International

🔍 Contexte Le 11 mai 2026, la CNIL (Commission Nationale de l’Informatique et des Libertés) publie sur son site officiel une alerte et un plan d’action concernant les lunettes connectées, dans un contexte de multiplication de ces dispositifs sur le marché grand public. 📡 Description des dispositifs concernés Les lunettes connectées sont des lunettes classiques (de vue ou de soleil) intégrant des capteurs (microphone, caméra) dans leur monture, connectées au smartphone de l’utilisateur via une application mobile. Leurs fonctionnalités incluent : ...

🔍 Contexte Cet article est publié le 11 mai 2026 par CrowdSec sur sa plateforme VulnTracking. Il documente l’exploitation active et persistante de CVE-2025-20362, une vulnérabilité de contournement d’authentification affectant les équipements Cisco Adaptive Security Appliance (ASA) et Cisco Firepower Threat Defense (FTD). 🛠️ Description technique de la vulnérabilité CVE-2025-20362 résulte d’une validation incorrecte des entrées utilisateur dans les requêtes HTTP(S) traitées par le serveur web VPN. Elle permet à un attaquant distant non authentifié d’accéder à des endpoints VPN restreints sans credentials valides. ...

🌐 Contexte Publié le 11 mai 2026 par le Google Threat Intelligence Group (GTIG), ce rapport constitue une mise à jour du rapport de février 2026 sur l’activité liée à l’IA. Il s’appuie sur des engagements Mandiant, des données Gemini et des recherches proactives de GTIG. 🤖 IA comme outil offensif Découverte de vulnérabilités et exploitation Premier cas documenté d’un acteur cybercriminel ayant utilisé l’IA pour développer un exploit zero-day : un bypass de 2FA dans un outil d’administration web open-source, implémenté en Python. L’exploitation de masse a été évitée grâce à la divulgation responsable de GTIG. UNC2814 (nexus PRC) a utilisé des prompts de persona experte pour rechercher des vulnérabilités dans des firmwares TP-Link et des implémentations OFTP. APT45 (nexus DPRK) a envoyé des milliers de prompts répétitifs pour analyser des CVEs et valider des PoC exploits de manière automatisée. Des acteurs expérimentent avec le dépôt wooyun-legacy (plugin Claude intégrant +85 000 cas de vulnérabilités réelles) pour l’apprentissage en contexte. Utilisation d’outils agentiques OpenClaw et OneClaw dans des environnements de test vulnérables. Obfuscation et évasion (malwares AI-augmentés) Malware Type d’obfuscation PROMPTFLUX Modification dynamique du code HONESTCUE Génération de payload d’évasion (VBScript via Gemini API) CANFAIL Logique de leurre (decoy logic) LONGSTREAM Logique de leurre (decoy logic) APT27 (nexus PRC) a utilisé Gemini pour développer une application de gestion de flotte pour un réseau ORB (Operational Relay Box), avec paramètre maxHops=3 et support de dispositifs MOBILE_WIFI/ROUTER. CANFAIL et LONGSTREAM (nexus Russie) ciblent des organisations ukrainiennes et intègrent du code leurre généré par LLM pour masquer leur fonctionnalité malveillante. 🦠 PROMPTSPY : Orchestration autonome d’attaques PROMPTSPY est un backdoor Android qui intègre un module agent autonome nommé GeminiAutomationAgent : ...

🔍 Contexte Publié le 7 mai 2026 par la Push Security Research Team, cet article présente les résultats d’une infiltration directe de panels de phishing criminels actifs, liés aux groupes ShinyHunters (UNC6240) et BlackFile (UNC6671), dans le cadre de campagnes hybrides de vishing et phishing AiTM actives depuis août 2025. 🎯 Campagnes et victimes confirmées Les attaques ciblent des centaines d’organisations dans les secteurs financier, technologique, crypto, santé, hôtellerie et aviation privée. Des violations publiquement confirmées incluent : ...

📅 Contexte : Le 7 mai 2026, Sasha Levin (sashal@kernel.org) a soumis un patch sur la liste de diffusion linux-kernel proposant l’ajout d’un nouveau sous-système nommé killswitch au noyau Linux. 🔧 Mécanisme technique : Le killswitch permet à un opérateur disposant de CAP_SYS_ADMIN de faire retourner à une fonction noyau une valeur fixe sans exécuter son corps, via l’installation d’un kprobe à l’entrée de la fonction cible. La commande s’effectue via l’interface securityfs : ...

🔍 Contexte Publié le 7 mai 2026 par Assaf Morag (Flare), cet article analyse un outil malveillant nommé PamDOORa, dont le code source est mis en vente sur Rehub, un forum cybercriminel russophone, initialement à 1 600 USD puis réduit à 900 USD. 🛠️ Description technique de PamDOORa PamDOORa est un backdoor post-exploitation pour Linux (x86_64) qui s’intègre dans la couche PAM (Pluggable Authentication Module) du système d’exploitation. Ses capacités incluent : ...

