International

Selon NETSCOUT ASERT, entre février et septembre 2025, le groupe Keymous+ a mené une vaste campagne DDoS multivecteurs contre 21 secteurs dans 15 pays, avec un pic notable lors d’une opération conjointe avec DDoS54 en avril. — Contexte et portée — Période: février à septembre 2025 Volume: 249 attaques Ciblage: 21 secteurs (télécoms, finance, gouvernement, manufacturing, etc.) dans 15 pays Positionnement: ciblage opportuniste avec timing stratégique autour d’événements géopolitiques et de pics de demande sectoriels — Techniques et vecteurs — ...

Selon The Verge, une nouveauté indique que les travailleurs de la cybersécurité peuvent commencer à créer leurs propres agents IA Security Copilot. 🛠️ Cette information met en avant la possibilité pour les professionnels de concevoir des agents IA personnalisés dans Security Copilot. L’accent est mis sur la création par les équipes cybersécurité elles‑mêmes, suggérant une ouverture de cette capacité aux praticiens du domaine. Type d’article: annonce courte d’une capacité produit permettant la création d’agents IA par les utilisateurs finaux. ...

Selon une publication technique de ProjectBlack, des chercheurs ont mis au jour une vulnérabilité critique de type Local File Inclusion (LFI) non authentifiée affectant la plateforme de suivi GPS Traccar sur Windows, permettant la lecture de fichiers arbitraires et l’exposition d’identifiants sensibles. La faille provient du composant DefaultOverrideServlet de Traccar, où la méthode getResource() passe le paramètre contrôlé par l’utilisateur à Jetty Resource.addPath() sans validation suffisante des séquences d’échappement spécifiques à Windows. Bien que Jetty URIUtil.canonicalPath() bloque les traversées de chemin avec des slashs, il ne neutralise pas correctement les backslashes sous Windows, ouvrant la voie à une LFI non authentifiée. ...

Source : Check Point Research — Analyse technique d’actualité sur Rhadamanthys v0.9.2, un infostealer multi-modulaire en évolution, dérivé de Hidden Bee et désormais positionné comme une offre malware-as-a-service avec branding « RHAD security » et abonnements (299–499 $/mois). La version 0.9.2 montre une forte professionnalisation : mimétisme des messages d’avertissement anti-sandbox de Lumma, global mutex pour éviter les exécutions multiples, empreintes navigateur enrichies et ciblage élargi de portefeuilles de cryptomonnaies. Le modèle économique est affiné (paliers d’abonnement) et l’écosystème modularisé via des plugins Lua. ...

Source: Unit 42 (Palo Alto Networks). Les chercheurs décrivent trois vulnérabilités critiques dans le firmware du routeur TOTOLINK X6000R (V9.4.0cu.1360B20241207) permettant à des attaquants non authentifiés d’exécuter des commandes (jusqu’aux privilèges root), d’intercepter le trafic et de manipuler des fichiers système critiques. TOTOLINK a publié un correctif dans le firmware V9.4.0cu.1498B20250826. Les failles résident dans l’endpoint central du panneau web, /cgi-bin/cstecgi.cgi. • CVE-2025-52905: injection d’arguments due à une liste de blocage incomplète qui ne filtre pas le caractère tiret (-). • CVE-2025-52906: injection de commandes non authentifiée dans la fonction setEasyMeshAgentCfg via le paramètre agentName, permettant l’exécution de commandes avec les privilèges du serveur web. • CVE-2025-52907: contournement de sécurité affectant plusieurs composants, dont setWizardCfg, autorisant des écritures arbitraires de fichiers en contournant les contrôles de validation. ...

L’editeur d’intelligence artificielle Anthropic (red.anthropic.com) estime que l’IA atteint un point d’inflexion en cybersécurité et dévoile Claude Sonnet 4.5, une version renforcée pour la découverte et la remédiation de vulnérabilités, évaluée sur des benchmarks externes et testée avec des partenaires. 🛡️ Contexte et positionnement L’IA devient « utile en pratique » pour les tâches cyber, avec des progrès rapides observés sur la dernière année (ex. reproduction simulée de l’attaque Equifax 2017, performances en compétitions CTF, contributions à la découverte de vulnérabilités en interne, usages lors du DARPA AI Cyber Challenge). Anthropic affirme vouloir accélérer l’usage défensif de l’IA afin de ne pas laisser l’avantage aux attaquants, en investissant dans des compétences comme la découverte de vulnérabilités et le patching. 🚀 Produit et orientation cyber ...

Selon BleepingComputer, Broadcom a corrigé une vulnérabilité d’élévation de privilèges de gravité élevée affectant VMware Aria Operations et VMware Tools, qui faisait l’objet d’exploits zero‑day depuis octobre 2024. Broadcom a corrigé une vulnérabilité d’élévation de privilèges locale critique (CVE-2025-41244) dans VMware Aria Operations et VMware Tools, exploitée comme zero-day depuis octobre 2024 par le groupe chinois UNC5174. Cette faille permet à un utilisateur local non privilégié d’exécuter du code avec des privilèges root en plaçant un binaire malveillant dans des chemins accessibles en écriture (notamment /tmp/httpd), exploité ensuite par les mécanismes de découverte de services VMware via des expressions régulières trop larges. ...

Selon Censys (blog), des chercheurs ont identifié une campagne de phishing visant des utilisateurs de portefeuilles matériels Trezor et Ledger, majoritairement hébergée sur Cloudflare Pages, avec des tentatives de dissimulation via des fichiers robots.txt. La campagne comprend plus de 60 pages de phishing usurpant Trezor et Ledger, principalement sur Cloudflare Pages. Le ou les acteurs ont tenté de bloquer l’indexation par des sites de signalement de phishing via des entrées spécifiques dans robots.txt, montrant une faible sophistication technique. 🎣 ...

Selon Koi Security, des chercheurs ont identifié un deuxième package serveur MCP malveillant en une semaine, révélant une menace grandissante de chaîne d’approvisionnement visant les outils de développement IA. Le package npm @lanyer640/mcp-runcommand-server, d’abord publié comme légitime, a été ultérieurement armé tout en conservant ses fonctionnalités pour gagner la confiance et contourner les tests. Le package implémente une architecture à double porte dérobée: (1) un hook preinstall s’exécutant lors de npm install/npx qui ouvre immédiatement un shell inversé vers 45.115.38.27:2333 ; (2) une backdoor runtime qui, au lancement du serveur MCP, génère un shell interactif caché avec connexion TCP persistante. Malgré ces capacités, la fonctionnalité légitime de run_command est maintenue pour échapper à la détection. ...

Selon SEKOIA (blog.sekoia.io), des campagnes de smishing exploitent des routeurs cellulaires industriels Milesight via CVE-2023-43261 et une API non authentifiée pour envoyer des SMS malveillants, ciblant principalement des utilisateurs belges et européens. Les chercheurs décrivent une exploitation du point de terminaison /cgi via des requêtes POST permettant l’envoi de SMS sans authentification. Les acteurs utilisent des payloads JSON avec des paramètres pour accéder aux fonctions query_outbox et query_inbox. Plus de 572 routeurs vulnérables ont été confirmés parmi 19 000 dispositifs exposés publiquement, avec des signes d’abus remontant à février 2022. ...