International

Selon Volexity (blog), l’acteur UTA0388, aligné sur la Chine, a mené entre juin et septembre 2025 des campagnes de spear phishing sophistiquées déployant le malware GOVERSHELL, avec un recours présumé aux LLM pour générer du contenu multilingue. • Contexte et cibles 🎯 UTA0388 cible des organisations en Amérique du Nord, en Asie et en Europe, avec un intérêt marqué pour les enjeux géopolitiques asiatiques, en particulier Taïwan. Les campagnes s’appuient sur des tactiques de « rapport‑building » (création de lien) et montrent des indices d’automatisation par LLM (fabrications absurdes, personas incohérents, ciblage inconsistant). ...

Selon The Record, publié le 8 octobre 2025, la présidente de la Commission européenne Ursula von der Leyen a appelé l’Union européenne à « s’équiper d’urgence d’une capacité stratégique » afin de répondre à la « guerre hybride » menée par la Russie. La présidente de la Commission européenne, Ursula von der Leyen, a averti que la Russie mène une campagne de cyberattaques, sabotage et provocations à travers l’Europe, qualifiant cette crise de « guerre hybride » qu’il faut prendre très au sérieux. ...

Source: Wiz (blog) — Wiz Research annonce l’open source de HoneyBee, un outil qui automatise la création de conteneurs et Docker Compose intentionnellement vulnérables pour reproduire des configurations cloud courantes et mal sécurisées. HoneyBee génère des Dockerfiles et manifests Docker Compose pour des applications cloud populaires (bases de données, services de stockage, web apps) en reproduisant des mauvaises configurations typiques comme l’authentification sans mot de passe et des paramètres trop permissifs. Les honeypots ainsi déployés sont isolés mais réalistes et conçus pour être observables 🐝. ...

Source: watchTowr Labs — Les chercheurs publient une analyse technique de la chaîne d’exploitation derrière CVE‑2025‑61882, une RCE pré‑authentifiée visant Oracle E‑Business Suite (EBS), après l’alerte officielle d’Oracle confirmant une exploitation active et l’impact sur les versions 12.2.3 à 12.2.14. — Contexte et impact Oracle a diffusé une alerte indiquant une vulnérabilité exploitable à distance sans authentification pouvant conduire à une exécution de code. watchTowr Labs a obtenu un PoC et a reconstitué la chaîne d’attaque, composée d’« au moins cinq » failles orchestrées, démontrant une maîtrise approfondie d’Oracle EBS et un large périmètre d’impact. — Chaîne d’exploitation (vue d’ensemble) ...

Selon runZero, plusieurs vulnérabilités liées à la fonctionnalité de scripting Lua de Redis ont été divulguées, avec des impacts allant de l’exécution de code à distance à la panne de service, et des mises à jour sont disponibles. Quatre avis GitHub Security Advisory sont cités: GHSA-4789-qfc9-5f9q, GHSA-m8fj-85cg-7vhp, GHSA-qrv7-wcrx-q5jp, GHSA-4c68-q8q8-3g4f. Les failles incluent: CVE-2025-49844 (CVSS 10.0): un adversaire distant à faible privilège peut, via un script Lua spécialement conçu manipulant le garbage collector, déclencher un use-after-free menant à une exécution de code à distance (RCE). CVE-2025-46817 (CVSS 7.0): un adversaire local à faible privilège peut causer un integer overflow menant potentiellement à de la RCE. CVE-2025-46818 (CVSS 6.0): un adversaire local peut manipuler différents objets Lua et exécuter du code arbitraire dans le contexte d’un autre utilisateur. CVE-2025-46819 (CVSS 6.3): un adversaire local peut lire des données out-of-bounds ou provoquer un DoS en crashant le serveur. Impact: la compromission permettrait à un adversaire d’exécuter du code arbitraire sur l’hôte vulnérable, pouvant conduire à une compromission complète du système. 🚨 ...

