International

Selon Rapid7, un nouveau groupe de menace baptisé « Crimson Collective » intensifie ses attaques contre des environnements cloud AWS, avec deux cas observés en septembre. — Le groupe débute ses intrusions en compromettant des clés d’accès à long terme AWS et en exploitant les privilèges IAM associés. Une fois l’accès obtenu, il crée de nouveaux utilisateurs et élève les privilèges en attachant des politiques supplémentaires. — Après compromission, Crimson Collective mène de la reconnaissance pour identifier des données de valeur, puis exfiltre ces informations en s’appuyant sur des services AWS. En cas de succès, les victimes reçoivent une note d’extorsion. ...

Selon un avis de sécurité publié par Fortra le 18 septembre 2025, une vulnérabilité critique de désérialisation (CVE-2025-10035, CVSS 10.0) affecte le License Servlet de GoAnywhere MFT. 🐞 La faille permet, à un acteur capable de forger validement la signature d’une réponse de licence, de désérialiser un objet contrôlé par l’attaquant, ce qui peut conduire à une injection de commandes et potentiellement à une exécution de code à distance (RCE). ...

Source : ZDI (Zero Day Initiative) — billet de recherche décrivant la découverte et l’exploitation de CVE-2025-5037, une vulnérabilité de confusion de type dans Autodesk Revit 2025 qui permet une exécution de code à distance (RCE) via des fichiers RFA spécialement conçus. La faille provient du désérialiseur de Revit, qui traite 4 611 types d’objets. En manipulant l’index de classe dans les données sérialisées du flux Global\Latest d’un fichier OLE Compound, un attaquant peut amener l’application à traiter un objet std::pair (index de classe 0xc4) comme une classe munie d’un pointeur de vtable, ouvrant la voie à l’exécution de code. ...

Source : GMO Flatt Security Research – flatt.tech (publication du 3 octobre 2025). Contexte : un chercheur (RyotaK) détaille CVE-2025-59489, une vulnérabilité du Unity Runtime affectant les jeux/apps Unity (2017.1 et +), signalée à Unity qui a publié des correctifs (2019.1 et +) et un outil de patch binaire. • La vulnérabilité repose sur la gestion des intents Android par Unity : l’extra « unity » est interprété comme des arguments de ligne de commande pour l’application. Un argument spécifique, -xrsdk-pre-init-library, est transmis à dlopen(), permettant de charger une bibliothèque native arbitraire et d’exécuter du code dans le contexte de l’app Unity, avec ses permissions. • Impact : exécution de code arbitraire et détournement de permissions des apps Unity. Unity a publié un avis officiel et des mises à jour (2019.1 et +) ainsi qu’un Unity Binary Patch tool pour atténuer le risque. Avis Unity : https://unity.com/security/sept-2025-01 ...

Selon l’article, le chief scientist de Microsoft, Eric Horvitz, a conduit un expériment visant à évaluer si des algorithmes d’IA générative peuvent identifier des failles dans les systèmes de biosécurité. L’étude démontre que des algorithmes génératifs sont capables de mettre au jour des vulnérabilités inconnues au sein de dispositifs de contrôle de biosécurité conçus pour empêcher la synthèse d’agents toxiques ou pathogènes. 🧬🤖 Le cœur du constat: ces modèles peuvent aider à révéler des points faibles dans les mécanismes de filtrage et de vérification utilisés avant la synthèse de séquences potentiellement dangereuses, remettant en question l’efficacité et la robustesse des contrôles existants. ⚠️ ...

Selon Legit Security, des chercheurs ont découvert une vulnérabilité critique (CVSS 9.6) affectant GitHub Copilot Chat, permettant l’exfiltration silencieuse de secrets et de code source depuis des dépôts privés, tout en manipulant les réponses/suggestions de Copilot. • Contexte et impact: La faille combinait un contournement de la Content Security Policy (CSP) via l’infrastructure Camo proxy de GitHub et des prompt injections distantes insérées dans des commentaires invisibles de descriptions de pull requests. Exploitée, elle permettait d’accéder à des dépôts privés avec les permissions de la victime et de voler des informations sensibles (dont des vulnérabilités zero-day et des clés AWS), et de contrôler les réponses/suggestions de Copilot. ...

Selon Unit 42 (Palo Alto Networks), un kit de phishing automatisé nommé « IUAM ClickFix Generator » démocratise la technique de social engineering ClickFix en permettant à des acteurs peu qualifiés de créer des pages imitant des vérifications de navigateur afin d’amener les victimes à copier-coller des commandes malveillantes. Les chercheurs ont observé des campagnes actives diffusant les infostealers DeerStealer et Odyssey sur Windows et macOS, révélant un écosystème croissant de phishing-as-a-service et malware-as-a-service. 🎣 ...

Source : The Record — Dans le contexte des débats européens autour du projet controversé « Chat Control », des responsables allemands ont indiqué qu’ils ne le soutiendraient pas. 🏛️ Des responsables allemands ont annoncé qu’ils ne voteront pas en faveur de la proposition de l’Union européenne connue sous le nom de « Chat Control ». 🗣️ La ministre fédérale de la Justice, Stefanie Hubig, a déclaré : « La surveillance aléatoire des chats doit être taboue dans un État constitutionnel ». ...

Selon Cybernews (29 septembre 2025), Noyb, ONG de défense de la protection des données en Europe, a déposé une plainte contre Whitebridge AI, une société basée en Lituanie, pour la vente de « rapports de réputation » générés par IA. La plainte accuse l’entreprise d’avoir scrapé des données de réseaux sociaux pour composer des rapports de réputation contenant des données sensibles: traits de personnalité, conseils de conversation, photos récupérées en ligne, croyances religieuses, consommation d’alcool, comportements « toxiques », presse négative, et signalements pour « contenu politique dangereux » ou « nudité sexuelle ». ...

Sur le blog de Talos Intelligence, un article propose un guide rapide destiné aux “référents cybersécurité” pour leurs amis et familles, afin de répondre à la question : « J’ai cliqué sur un lien suspect — et maintenant ? » 🛡️ Que faire en cas de clic sur un lien suspect Lorsqu’une personne clique sur un lien suspect, il est important de garder son calme et d’agir avec méthode pour limiter les risques. ...