés à la police (2019–2023) et 237 transcriptions de négociations issues de 23 groupes de ransomware. ...

Selon Wiz Research, une vulnérabilité critique de type exécution de code à distance (RCE) baptisée RediShell (CVE-2025-49844) touche Redis, avec un score CVSS de 10.0 (vu à 9.9 selon certaines sources) et un correctif publié par Redis le 3 octobre 2025. 🚨 Principaux faits: Vulnérabilité: Use-After-Free (UAF) menant à une évasion du bac à sable Lua et à l’exécution de code natif sur l’hôte. Produits concernés: Redis (toutes les versions), vulnérabilité présente depuis ~13 ans dans le code source. Conditions d’exploitation: post-auth via envoi d’un script Lua malveillant (Lua activé par défaut). Risque critique si l’instance est exposée Internet sans authentification. Impact: Accès complet à l’hôte avec possibilités d’exfiltration, effacement ou chiffrement de données, détournement de ressources et mouvements latéraux dans les environnements cloud. Prévalence: Redis est présent dans ~75% des environnements cloud; il s’agirait de la première vulnérabilité Redis notée critique. Exposition et risque: ...

Source: watchTowr Labs — Les chercheurs publient une analyse technique de la chaîne d’exploitation derrière CVE‑2025‑61882, une RCE pré‑authentifiée visant Oracle E‑Business Suite (EBS), après l’alerte officielle d’Oracle confirmant une exploitation active et l’impact sur les versions 12.2.3 à 12.2.14. — Contexte et impact Oracle a diffusé une alerte indiquant une vulnérabilité exploitable à distance sans authentification pouvant conduire à une exécution de code. watchTowr Labs a obtenu un PoC et a reconstitué la chaîne d’attaque, composée d’« au moins cinq » failles orchestrées, démontrant une maîtrise approfondie d’Oracle EBS et un large périmètre d’impact. — Chaîne d’exploitation (vue d’ensemble) ...

Selon Include Security, des vulnérabilités d’authentification affectent la console audio professionnelle Allen & Heath SQ‑6, avec des services réseau exposés sans authentification serveur et des communications non chiffrées, susceptibles de perturber des événements en direct. Le fournisseur a été notifié et a publié un correctif. • Découverte et impact: les chercheurs ont identifié de la client-side authentication dans les applications mobiles, contournable via Frida, et un service MIDI non authentifié accessible sur le réseau. Ces failles permettent le contrôle complet du mixeur (mise en sourdine, changements de scène, volume), exposant à des perturbations de spectacles/événements. Ils soulignent un problème plus large dans l’industrie AVL (audio‑vidéo‑lumière) où la sécurité repose trop sur la segmentation réseau. ...

Source et contexte — Ars Technica (Dan Goodin, 30 sept. 2025) détaille deux publications académiques indépendantes montrant des attaques physiques contre les enclaves de confiance (TEE) d’Intel (SGX) et d’AMD (SEV‑SNP), rendues possibles par leur chiffrement déterministe de la mémoire DDR4. • Battering RAM 🔧: une attaque active à faible coût (< 50 $) via un interposer analogique placé entre CPU et DIMM DDR4. En créant des alias mémoire, l’attaquant capture puis rejoue des chiffrés; le chiffrement déterministe garantit une décryption cohérente au même emplacement. Impact: ...

Source: today.ucsd.edu UC San Diego — Présentée à Black Hat (août 2025) et à l’IEEE S&P (mai), l’étude a évalué sur huit mois l’efficacité de deux approches de formation anti‑phishing auprès de 19 500 employés d’UC San Diego Health. Les chercheurs n’ont trouvé aucune relation significative entre l’achèvement de la formation annuelle obligatoire et la probabilité de succomber à des emails de phishing. L’entraînement intégré (embedded), délivré après un clic sur un hameçon simulé, n’a réduit le taux d’échec que de 2%. ...

Selon Trellix Advanced Research Center, XWorm V6.0 — un RAT modulaire apparu en 2022 et réputé abandonné en 2024 — est de nouveau actif dans des campagnes récentes, avec un large éventail de plugins et des techniques d’évasion et de persistance renforcées. • Portée et capacités: XWorm v6 embarque plus de 35 plugins couvrant le vol de données, le ransomware, le contrôle à distance (RDP/screen capture), la collecte d’identifiants et un contournement de sécurité Chrome v20. L’architecture modulaire charge des DLL en mémoire, avec communication C2 chiffrée (AES) et mécanismes anti-analyse hérités en partie de NoCry Ransomware. 🧩 ...