International

Selon Cofense Phishing Defense Center (PDC), des acteurs menaçants mènent de nouvelles campagnes de phishing en usurpant des invitations Microsoft et Google Calendar afin de dérober des identifiants, avec redirections vers de faux portails Microsoft et des indicateurs de compromission listés. Les attaquants recourent à l’usurpation d’adresse e-mail (spoofing) et à des invitations de calendrier factices imitant les designs Microsoft/Google (couleurs, boutons Outlook, format d’invitation). Des différences légères dans le domaine (ex. « Micr0soft ») ou un expéditeur « postmaster@ » falsifié sont utilisées pour paraître légitimes. Des éléments d’ingénierie sociale comme l’urgence (mot « deadline ») et des adresses expéditeur aléatoires servent à contourner les filtres et pousser au clic. ⚠️ ...

Source: Jamf Threat Labs (19 février 2026). Contexte: publication d’une analyse technique d’un échantillon iOS de Predator (Intellexa/Cytrox) décrivant des mécanismes post‑compromis pour neutraliser les indicateurs d’enregistrement; il ne s’agit pas d’une nouvelle vulnérabilité ni d’un correctif, mais d’un éclairage destiné aux défenseurs. Jamf explique que depuis iOS 14, les pastilles vertes/oranges signalent l’usage de la caméra/micro. Contrairement à la technique « NoReboot » (2022) qui simulait une extinction complète, Predator garde l’iPhone pleinement opérationnel et supprime sélectivement les indicateurs d’enregistrement 🔴🟢, rendant la surveillance plus discrète. ...

Source : Radware — Dans son « 2026 Global Threat Analysis Report », l’éditeur analyse les tendances d’attaque 2025 à l’échelle mondiale (réseau, applicatif/API, bots, hacktivisme, IA) et appelle à des défenses automatisées, scalables et intelligentes. • Panorama 2025 et « Five‑Minute Problem » Retour en force des DDoS réseau avec des records à 29,7 Tbps (botnets Aisuru, Kimwolf) et une forte compression temporelle : la majorité des attaques volumétriques durent ≤5 min, les plus gros Web DDoS <60 s. Les campagnes sont multi‑vecteurs et orchestrées algorithmiquement, rendant obsolètes les runbooks manuels. Les attaques de 100–500 Gbps durent en moyenne 10,2 h, les multi‑Tbps 35 min. • DDoS : réseau vs applicatif (Web DDoS) ...

Source : LeMagIT. Dans un article publié le 18 février 2026, LeMagIT relaie le rapport du groupe Insikt (Recorded Future), présenté à la Conférence sur la sécurité de Munich, qui décrit un paysage cyber mondialisé fragmenté en 2025 et des dynamiques appelées à s’intensifier en 2026. Le rapport lie la fragmentation géopolitique (tensions transatlantiques, ambiguïtés juridiques des actions américaines, ex. Caraïbes/Venezuela, et même l’hypothèse d’une prise de contrôle du Groenland) à un affaiblissement des cadres de sécurité et à des restrictions de partage de renseignement (jusqu’au Royaume-Uni). Les pressions des forces de l’ordre ont certes abouti à des démantèlements d’infrastructures criminelles, mais ont poussé l’écosystème à devenir plus décentralisé, modulaire et résilient 🧩. ...

Source et contexte — AWS Security Blog (CJ Moses, Amazon Threat Intelligence) publie une analyse d’une campagne observée du 11 janvier au 18 février 2026 : un acteur russophone à motivation financière a compromis plus de 600 appareils FortiGate dans plus de 55 pays. Aucune vulnérabilité FortiGate n’a été exploitée ; les intrusions reposent sur des interfaces de gestion exposées, des identifiants faibles et l’absence de MFA, avec une forte dépendance à des services d’IA générative commerciaux. L’acteur a compromis des environnements Active Directory, exfiltré des bases d’identifiants et ciblé les infrastructures de sauvegarde (pré-ransomware). L’infrastructure AWS n’a pas été impliquée. ...

Selon The Verge (19 fév. 2026), un hacker a exploité une vulnérabilité dans Cline, un agent de codage open source utilisant Claude (Anthropic), afin de pousser l’installation automatique d’OpenClaw 🦞 sur des ordinateurs. La technique s’appuie sur une prompt injection insérée dans le workflow, déjà démontrée en preuve de concept par le chercheur Adnan Khan quelques jours plus tôt. Détails de l’attaque et mécanisme: l’attaquant a profité du fait que le workflow de Cline acceptait des instructions malicieuses destinées à Claude, le conduisant à exécuter des actions non prévues, notamment l’installation automatique de logiciels. L’installateur a ciblé OpenClaw (agent viral open source qui « fait réellement des choses »), mais les agents n’ont pas été activés après installation. ...

Dans une publication technique, l’auteur dissèque le module sysrq_hook.c du rootkit LKM Singularity (ciblant Linux 6.x) et montre comment il intercepte les routines de diagnostic du noyau — Magic SysRq et le chemin OOM — pour empêcher l’affichage de processus cachés directement dans le buffer de logs kernel. Le texte rappelle que Magic SysRq (par /proc/sysrq-trigger ou Alt+SysRq+<touche>) exécute des diagnostics entièrement côté noyau et écrit via printk() dans le ring buffer, échappant aux hooks usuels sur /proc ou getdents. Les commandes SysRq-T (état des tâches) et SysRq-F (chemin OOM) produisent des listes de processus directement depuis la mémoire kernel. Des rootkits LKM connus comme Kovid ou diamorphine, qui se contentent d’intercepter filldir*/getdents et parfois des lectures de dmesg, se font contourner: des PIDs « cachés » réapparaissent dans les sorties SysRq-T et OOM, car les données sont déjà imprimées dans le ring buffer avant toute filtration en espace utilisateur. ...

Source : Palo Alto Networks – Unit 42, Global Incident Response Report 2026 (février 2026). Dans plus de 750 interventions IR menées en 2025, le rapport met en évidence quatre tendances majeures: l’IA comme multiplicateur de force, l’identité comme périmètre effectif, l’extension du risque supply chain via connectivités de confiance (SaaS, outils, dépendances), et l’adaptation des acteurs étatiques à l’infrastructure et à la virtualisation. Plus de 90% des brèches ont été permises par des expositions évitables (visibilité limitée, contrôles inégaux, confiance d’identité excessive), et 87% des intrusions ont touché plusieurs surfaces d’attaque. ...

Source et contexte : Dark Reading (article de Robert Lemos, 20 fév. 2026) rapporte les leçons de deux années de recherches menées par Hillai Ben Sasson et Dan Segev (Wiz) sur les failles de l’infrastructure IA, avec une présentation prévue à RSAC en mars. Leur message clé : se concentrer sur les vulnérabilités d’infrastructure plutôt que sur le seul prompt injection, alors que de nouveaux services (ex. MCP) arrivent avec de nombreuses failles sous-jacentes. ...

Selon l’équipe Mobile Threat Intelligence (MTI), une nouvelle famille de malware Android baptisée « Massiv » a été observée dans des campagnes ciblées, principalement en Europe, se faisant passer pour des applications IPTV afin de prendre le contrôle des appareils et mener des fraudes bancaires. • Nature de la menace. Massiv est un trojan bancaire Android axé Device Takeover (DTO), sans liens directs avec des menaces connues. Il combine overlays, keylogging, interception SMS/Push et un contrôle à distance complet de l’appareil, avec un C2 en WebSocket et opérations en screen streaming (MediaProjection) ou en mode UI-tree (traversée Accessibility pour contourner les protections anti-capture). ...