International

Source: filippo.io (Filippo Valsorda). L’auteur analyse les compromissions de la chaîne d’approvisionnement open source sur 2024/2025, en recensant des cas concrets et en les classant par causes racines afin d’identifier des mitigations actionnables pour les mainteneurs. Principales causes identifiées: phishing (le vecteur le plus fréquent, y compris contre 2FA TOTP), control handoff (transfert d’accès/contrôle à un acteur malveillant), et déclencheurs GitHub Actions privilégiés comme pull_request_target et certains issue_comment conduisant à des injections shell. Les jetons à longue durée de vie (exfiltration et réutilisation), l’usurpation de Dependabot, la résurrection de domaines/identifiants, et des facteurs aggravants (tags d’Actions mutables, scripts post-install npm, permissions CI en écriture, artefacts non reproductibles, configuration CI par branche) reviennent régulièrement. ...

Source: Knostic (billet de blog référencé) — Contexte: mise en garde et synthèse technique sur les extensions VS Code malveillantes observées dans la campagne GlassWorm. 🚨 Fait saillant: les IDEs développeur deviennent une surface d’attaque critique, où des extensions VS Code malveillantes servent de vecteurs de livraison de malware, avec des capacités d’exécution de code à distance, vol d’identifiants et infiltration de la supply chain. Des solutions de détection comme Knostic Kirin sont citées pour bloquer les extensions infectées à l’installation. ...

Source et contexte: Rubrik Zero Labs publie une analyse intitulée Unmasking the Invisible: Hunting and Defeating EDR-Evading Threats Like BRICKSTORM, soulignant que les EDR traditionnels ne tournent pas (ou ne peuvent pas) sur des appliances telles que VMware vCenter Server Appliance (VCSA) et d’autres équipements réseau Linux/BSD — une surface dont des acteurs malveillants tirent parti. 🔍 L’article met en avant des règles YARA signées par Google Threat Intelligence Group (GTIG) pour identifier le backdoor BRICKSTORM. Les règles référencées incluent G_APT_Backdoor_BRICKSTORM_3, G_Backdoor_BRICKSTORM_2, G_APT_Backdoor_BRICKSTORM_1 et G_APT_Backdoor_BRICKSTORM_2, avec des conditions ciblant des binaires ELF (vérifications de magie ELF comme 0x464c457f / 0x7F454C46) et des motifs d’obfuscation/décryptage. ...

Source: watchTowr Labs – billet technique approfondi analysant, reproduisant et exploitant CVE-2025-9242 dans WatchGuard Fireware OS, avec diff de correctif, chemin protocolaire IKEv2, primitives d’exploitation et artefacts de détection. • Vulnérabilité et impact Type: Out-of-bounds Write / débordement de tampon sur la pile dans le processus iked (IKEv2). Impact: exécution de code arbitraire pré-auth sur un appliance périmétrique 🧱 (service IKEv2 exposé, UDP/500). Score: CVSS v4.0 = 9.3 (Critique). Produits/Services affectés: Mobile User VPN (IKEv2) et Branch Office VPN (IKEv2) configuré avec dynamic gateway peer. Cas résiduel: même après suppression de ces configs, l’appliance peut rester vulnérable si une BOVPN vers un static gateway peer est encore configurée. Versions affectées: 11.10.2 → 11.12.4_Update1, 12.0 → 12.11.3, et 2025.1. • Analyse du correctif et cause racine ...

Selon BleepingComputer, des cybercriminels exploitent TikTok pour diffuser des vidéos se présentant comme des « guides d’activation gratuits » de logiciels populaires, afin d’y dissimuler et propager des malwares voleurs d’informations. • Leurre principal : des tutoriels d’activation gratuits pour Windows, Spotify et Netflix. • Canal de diffusion : TikTok est utilisé comme vecteur pour attirer les victimes via des contenus prétendument légitimes. • Charge malveillante : un malware voleur d’informations (information stealer) est propagé à partir de ces contenus. ...

Selon Koi Security (billet de blog), des chercheurs ont découvert « GlassWorm », le premier ver auto-propagatif ciblant les extensions VS Code sur la place de marché OpenVSX. Impact et portée: 7 extensions compromises totalisant 10 711 téléchargements. 5 extensions resteraient encore actives avec une infrastructure C2 opérationnelle (transactions blockchain, sauvegarde via Google Calendar, serveurs d’exfiltration). Le ver déploie un RAT (ZOMBI) transformant les postes de développeurs infectés en nœuds proxy criminels et vole des identifiants NPM, GitHub et crypto pour se propager. ...

Selon l’article de analyst1, en septembre 2025, un opérateur de ransomware se présentant comme « Devman » a partagé un lien vers une nouvelle plateforme de Ransomware-as-a-Service (RaaS) quelques jours avant son lancement public. L’auteur décrit que « Devman » avait travaillé en solo pendant des mois sur du code DragonForce modifié, avant de formaliser une marque et de recruter des affiliés pour opérer en modèle RaaS. 🧩 Le timing est présenté comme inhabituel: quelques semaines auparavant, « Devman » affirmait quitter son équipe ransomware pour des raisons personnelles. Au lieu de se retirer, il a construit davantage d’infrastructure, lancé un programme d’affiliation et s’est positionné comme opérateur RaaS. 🔄 ...

Selon Ars Technica (Dan Goodin), des chercheurs ont présenté « Pixnapping », une nouvelle attaque ciblant Android qui exploite un canal auxiliaire graphique pour reconstituer, pixel par pixel, des informations affichées par d’autres apps. Google a publié une mitigation partielle en septembre (CVE-2025-48561) et prépare un correctif additionnel en décembre, sans signe d’exploitation active. • Nature de l’attaque: attaque par canal auxiliaire (timing de rendu GPU, liée à GPU.zip) permettant de déduire la couleur de pixels d’apps affichées en arrière-plan, comme si une capture d’écran non autorisée était réalisée. Le malware ne requiert aucune permission et cible tout contenu visible: codes 2FA, messages, emails, etc. Les données non affichées ne sont pas exposées. ...

Selon BleepingComputer, une campagne de phishing en cours vise les utilisateurs des gestionnaires de mots de passe LastPass et Bitwarden. Les attaquants diffusent des emails frauduleux qui prétendent que les entreprises ont été piratées. Ces messages poussent les victimes à télécharger une soi‑disant version desktop “plus sécurisée” des gestionnaires de mots de passe. 🎣 Campagne de phishing visant les utilisateurs de LastPass, Bitwarden et 1Password Une campagne de phishing cible actuellement les utilisateurs de LastPass et Bitwarden avec de faux courriels affirmant que les entreprises ont été piratées. Les messages incitent les destinataires à télécharger une prétendue version de bureau « plus sécurisée » du gestionnaire de mots de passe. En réalité, le fichier installe Syncro, un outil de supervision à distance (RMM) utilisé par les prestataires de services managés, que les attaquants détournent pour déployer ScreenConnect, leur permettant de prendre le contrôle des appareils infectés. ...

Selon Cisco Talos (blog), des chercheurs ont publié cinq vulnérabilités touchant des systèmes de contrôle industriel et un routeur IoT, avec des règles Snort disponibles pour détecter les tentatives d’exploitation. Les failles comprennent un déni de service dans OpenPLC (CVE-2025-53476) et quatre vulnérabilités dans le routeur IoT Planet WGR-500: dépassements de pile, injection de commandes OS et format string. Impact potentiel: perturbation d’opérations industrielles, exécution de commandes arbitraires et corruption mémoire ⚠️. ...