International

Source: Unit 42 (Palo Alto Networks). Les chercheurs décrivent trois vulnérabilités critiques dans le firmware du routeur TOTOLINK X6000R (V9.4.0cu.1360B20241207) permettant à des attaquants non authentifiés d’exécuter des commandes (jusqu’aux privilèges root), d’intercepter le trafic et de manipuler des fichiers système critiques. TOTOLINK a publié un correctif dans le firmware V9.4.0cu.1498B20250826. Les failles résident dans l’endpoint central du panneau web, /cgi-bin/cstecgi.cgi. • CVE-2025-52905: injection d’arguments due à une liste de blocage incomplète qui ne filtre pas le caractère tiret (-). • CVE-2025-52906: injection de commandes non authentifiée dans la fonction setEasyMeshAgentCfg via le paramètre agentName, permettant l’exécution de commandes avec les privilèges du serveur web. • CVE-2025-52907: contournement de sécurité affectant plusieurs composants, dont setWizardCfg, autorisant des écritures arbitraires de fichiers en contournant les contrôles de validation. ...

L’editeur d’intelligence artificielle Anthropic (red.anthropic.com) estime que l’IA atteint un point d’inflexion en cybersécurité et dévoile Claude Sonnet 4.5, une version renforcée pour la découverte et la remédiation de vulnérabilités, évaluée sur des benchmarks externes et testée avec des partenaires. 🛡️ Contexte et positionnement L’IA devient « utile en pratique » pour les tâches cyber, avec des progrès rapides observés sur la dernière année (ex. reproduction simulée de l’attaque Equifax 2017, performances en compétitions CTF, contributions à la découverte de vulnérabilités en interne, usages lors du DARPA AI Cyber Challenge). Anthropic affirme vouloir accélérer l’usage défensif de l’IA afin de ne pas laisser l’avantage aux attaquants, en investissant dans des compétences comme la découverte de vulnérabilités et le patching. 🚀 Produit et orientation cyber ...

Selon BleepingComputer, Broadcom a corrigé une vulnérabilité d’élévation de privilèges de gravité élevée affectant VMware Aria Operations et VMware Tools, qui faisait l’objet d’exploits zero‑day depuis octobre 2024. Broadcom a corrigé une vulnérabilité d’élévation de privilèges locale critique (CVE-2025-41244) dans VMware Aria Operations et VMware Tools, exploitée comme zero-day depuis octobre 2024 par le groupe chinois UNC5174. Cette faille permet à un utilisateur local non privilégié d’exécuter du code avec des privilèges root en plaçant un binaire malveillant dans des chemins accessibles en écriture (notamment /tmp/httpd), exploité ensuite par les mécanismes de découverte de services VMware via des expressions régulières trop larges. ...

Selon Censys (blog), des chercheurs ont identifié une campagne de phishing visant des utilisateurs de portefeuilles matériels Trezor et Ledger, majoritairement hébergée sur Cloudflare Pages, avec des tentatives de dissimulation via des fichiers robots.txt. La campagne comprend plus de 60 pages de phishing usurpant Trezor et Ledger, principalement sur Cloudflare Pages. Le ou les acteurs ont tenté de bloquer l’indexation par des sites de signalement de phishing via des entrées spécifiques dans robots.txt, montrant une faible sophistication technique. 🎣 ...

Selon Koi Security, des chercheurs ont identifié un deuxième package serveur MCP malveillant en une semaine, révélant une menace grandissante de chaîne d’approvisionnement visant les outils de développement IA. Le package npm @lanyer640/mcp-runcommand-server, d’abord publié comme légitime, a été ultérieurement armé tout en conservant ses fonctionnalités pour gagner la confiance et contourner les tests. Le package implémente une architecture à double porte dérobée: (1) un hook preinstall s’exécutant lors de npm install/npx qui ouvre immédiatement un shell inversé vers 45.115.38.27:2333 ; (2) une backdoor runtime qui, au lancement du serveur MCP, génère un shell interactif caché avec connexion TCP persistante. Malgré ces capacités, la fonctionnalité légitime de run_command est maintenue pour échapper à la détection. ...

