Global

Selon GitHub Blog (Xavier René‑Corail, 22 septembre 2025), l’écosystème open source a subi une vague de prises de contrôle de comptes sur des registres de paquets, dont npm, culminant avec une attaque baptisée Shai‑Hulud ciblant la chaîne d’approvisionnement JavaScript. 🚨 Incident: le 14 septembre 2025, Shai‑Hulud a infecté l’écosystème npm via des comptes mainteneurs compromis, en injectant des scripts post‑install malveillants dans des paquets populaires. Le ver était auto‑réplicant et capable de voler plusieurs types de secrets (pas uniquement des jetons npm), ce qui aurait pu permettre des attaques en continu sans l’intervention rapide de GitHub et de mainteneurs open source. ...

Selon Cyber Security News, une vulnérabilité critique (CVE-2025-55241) découverte en juillet 2025 par Dirk-jan Mollema et désormais corrigée par Microsoft, permettait à un attaquant de s’octroyer des privilèges d’administrateur global sur n’importe quel tenant Entra ID. Nature de la faille ⚠️: combinaison d’un mécanisme d’authentification legacy via des Actor tokens (jetons internes non soumis aux politiques de sécurité classiques comme le Conditional Access) et d’un défaut de validation dans l’API Azure AD Graph (ancienne API) qui n’assurait pas que le jeton provenait du même tenant. ...

Source: Praetorian — Dans une publication de recherche, l’éditeur détaille comment des scanners de vulnérabilités configurés avec des identifiants privilégiés et une authentification par mot de passe deviennent des vecteurs d’attaque pour le vol d’identifiants et le mouvement latéral, surtout dans des environnements Linux. L’étude met en évidence le risque des scans authentifiés utilisant SSH par mot de passe et des protocoles obsolètes comme NTLMv1. Des attaquants déjà présents sur les hôtes cibles peuvent intercepter les identifiants du scanner via la manipulation du démon SSH, l’instrumentation de processus et l’injection dans la chaîne d’authentification PAM, puis réutiliser ces secrets pour le mouvement latéral. ...

Source : SonicWall (Support). ⚠️ SonicWall indique avoir détecté puis confirmé un incident visant le service de sauvegarde cloud de ses pare-feux : des attaques par force brute ont permis à des acteurs malveillants d’accéder à des fichiers de préférences de pare-feu stockés dans le cloud. Selon l’éditeur, l’accès concerne moins de 5 % de la base installée. Les identifiants présents dans ces fichiers sont chiffrés, mais les fichiers contiennent également des informations pouvant faciliter une exploitation des pare-feux concernés. SonicWall précise n’avoir aucune preuve de fuite publique à ce stade et qu’il ne s’agit pas d’un ransomware, mais d’une série d’attaques par force brute. ...

Source : Trend Micro — Dans une publication de recherche sur la sécurité des déploiements Model Context Protocol (MCP), l’éditeur analyse plus de 22 000 dépôts et démontre comment la conteneurisation peut réduire les risques qui pèsent sur les charges de travail IA. L’étude met en évidence des lacunes critiques, notamment des serveurs MCP exposés, une authentification faible, des fuites d’identifiants, ainsi que des risques de chaîne d’approvisionnement liés à des dépôts abandonnés. Elle fournit des recommandations concrètes pour appliquer le moindre privilège, isoler correctement les conteneurs et déployer en sécurité les serveurs MCP afin de protéger les workloads IA contre l’exploitation. ...

Selon KrebsOnSecurity (Brian Krebs, 16 septembre 2025), une campagne visant l’écosystème NPM a vu l’émergence de Shai-Hulud, un ver auto-propagatif qui vole des identifiants (tokens NPM, clés cloud, etc.) et exfiltre ces secrets en les publiant dans des dépôts GitHub publics. Au moins 187 paquets NPM ont été touchés, dont des paquets liés à CrowdStrike (rapidement retirés par le registre NPM). Le ver recherche un token NPM dans l’environnement lors de l’installation d’un paquet compromis. S’il en trouve, il modifie les 20 paquets les plus populaires accessibles avec ce token, s’y copie puis publie de nouvelles versions, déclenchant une propagation en chaîne. Il utilise l’outil open source TruffleHog pour détecter des secrets (GitHub, NPM, AWS, Azure, GCP, SSH, API), tente de créer de nouvelles GitHub Actions et publie les données volées. Le design cible Linux/macOS et ignore Windows. ...