🔍 Contexte Publié le 29 avril 2026 par Darktrace (blog Inside the SOC), cet article présente l’analyse technique d’une campagne observée le 18 mars 2026 sur le réseau de honeypots “CloudyPots” de Darktrace. Un acteur malveillant a exploité une instance Jenkins intentionnellement mal configurée pour déployer un botnet DDoS ciblant les serveurs de jeux vidéo. 🎯 Vecteur d’accès initial L’attaquant a abusé de l’endpoint scriptText de Jenkins, qui permet l’exécution de scripts Groovy via la JVM. L’instance honeypot était configurée avec un mot de passe faible, permettant une exécution de code à distance (RCE). Le script malveillant a été envoyé en form-data (URL-encodé) et décodé via CyberChef par les analystes. ...

📰 Source : Cofense Intelligence Blog, publié le 6 mai 2026, par Micah DeHarty (Intelligence Team). Contexte Cofense Intelligence documente une tendance croissante d’abus de la plateforme Vercel, un outil de développement web basé sur l’IA, à des fins de phishing de credentials. L’article s’appuie sur des observations issues de la base de données Active Threat Reports (ATR) de la plateforme ThreatHQ de Cofense. Mécanisme d’abus Vercel intègre un outil GenAI appelé v0[.]dev qui permet de générer des pages web fonctionnelles à partir de simples prompts textuels. Les acteurs malveillants exploitent cette fonctionnalité pour : ...

🌐 Contexte Publié le 6 mai 2026 sur Margin Research par Justin Sherman, cet article analyse les connexions cyber entre secteurs privés russe et iranien, en réponse à des rapports récents (Reuters, Flashpoint) sur une supposée coopération cyber russo-iranienne dans le cadre des conflits en cours. 🔗 Acteurs et groupes mentionnés NoName057(16) : groupe hacktiviste russe ciblant des entités NATO et européennes depuis mars 2022, ayant revendiqué des attaques DDoS contre des partis politiques israéliens et un contractant de défense en mars 2026. Cyber Islamic Resistance : groupe parapluie pro-iranien coordonnant plusieurs groupes hacktivistes, décrit comme ayant collaboré avec NoName057(16). Positive Technologies : entreprise russe de cybersécurité, contractant de la FSB, impliquée dans le recrutement de hackers pour la FSB et le GRU, ayant des équipes locales en Iran en 2024 et approuvée par le gouvernement iranien pour fournir des services de détection et réponse aux menaces. Protei (Protei Ltd.) : entreprise russe de télécommunications fournissant à l’opérateur iranien Ariantel des capacités d’authentification, d’inspection profonde des paquets (DPI), d’interception légale et de surveillance des communications mobiles. Ravin Academy : entreprise iranienne de cybersécurité sanctionnée par les États-Unis en 2022, fondée par deux membres du MOIS (Ministry of Intelligence and Security), ayant participé à la conférence Positive Hack Days en 2024. 🏛️ Partenariats institutionnels clés Juillet 2023 : Le ministère russe du Développement numérique annonce des discussions avec l’Iran sur l’export de logiciels russes, impliquant Rostelecom, Rostelecom-Solar, Positive Technologies, Speech Technology Center, Protey Scientific and Technical Center. Avril 2025 : L’université russe MPEI accueille une délégation de l’Autorité nationale iranienne de cybersécurité avec des représentants de Positive Technologies, discutant de cybersécurité énergétique et d’IA de confiance. Juillet 2024 : Le gouvernement iranien approuve Positive Technologies (avec Acron et Sangfour) pour des services de détection et réponse aux menaces sous supervision du Centre de gestion stratégique présidentiel. 2024 : ANO Digital Economy (Moscou) accueille une délégation iranienne incluant la Chambre de commerce de Téhéran et le Forum des organisations iraniennes basées sur la connaissance. 🎯 Capacités transférées Interception légale des télécommunications mobiles (DPI, signalisation réseau mobile) via Protei à Ariantel/Iran Détection et réponse aux menaces managées via Positive Technologies en Iran Cybersécurité des infrastructures IT/OT et énergétiques via Positive Technologies Formation, recrutement et entraînement de hackers via Ravin Academy (MOIS) 📌 Type d’article Il s’agit d’une analyse de menace basée sur des sources ouvertes (OSINT), visant à documenter et structurer les connexions entre secteurs privés cyber russe et iranien, notamment leurs liens avec les services de renseignement respectifs (FSB, GRU, SVR, IRGC, MOIS). ...

🗓️ Contexte Article publié le 3 mai 2026 sur webhosting.today par Łukasz Nowak. Il s’agit d’un suivi d’une couverture initiale du 29 avril 2026 portant sur la divulgation d’une vulnérabilité critique dans cPanel et WHM. L’article compile des données de Rapid7, Censys, GreyNoise, KnownHost et NocInit. 🔍 Vulnérabilité CVE-2026-41940 est classée CWE-306 (Missing Authentication for Critical Function). Le mécanisme technique repose sur une injection CRLF dans le processus de chargement et sauvegarde de sessions de cPanel, permettant à un attaquant non authentifié de manipuler les fichiers de session et d’injecter des privilèges root, contournant entièrement l’écran de connexion sur les interfaces cPanel et WHM. ...