En mai 2025, l’ingénieur sécurité RyotaK de GMO Flatt Security a découvert une vulnérabilité critique (CVE-2025-59489) dans le moteur Unity affectant tous les jeux et applications produits depuis la version 2017.1[web:135][web:137][web:139]. Cette faille permet à une application malveillante sur le même appareil d’exploiter la gestion des intents sous Android pour injecter des arguments dans Unity Runtime. Un attaquant peut ainsi charger une bibliothèque partagée (.so) arbitraire et exécuter du code malveillant avec les droits de l’application Unity, impactant potentiellement l’intégrité et la confidentialité des données utilisateur. ...

Selon Socket (blog Socket.dev), des ex-mainteneurs historiques de l’infrastructure Ruby, dont André Arko et Martin Emde, ont lancé The Gem Cooperative (gem.coop), un miroir communautaire de RubyGems.org, après des tensions de gouvernance avec Ruby Central. Le contexte: Ruby Central a consolidé l’accès aux dépôts centraux et imposé des contrôles de sécurité renforcés — contrôle d’accès à privilèges minimaux, MFA et journalisation d’audit — retirant des accès privilégiés à des mainteneurs de longue date. Ruby Central affirme que ces changements s’alignent sur les bonnes pratiques de sécurité de la chaîne d’approvisionnement et qu’elle prépare des accords d’opérateur, mais la transition jugée abrupte a entamé la confiance d’une partie de la communauté. ...

Des milliers d’hommes nord-coréens, experts en technologie, utilisent l’intelligence artificielle pour usurper des identités, falsifier des CV et décrocher à distance des emplois très bien payés au sein de grandes entreprises américaines et internationales. Cette filière criminelle, déjà documentée par le FBI, la cybersécurité du secteur privé et l’ONU, a permis au régime de Kim Jong-un d’empocher jusqu’à un milliard de dollars sur cinq ans, alimentant notamment son programme nucléaire. ...

Source: manchicken (GitHub) — Le chercheur publie une divulgation responsable d’une vulnérabilité signalée à 1Password en octobre 2023 et autorisée à la publication via BugCrowd en janvier 2024, portant sur le comportement de 1Password CLI (op). • Nature de la vulnérabilité: une fois le coffre déverrouillé via 1Password CLI, la session reste active et est héritée par les processus enfants, sans nouvelle invite. Ce comportement permet à des composants de la chaîne d’outillage (ex. extensions ou scripts post‑installation) d’accéder aux secrets sans interaction supplémentaire. Le chercheur montre que les mots de passe sont récupérables en clair et que l’outil peut énumérer les coffres et les éléments. ...

Selon CYFIRMA, le paysage ransomware de septembre 2025 affiche une forte intensification des capacités techniques et opérationnelles, avec 504 victimes dans le monde et une concentration aux États-Unis. Les chiffres et cibles 🎯 504 victimes recensées mondialement en septembre 2025, dont 294 aux États-Unis. Secteurs principalement touchés : services professionnels, manufacture, services aux consommateurs. Qilin reste dominant, tandis que Incransom et Safepay progressent nettement. Évolutions techniques marquantes 🔧 Akira est passé de l’exploitation de CVE-2024-40766 à un contournement MFA via vol des seeds OTP sur VPN SonicWall. MalTerminal intègre GPT-4 pour la génération de charges utiles à l’exécution, créant des ransomwares adaptatifs qui contournent la détection statique. HybridPetya arme des bootkits UEFI en exploitant le contournement Secure Boot (CVE-2024-7344), avec chiffrement du MFT au niveau firmware pour une persistance pré-boot. CountLoader se présente comme une plateforme modulaire multi-langages (.NET, PowerShell, JavaScript) diffusant Cobalt Strike, AdaptixC2 et PureHVNC RAT, avec abus de LOLBins et chiffrement PowerShell à la volée. Opérations et acteurs 🕵️ ...