Selon SEKOIA (blog.sekoia.io), des campagnes de smishing exploitent des routeurs cellulaires industriels Milesight via CVE-2023-43261 et une API non authentifiée pour envoyer des SMS malveillants, ciblant principalement des utilisateurs belges et européens. Les chercheurs décrivent une exploitation du point de terminaison /cgi via des requêtes POST permettant l’envoi de SMS sans authentification. Les acteurs utilisent des payloads JSON avec des paramètres pour accéder aux fonctions query_outbox et query_inbox. Plus de 572 routeurs vulnérables ont été confirmés parmi 19 000 dispositifs exposés publiquement, avec des signes d’abus remontant à février 2022. ...

Selon Infoblox (blog Threat Intelligence), des chercheurs décrivent l’acteur « Detour Dog » qui opère depuis février 2020 un vaste réseau d’environ 30 000 sites compromis sur 584 TLDs, utilisant des enregistrements DNS TXT comme canal de commande et contrôle (C2). D’abord dédié aux redirections vers des arnaques, l’opération s’est transformée pour distribuer des malwares, notamment Strela Stealer, via un système de livraison basé sur le DNS. Les requêtes DNS côté serveur, invisibles pour les visiteurs, conditionnent des redirections ou l’exécution de code distant selon la localisation et le type d’appareil. L’infrastructure s’appuie sur du bulletproof hosting et plusieurs TDS pour la persistance, et se reconstitue en quelques heures après perturbation. ...

Selon BleepingComputer, environ 48 800 équipements Cisco Adaptive Security Appliance (ASA) et Firewall Threat Defense (FTD) exposés sur le web public sont vulnérables à deux vulnérabilités actuellement exploitées activement par des attaquants. Près de 50 000 appliances Cisco ASA et FTD exposées sur Internet sont vulnérables à deux failles majeures exploitées activement : CVE-2025-20333 (dépassement de tampon permettant une exécution de code à distance après authentification) et CVE-2025-20362 (contournement d’authentification, accès non autorisé à des endpoints VPN). L’exploitation combinée de ces failles autorise une prise de contrôle complète de l’équipement sans authentification préalable, mettant en danger la confidentialité, l’intégrité et la disponibilité des systèmes protégés. ...

Selon GBHackers, des chercheurs en cybersécurité ont mis au jour une campagne où des acteurs malveillants utilisent des publicités frauduleuses et l’empoisonnement SEO pour distribuer de faux installateurs Microsoft Teams contenant le malware backdoor Oyster. Leurre : faux installateurs de Microsoft Teams destinés aux utilisateurs cherchant un téléchargement légitime via des moteurs de recherche. Méthodes : publicités sponsorisées et SEO poisoning qui positionnent des liens frauduleux sur des requêtes comme « teams download ». Charge utile : backdoor Oyster, permettant aux attaquants d’obtenir un accès à distance. Des chercheurs en cybersécurité ont identifié une campagne sophistiquée exploitant des publicités malveillantes et un empoisonnement SEO pour distribuer de faux installateurs Microsoft Teams contenant le malware de porte dérobée Oyster (alias Broomstick). Les utilisateurs cherchant à télécharger Teams via les moteurs de recherche tombent sur des annonces frauduleuses redirigeant vers des sites usurpant l’apparence des pages officielles, comme teams-install[.]top, qui délivrent un fichier MSTeamsSetup.exe infecté. ...

Un acteur malveillant a publié sur npm un package frauduleux nommé « postmark-mcp » se faisant passer pour Postmark, afin de voler des emails via un mécanisme de BCC caché. Postmark précise n’avoir aucun lien avec ce package et que ses API et services officiels ne sont pas affectés. L’attaquant a d’abord établi la confiance en publiant plus de 15 versions du package, puis a introduit une porte dérobée dans la version 1.0.16 qui ajoutait en BCC les emails à un serveur externe. Cette activité visait à exfiltrer des contenus d’emails envoyés par les utilisateurs du package. ...