International

Security Affairs (par Pierluigi Paganini) relaie un rapport de Koi Security sur le package NPM malveillant “Lotusbail”, un fork de la librairie Baileys pour l’API WhatsApp Web, actif depuis six mois et totalisant plus de 56 000 téléchargements. Le package fonctionne comme une API WhatsApp pleinement opérationnelle, en enveloppant le client WebSocket légitime afin que tous les messages y transitent d’abord. Il intercepte identifiants, messages, contacts et médias tout en maintenant le fonctionnement normal, rendant la détection difficile. ...

Contexte et source: Publication technique type README (dépôt GitHub du projet “MongoBleed Detector”) présentant un outil de détection local pour la vulnérabilité MongoBleed (CVE-2025-14847). L’outil « MongoBleed Detector » cible CVE-2025-14847, une vulnérabilité de divulgation de mémoire dans la décompression zlib de MongoDB, permettant l’exfiltration de données sensibles (identifiants, tokens, PII) sans authentification. Il analyse les logs JSON de MongoDB de façon offline/agentless et cherche un motif d’attaque caractéristique: volumes de connexions très élevés depuis une même IP, absence totale de métadonnées client, et rafales très courtes (jusqu’à 100 000+ connexions/min dans le comportement documenté). ...

Selon Aikido Security (blog, 28 déc. 2025), une nouvelle souche du ver/malware Shai Hulud a été détectée dans le package npm @vietmoney/react-big-calendar, vraisemblablement un test des attaquants, sans signe de large propagation à ce stade. • Nature et contexte: Aikido décrit une variante «novelle et inédite» de Shai Hulud, dont le code apparaît à nouveau obfusqué depuis la source originale (peu probable qu’il s’agisse d’un copycat). Le package malveillant a été identifié peu après sa mise en ligne, avec des changements notables dans la chaîne d’exfiltration et l’opérationnalisation du ver. ⚠️ ...

Source: BleepingComputer (Lawrence Abrams). L’article rapporte qu’Ubisoft a confirmé un incident affectant Rainbow Six Siege (R6) ayant permis des abus en jeu, tandis que des rumeurs non vérifiées évoquent une compromission plus large de l’infrastructure via la vulnérabilité MongoDB MongoBleed (CVE-2025-14847). 🎮 Incident confirmé et impact Les attaquants ont pu bannir/débannir des joueurs, afficher de faux messages de bannissement sur le ticker, octroyer ~2 milliards de R6 Credits et de Renown à tous les joueurs, et déverrouiller tous les cosmétiques, y compris des skins réservés aux développeurs. Les R6 Credits étant une monnaie premium (15 000 crédits = 99,99 $), la valeur estimée des crédits distribués avoisine 13,33 M$. 🛑 Réponse d’Ubisoft ...

Selon un billet de blog de Lorin Hochstein (Incidents), un certificat SSL expiré a touché les domaines de distribution de Bazel chez Google, provoquant des échecs de build pour les utilisateurs. • Impact principal: des erreurs côté clients Bazel lors de l’accès au registre, avec des messages tels que « PKIX path validation failed: CertPathValidatorException: validity check failed ». Les domaines affectés étaient https://bcr.bazel.build et https://releases.bazel.build. 🔐🚫 • Cause immédiate: d’après un résumé post-mitigation de Xùdōng Yáng sur un ticket GitHub, l’auto‑renouvellement du certificat a été bloqué suite à l’ajout de nouveaux sous-domaines, et les notifications d’échec de renouvellement n’ont pas été envoyées. ...

Lors d’une présentation au 39c3 (Chaos Communication Congress), les chercheurs ont détaillé des vulnérabilités pratiques affectant des utilitaires de signature et de chiffrement largement utilisés, avec un site dédié (gpg.fail) et l’avertissement que la session pourrait contenir des zerodays. Les outils touchés incluent GnuPG, Sequoia PGP, age et minisign. Les failles proviennent principalement de bugs d’implémentation — notamment dans le parsing des formats — et non de défauts dans les primitives cryptographiques. Un exemple cité est la confusion sur les données réellement signées, permettant à un attaquant, sans la clé privée du signataire, d’échanger le texte en clair. ...

Selon Billboard, le groupe d’activistes du piratage Anna’s Archive affirme avoir réalisé un scraping à grande échelle de la plateforme Spotify, récupérant 86 millions de fichiers audio et 256 millions de lignes de métadonnées, avant de publier environ 300 To de données sous forme de fichiers torrent. 🎵🧲 Les éléments clés rapportés sont: Volume et nature des données: 86 millions de pistes audio et un vaste ensemble de métadonnées (256 M de lignes). Mode d’exfiltration/diffusion: publication des données en environ 300 To de torrents. Points techniques et méthodes observées: ...

Selon Socket (Socket Threat Research Team), une opération de spearphishing ciblée et soutenue a détourné le registre npm comme couche d’hébergement et de distribution pendant au moins cinq mois, avec 27 paquets malveillants publiés sous six alias, visant des personnels commerciaux de secteurs industriels et santé aux États-Unis et dans des pays alliés. — Portée et objectifs. La campagne cible des individus spécifiques (25 identités) dans des fonctions commerciales (vente, account management, business dev.) de secteurs adjacents aux infrastructures critiques (manufacturing, automatisation industrielle, plasturgie, santé/pharma). Les leurres imitent des portails de partage de documents et des pages de connexion Microsoft pour la capture d’identifiants. ...

Kaspersky publie un rapport (19 déc. 2025) sur l’APT Cloud Atlas, ciblant l’Europe de l’Est et l’Asie centrale, et décrit en détail la chaîne d’infection et des implants (dont certains inédits) observés au 1er semestre 2025. Point d’entrée: phishing avec document Office (DOC/X) chargeant un modèle RTF malveillant exploitant CVE‑2018‑0802 (Equation Editor) pour télécharger/exécuter un HTA. Les modèles/HTA sont hébergés sur des serveurs de l’acteur, avec téléchargements restreints dans le temps et par IP. ...

Source: EmEditor (emeditor.com) — Le 22 décembre 2025, Yutaka Emura annonce qu’un tiers a potentiellement modifié la redirection du bouton « Download Now » sur le site officiel, pouvant délivrer un installeur non légitime entre le 19 déc. 2025 18:39 et le 22 déc. 2025 12:50 (heure du Pacifique). L’URL de téléchargement légitime via redirection (https://support.emeditor.com/en/downloads/latest/installer/64) a été altérée pour pointer vers https://www.emeditor.com/wp-content/uploads/filebase/emeditor-core/emed64_25.4.3.msi. Le fichier servi n’a pas été créé par Emurasoft, Inc. et a été retiré. Le MSI potentiellement frauduleux porte une signature numérique « WALSHAM INVESTMENTS LIMITED ». Le problème pourrait toucher aussi des pages d’autres langues (dont le japonais). ...