International

Source: Center for Security Studies (CSS), ETH Zürich — Ce rapport (novembre 2025) cartographie et analyse les opérations cyber visant le secteur spatial dans le contexte de la guerre de Gaza (et recoupements avec Ukraine et Israël–Iran), en s’appuyant sur un jeu de données de 237 événements. Principaux constats: 237 opérations identifiées; 71% de DDoS; aucune compromission confirmée de satellites en orbite (impacts concentrés sur les segments utilisateur, contrôle et interfaces web). Au total 77 entités spatiales ciblées et 73 groupes impliqués, majoritairement des hacktivistes pro‑palestiniens; pic d’activité de 72 opérations durant la guerre Israël–Iran (juin 2025); effet limité sur le champ de bataille cinétique. ...

Selon GBHackers, un nouvel outil open source nommé KawaiiGPT est apparu sur GitHub, se présentant comme une version « kawaii » et non filtrée d’une IA, et comme un clone gratuit de « WormGPT ». KawaiiGPT fonctionne comme un wrapper: il ne calcule pas lui‑même mais relaie les réponses de DeepSeek, Gemini et Kimi‑K2. Il s’appuie sur une ingénierie inverse de wrappers d’API (provenant du projet Pollinations) pour accéder à ces modèles sans clés officielles, et peut être utilisé gratuitement sur Linux ou Termux sans inscription. ...

Selon RMF FM (rmf24.pl), les services polonais du Centralne Biuro Zwalczania Cyberprzestępczości (CBZC) de Cracovie ont arrêté un citoyen russe soupçonné d’attaques contre des boutiques en ligne, impliquant des intrusions et des manipulations de bases de données. L’homme a été interpellé le 16 novembre. Les autorités ont établi qu’il avait franchi illégalement la frontière polonaise en 2022 et obtenu le statut de réfugié en 2023. D’après le parquet, il aurait brisé les mécanismes de sécurité de magasins en ligne en exploitant des vulnérabilités (« luki w systemach »), puis accédé et interféré avec les bases de données stockées par ces services. ...

Source: ReversingLabs — Dans un billet de recherche, les auteurs détaillent comment des scripts bootstrap historiques liés à zc.buildout et à l’ancien écosystème setuptools/distribute exposent des paquets PyPI à un scénario de prise de contrôle de domaine. Des chercheurs de ReversingLabs ont identifié du code vulnérable dans des scripts bootstrap qui, lors de leur exécution, récupèrent et exécutent un installateur de « distribute » depuis python-distribute[.]org — un domaine abandonné et à vendre depuis 2014. Cette dépendance à un domaine codé en dur crée une fenêtre pour une prise de contrôle de domaine menant à l’exécution de code arbitraire si un attaquant rachète le domaine et y sert un script malveillant. ⚠️ ...

Source: BleepingComputer — GreyNoise Labs a annoncé « GreyNoise IP Check », un outil gratuit permettant de vérifier si une adresse IP a été vue dans des opérations de scan malveillant, notamment issues de botnets et de réseaux de proxies résidentiels. GreyNoise explique que les réseaux de proxies résidentiels ont fortement augmenté l’an dernier, transformant des connexions domestiques en points de sortie pour du trafic tiers. Cette situation survient soit via l’installation volontaire de clients de partage de bande passante, soit plus souvent via des malwares infiltrés par des applications ou extensions de navigateur douteuses qui transforment silencieusement les appareils en nœuds d’infrastructure. ...

Selon Interesting Engineering (23 novembre 2025), des chercheurs chinois ont publié le 5 novembre dans la revue à comité de lecture Systems Engineering and Electronics une simulation détaillant comment brouiller Starlink à l’échelle d’un théâtre d’opérations comparable à Taïwan. Les auteurs soulignent que l’obstacle majeur est la dynamique du réseau Starlink: des milliers de satellites LEO à géométrie changeante, des sauts de fréquence, un routage adaptatif et des liaisons utilisateur qui basculent rapidement entre plusieurs satellites. Cette nature mouvante rend le suivi et l’interférence des downlinks beaucoup plus difficiles que pour des systèmes GEO classiques. ...

Source et contexte — Truffle Security Co. publie un billet invité de Luke Marshall détaillant un scan exhaustif d’environ 5,6 millions de dépôts publics GitLab Cloud (initialisé le 10/09/2025) à l’aide de TruffleHog, qui a permis d’identifier 17 430 secrets « live » vérifiés et de récolter plus de 9 000 $ en primes, pour un coût d’infrastructure d’environ 770 $ et une durée d’exécution d’un peu plus de 24 h. ...

Selon Unit 42 (Palo Alto Networks), des modèles de langage malveillants « sans garde-fous » comme WormGPT 4 et KawaiiGPT sont désormais commercialisés ou librement accessibles, permettant de générer à la chaîne des leurres de phishing/BEC et du code de malware, matérialisant le dilemme « dual-use » de l’IA. • Contexte et définition. L’article qualifie de LLM malveillants les modèles entraînés/affinés pour des usages offensifs avec des garde-fous éthiques supprimés. Ils sont marketés sur des forums et Telegram, capables de générer des e-mails de phishing, écrire du malware (y compris polymorphe) et automatiser la reconnaissance, abaissant drastiquement la barrière de compétence et compressant les délais d’attaque. 🚨 ...

Source: Trend Micro (blog de recherche Trend Vision One). Contexte: poursuite de l’enquête sur l’attaque supply chain NPM du 15 septembre et nouveaux incidents signalés le 24 novembre avec des centaines de dépôts mentionnant Sha1‑Hulud: The Second Coming. L’analyse décrit un malware Shai‑hulud 2.0 ciblant les écosystèmes cloud et développeurs. Il vole des identifiants et secrets de AWS, GCP, Azure, ainsi que des tokens NPM et jetons GitHub, et exploite les services de gestion de secrets (AWS Secrets Manager, GCP Secret Manager, Azure Key Vault). Il met en place un C2 via GitHub Actions (création d’un dépôt contrôlé par l’attaquant sous le compte de la victime, déploiement d’un runner auto‑hébergé nommé SHA1HULUD, workflows de commande), et inclut un mécanisme destructif effaçant les données si le vol d’identifiants échoue. ☁️🪱 ...

Source: KELA Cyber — Mise à jour publiée le 27 novembre 2025. KELA confirme et étend son enquête initiale (27 mars 2025) ayant « démasqué » Rey, désormais validée par des reprises médiatiques dont un billet détaillé de Brian Krebs. L’équipe continue de suivre ses activités, notamment comme figure clé au sein des Scattered LAPSUS$ Hunters, et récapitule les liens OSINT qui associent Rey et son co-fondateur Pryx aux opérations du groupe Hellcat. ...