International

Selon la publication du 31/12/2025, une attaque baptisée “ConsentFix” (aussi appelée “AuthCodeFix”) exploite le flux OAuth 2.0 par code d’autorisation pour voler le code de redirection et obtenir des tokens sur Microsoft Entra. Découverte dans la nature par PushSecurity (évolution de ClickFix), une variante démontrée par John Hammond supprime même l’étape de copier-coller au profit d’un glisser‑déposer de l’URL contenant le code. Pourquoi cela fonctionne 🧩 L’attaquant construit une URI de connexion Entra visant le client “Microsoft Azure CLI” et la ressource “Azure Resource Manager”. L’utilisateur s’authentifie puis est redirigé vers un URI de réponse local (ex. http://localhost:3001) qui contient le paramètre sensible “code” (valide environ 10 minutes) et éventuellement “state”. En l’absence d’application écoutant sur localhost, le navigateur affiche une erreur, mais l’URL contient toujours le code que l’attaquant récupère. Il l’échange ensuite pour des tokens (access/ID/refresh) et accède à la ressource. Ce mécanisme explique pourquoi l’attaque semble contourner les exigences de conformité d’appareil et certaines politiques d’Accès conditionnel, car elle abuse d’un flux OAuth légitime. Détection et signaux 🔎 ...

Selon l’annonce du projet EvilNeko, l’outil vise à opérationnaliser les techniques de Browser‑in‑the‑Browser (BITB) pour les équipes rouges et aider les équipes bleues à les détecter. EvilNeko est présenté comme un projet permettant de passer à l’échelle l’infrastructure d’attaques BITB au-delà d’un seul utilisateur/session, en s’inspirant des travaux de Mr. d0x et des idées du projet EvilNoVNC. L’objectif est de fournir un moyen réaliste d’émuler ces techniques pour des tests autorisés et de contribuer à la détection côté défense. 🐱‍💻 ...

L’article cite une analyse technique de The Cybersec Guru et des publications sur Twitter/X de développeurs pour décrire une nouvelle piste de jailbreak du PS5. Des clés ROM du PS5 ont fuité en ligne durant le réveillon du Nouvel An. Selon The Cybersec Guru, ces clés relèvent du niveau de sécurité le plus fondamental de la console et sont immutables (non patchables), ce qui en fait un problème structurel pour Sony. ...

SecurityAffairs relaie un rapport de GreyNoise décrivant une campagne coordonnée visant des serveurs Adobe ColdFusion pendant les fêtes de Noël 2025. Un unique acteur aurait généré ~98 % du trafic depuis une infrastructure au Japon (CTG Server Limited), en exploitant plus de 10 CVE publiées entre 2023 et 2024, avec validation OAST via Interactsh et un vecteur principal en injection JNDI/LDAP. 🎯 Activité observée: GreyNoise a comptabilisé 5 940 requêtes malveillantes visant des vulnérabilités ColdFusion 2023–2024, avec un pic le 25 décembre 2025. Les cibles principales étaient situées aux États-Unis (4 044), en Espagne (753) et en Inde (128). Deux IP dominantes (134.122.136[.]119 et 134.122.136[.]96), hébergées par CTG Server Limited (AS152194), ont opéré de façon coordonnée et automatisée, partageant des sessions Interactsh et alternant plusieurs types d’attaques. ...

Selon KELA Cyber Intelligence Center, une série d’intrusions revendiquées en décembre 2025 par le groupe Handala a visé des responsables israéliens, avec une compromission limitée aux comptes Telegram, et non aux téléphones eux‑mêmes. • Attaque et impact. Handala a revendiqué le piratage de l’iPhone 13 de Naftali Bennett (“Operation Octopus”) et celui de l’iPhone de Tzachi Braverman (chef de cabinet de Netanyahu), affirmant détenir contacts, médias et conversations. KELA indique que la fuite provient de comptes Telegram: la majorité des « conversations » étaient des cartes de contact vides auto‑générées par la synchronisation; ~40 seulement contenaient des messages, peu substantiels. Bennett a confirmé un accès non autorisé à son Telegram, tout en assurant que son téléphone restait sûr; le bureau du Premier ministre a démenti pour Braverman. Tous les contacts correspondaient à des comptes Telegram actifs, confirmant l’origine Telegram plutôt qu’un accès complet aux appareils. ...

Source: BleepingComputer (Sergiu Gatlan), 30 décembre 2025, mise à jour le 2 janvier. L’ESA a confirmé une intrusion visant des serveurs externes à son réseau d’entreprise, liés à des activités d’ingénierie collaborative et contenant des informations non classifiées. 🚨 Selon des revendications publiées sur BreachForums, l’acteur malveillant dit avoir eu accès pendant une semaine aux serveurs JIRA et Bitbucket de l’ESA, avec à l’appui des captures d’écran. Il affirme avoir volé plus de 200 Go de données, incluant du code source, des pipelines CI/CD, des jetons API et d’accès, des documents confidentiels, des fichiers de configuration, des fichiers Terraform, des fichiers SQL et des identifiants en dur. 🛰️ ...

Source: CA/Browser Forum — Le Forum annonce la fin de la période IPR pour le ballot CSC‑31 « Maximum Validity Reduction » sans exclusion de droits, l’adoption au 17 novembre 2025, et la publication des Code Signing Baseline Requirements v3.10.0. La mise à jour des « Baseline Requirements for the Issuance and Management of Publicly‑Trusted Code Signing Certificates » réduit la validité maximale des certificats de 39 mois à 460 jours, avec entrée en vigueur le 1er mars 2026. La redline et la version publiée sont disponibles (PDF et comparaison GitHub). ...

Dans un billet technique publié le 1 janvier 2026, un chercheur en sécurité raconte comment il a abouti à une chaîne d’exploits menant à une RCE pré-auth sur LogPoint SIEM/SOAR après une première divulgation responsable de failles majeures découverte en 24 heures. Le contexte: l’analyse commence par un accès en labo à l’appliance (basée sur Ubuntu), la récupération des sources Python (en partie livrées en .pyc) via décompilation, et la cartographie de l’architecture: un backend historique en Python sur l’hôte et des microservices Java en Docker pour la partie SOAR. ...

Selon un billet explicatif d’un développeur du noyau Linux, publié dans une série dédiée au processus CVE du noyau, l’équipe sécurité du kernel décrit sa philosophie et ses pratiques de traitement des vulnérabilités. L’équipe sécurité du noyau Linux est une équipe de développeurs bénévoles et indépendants des entreprises qui traite de manière réactive les rapports de bugs de sécurité, vise des corrections rapides et les intègre immédiatement dans les branches publiques (mainline et stables) sans aucune annonce. L’équipe CVE est distincte et n’intervient qu’ensuite pour qualifier et attribuer un identifiant si nécessaire. ...

Help Net Security publie une synthèse des tendances récentes autour du ransomware (bilan 2024 et perspectives 2025), compilant des données de plusieurs acteurs du secteur et mettant en lumière l’essor des attaques, l’usage accru de l’IA par les groupes et la baisse des paiements. • Dynamique générale: Les menaces de ransomware s’intensifient en ampleur, sophistication et impact. Les week-ends et jours fériés restent des fenêtres privilégiées pour les intrusions (moins de surveillance des systèmes d’identité). Le nombre de victimes publiées sur des sites d’extorsion a explosé (3 734 listées entre janvier et juin, +20% vs S2 2024, +67% en glissement annuel). La chute de LockBit et AlphV a créé un vide, entraînant une multiplication d’acteurs moins coordonnés et plus imprévisibles. ...