International

Selon BleepingComputer, une campagne de diffusion de packages malveillants touche l’écosystème RubyGems depuis mars 2023. L’article rapporte que 60 gems Ruby malveillants embarquent du code de vol d’identifiants et ont cumulé plus de 275 000 téléchargements. Les artefacts ciblent spécifiquement des comptes développeurs, augmentant le risque de compromission d’environnements de développement et d’accès à des dépôts ou services associés. Les points clés mis en avant sont : Vecteur: diffusion via l’écosystème RubyGems (packages malveillants). Capacité: exfiltration d’identifiants (credential stealing). Période: activité observée depuis mars 2023. Impact: large exposition avec un volume élevé de téléchargements (275 000+), augmentant la surface d’attaque au sein des chaînes de développement. Il s’agit d’un article de presse spécialisé visant à signaler une menace active et à informer sur son ampleur et sa cible principale. ...

Contexte: Selon Hunt.io, une campagne coordonnée attribuée à APT Sidewinder cible des organismes gouvernementaux et militaires avec des pages de connexion Zimbra factices. L’acteur mène une campagne de phishing de grande ampleur contre des institutions en Bangladesh, Népal, Turquie et Pakistan, en usurpant l’identité d’agences publiques et de sous-traitants de défense afin de collecter des identifiants. Les pages trompeuses imitent des portails Zimbra et s’appuient sur des services d’hébergement gratuits (Netlify, Pages.dev). 🎯 ...

Selon Darktrace (billet de blog), des vulnérabilités d’Ivanti Endpoint Manager Mobile — CVE-2025-4427 et CVE-2025-4428 — sont activement exploitées dans plusieurs environnements clients par l’acteur lié à la Chine UNC5221. L’enquête met en évidence une chaîne d’attaque structurée combinant validation d’exploit, livraison de charge utile et récupération de commandes. • Points clés: exploitation active de CVE-2025-4427/CVE-2025-4428 sur Ivanti EPMM, attribution à UNC5221 (China‑nexus), déploiement du malware KrustyLoader via AWS S3, et usage de pastebin/dpaste pour des charges dynamiques. Un chevauchement d’infrastructure avec l’exploitation de SAP NetWeaver CVE-2025-31324 suggère des activités coordonnées. ...

Selon The Register, dans le cadre de la conférence Black Hat, Microsoft pousse l’abandon des mots de passe au profit de la biométrie Windows Hello, mais des chercheurs sponsorisés par le gouvernement allemand ont découvert une faille critique dans son implémentation en entreprise. La vulnérabilité permettrait à un administrateur malveillant — ou à un compte admin compromis — d’injecter de nouveaux scans faciaux dans le système Windows Hello. 🔓 Les éléments concernés sont la biométrie Windows Hello et spécifiquement son implémentation pour les environnements d’entreprise. ...

Source : Talos Intelligence (blog de Cisco Talos). Des chercheurs présentent une chaîne d’attaque touchant Dell ControlVault3, une solution de sécurité matérielle largement déployée sur des laptops Dell, menant à l’exécution de code arbitraire, à l’altération de l’authentification biométrique et à une compromission jusqu’au niveau SYSTEM sur Windows. • Découvertes clés : le déchiffrement du firmware via des clés AES codées en dur, la possibilité d’implants persistants survivant aux réinstallations du système, et le contournement de l’authentification par empreinte Windows Hello. Les organisations utilisant des ordinateurs Dell avec ControlVault3 sont invitées à mettre en place des capacités de détection et une surveillance renforcée. 🔐⚠️ ...

Source: Embrace The Red (blog) — Des chercheurs en sécurité décrivent des vulnérabilités critiques de prompt injection dans l’agent OpenHands qui permettent une exfiltration de données zéro‑clic en abusant du rendu d’images pour extraire des tokens GitHub et d’autres secrets. 🚨 Points clés Type d’attaque: prompt injection avec la « Lethal Trifecta » (Markdown + rendu d’images + exfiltration). Impact: exfiltration de GITHUB_TOKEN et d’autres données sensibles depuis l’environnement conteneurisé d’OpenHands. État du correctif: vulnérabilité non corrigée malgré 148 jours de divulgation responsable. 🔧 Détails techniques ...

Selon Ars Technica, Google a divulgué que son instance Salesforce a été compromise en juin, deux mois après que Google lui‑même a alerté sur une campagne de masse visant les clients Salesforce par ingénierie sociale, menée par des acteurs financiers. Les attaquants ne passent pas par une faille logicielle mais par des appels téléphoniques 📞: ils se font passer pour l’IT du client et demandent de lier une application externe à l’instance Salesforce. Ils obtiennent de l’employé le code de sécurité à 8 chiffres requis par l’interface, qu’ils utilisent ensuite pour lier l’app et accéder à l’instance et aux données stockées. Cette méthode abuse d’une fonctionnalité de liaison d’apps tierces de Salesforce. ...

Selon la référence fournie (Socket.dev, blog), npm lance « Trusted Publishing » basé sur OpenID Connect (OIDC) pour tous les utilisateurs, afin de sécuriser la publication de packages JavaScript dans un contexte de récentes attaques de supply chain ayant exploité des tokens de mainteneurs compromis. 🔐 Points clés: Passage à des identifiants éphémères et cryptographiquement sécurisés qui expirent après chaque publication, évitant les tokens longue durée en CI/CD. Génération automatique d’attestations de provenance (preuve cryptographique de l’identité du publieur et des métadonnées d’environnement de build) sans nécessiter l’option --provenance. Objectif: réduire les risques d’attaques de la chaîne d’approvisionnement liés au vol/abus de secrets dans les pipelines. 🧰 Intégration et prérequis: ...

Selon Embrace The Red, des chercheurs ont démontré une vulnérabilité critique dans l’agent IA OpenHands permettant, via prompt injection, une exécution de code à distance (RCE) et la prise de contrôle persistante de l’agent en un « ZombAI » 🚨. Sur le plan technique, l’attaque insère des instructions malveillantes dans des contenus web que l’agent traite. Lorsqu’OpenHands visite un site contrôlé par l’attaquant, il suit ces instructions pour télécharger un malware (payload similaire à ceux observés dans des exploits visant Anthropic Claude), l’exécuter localement, puis établir une connexion à un serveur de C2 🤖. ...

Selon une analyse publiée sur zeifan.my, un pilote Windows malveillant présente une vulnérabilité d’élévation de privilèges de sévérité élevée (CVSS 8.8), avec des capacités de manipulation du registre et d’accès disque brut. L’étude décrit trois interfaces de périphérique exposées par le pilote (\Device\wogui, \Device\wowrt, \Device\wowreg001) et leurs gestionnaires IRP, qui ouvrent la voie à des actions critiques. Les vulnérabilités clés incluent la suppression arbitraire de clés de registre HKLM, la modification de l’entrée BootExecute pour la persistance, et des lectures disque non restreintes au niveau secteur, permettant potentiellement de contourner des contrôles de sécurité. ...