Selon Okta Threat Intelligence (sec.okta.com), une analyse détaillée dévoile « VoidProxy », une opération de Phishing-as-a-Service inédite et particulièrement évasive, ciblant des comptes Microsoft et Google et redirigeant les comptes fédérés (SSO tiers comme Okta) vers des pages de phishing de second niveau. • Aperçu de la menace: VoidProxy est un service mature et scalable de phishing en Adversary-in-the-Middle (AitM) capable d’intercepter en temps réel les flux d’authentification pour capturer identifiants, codes MFA et cookies de session, contournant des méthodes MFA courantes (SMS, OTP d’apps). Les comptes compromis facilitent des activités telles que BEC, fraude financière, exfiltration de données et mouvements latéraux. Les utilisateurs protégés par des authentificateurs résistants au phishing (ex: Okta FastPass) n’ont pas pu se connecter via l’infrastructure VoidProxy et ont été alertés. Okta fournit un avis de menace complet (avec IOCs) via security.okta.com et Identity Threat Protection. ...

Selon la page « Covert Influence Operations » du site Transparency de TikTok, la plateforme recense et divulgue régulièrement les réseaux d’opérations d’influence clandestines qu’elle a détectés et démantelés depuis janvier 2024, en détaillant l’origine supposée, les audiences ciblées, le nombre de comptes et les méthodes employées. 📊 Entre juillet 2025 et janvier 2025, TikTok documente de multiples réseaux: en juillet 2025, des opérations depuis la Thaïlande visant des sinophones avec du contenu généré par IA (souvent des personnages animaliers) pour vanter la domination chinoise et critiquer l’Occident; deux réseaux opérant depuis l’Ukraine visant un public russe pour miner la confiance envers le gouvernement russe et souligner des défaites militaires, parfois en se présentant comme des comptes d’actualités; un réseau depuis l’Iran ciblant Israël/Palestine via sock puppets et faux comptes d’actualité; un réseau depuis la Biélorussie se faisant passer pour un groupe partisan en Ukraine, redirigeant vers une messagerie hors plateforme; un autre depuis l’Iran visant l’Azerbaïdjan pour promouvoir des narratifs pro-iraniens et chiites. TikTok indique aussi une application continue contre la récidive (ex. 5 374 comptes tentant de revenir en juillet 2025). ...

Selon Darknet.org.uk, « asnip » est un outil dédié à la reconnaissance réseau qui permet de cartographier des domaines et adresses IP vers leurs numéros d’AS (ASN), de récupérer les plages CIDR associées et de les convertir en listes d’IP exploitables. Fonctionnalités mises en avant: Association de domaines/IP à leurs Autonomous System Numbers (ASNs). Récupération des CIDR liés aux ASNs identifiés. Conversion des CIDR en IPs pour faciliter la reconnaissance. Objectif: fournir un moyen rapide de passer d’artefacts de surface (domaines, IPs) à des plages d’adresses IP complètes liées à un même ASN, dans un contexte de reconnaissance. ...

Source: Aikido (blog) — Analyse publiée dans un contexte de Security Operations, avec entretien de Josh Junon, mainteneur compromis, sur l’incident ayant touché des paquets npm majeurs dont « debug » et « chalk ». L’article décrit une attaque de la chaîne d’approvisionnement menée via phishing contre des mainteneurs npm, aboutissant à une injection de code malveillant. Les paquets compromis ont été téléchargés 2,6 millions de fois, tandis que « debug » et « chalk » cumulent 2,6 milliards de téléchargements hebdomadaires, illustrant la fragilité de l’écosystème. Le malware ciblait spécifiquement le vol de cryptomonnaies via injection dans le contexte du navigateur, sans viser une compromission système plus large. ...