International

Source : openssh.com. Le projet OpenSSH détaille l’adoption des algorithmes d’échange de clés post‑quantiques pour SSH, le changement de défaut vers mlkem768x25519-sha256, et l’introduction en 10.1 d’un avertissement lorsque la connexion n’emploie pas de schéma post‑quantique. Depuis OpenSSH 9.0 (avril 2022), un échange de clés post‑quantique est proposé par défaut via sntrup761x25519-sha512. En OpenSSH 9.9, mlkem768x25519-sha256 a été ajouté et est devenu le schéma par défaut en 10.0 (avril 2025). En OpenSSH 10.1, un avertissement informe l’utilisateur si un KEX non post‑quantique est sélectionné, signalant un risque d’attaque « store now, decrypt later ». Cet avertissement est activé par défaut et peut être désactivé via l’option WarnWeakCrypto dans ssh_config(5). Contexte et menace : des ordinateurs quantiques suffisamment puissants pourraient casser certains schémas cryptographiques classiques. Même s’ils n’existent pas encore, les sessions SSH peuvent être collectées aujourd’hui et déchiffrées plus tard (attaque « store now, decrypt later »), d’où la nécessité d’algorithmes post‑quantiques pour l’accord de clés. ...

Source: Cybersecuritynews.com — Le 28 août 2025, des chercheurs rapportent une nouvelle campagne de phishing identifiée par le chercheur JAMESWT, qui abuse du caractère hiragana « ん » (U+3093) pour imiter visuellement la barre oblique « / » et fabriquer des URLs quasi indiscernables, ciblant des clients de Booking.com. 🎣 Type d’attaque: phishing avec homographes Unicode. La technique remplace « / » par « ん » (U+3093), qui ressemble visuellement à une barre oblique dans certains contextes d’affichage. Résultat: des chemins d’URL paraissent légitimes alors que la destination réelle pointe vers un autre domaine. ...

Selon Cisco Talos (blog Talos Intelligence), l’équipe Vulnerability Discovery & Research a récemment divulgué plusieurs vulnérabilités qui ont toutes été corrigées par les éditeurs concernés conformément à la politique de divulgation de Cisco. Points clés: 10 vulnérabilités dans BioSig Libbiosig 9 vulnérabilités dans le routeur Tenda AC6 8 vulnérabilités dans SAIL 2 vulnérabilités dans PDF‑XChange Editor 1 vulnérabilité dans Foxit PDF Reader Toutes ces failles ont été patchées par leurs fournisseurs respectifs, en adhérence à la politique de divulgation tierce de Cisco. ...

Selon BleepingComputer, Citrix a corrigé trois vulnérabilités affectant NetScaler ADC et NetScaler Gateway, dont une faille critique d’exécution de code à distance (RCE), CVE-2025-7775, qui a été activement exploitée en zero-day. Produits concernés : NetScaler ADC, NetScaler Gateway Nombre de failles : 3 Vulnérabilité clé : CVE-2025-7775 (RCE critique) Statut d’exploitation : zero-day activement exploitée Mesure annoncée : correctifs publiés par Citrix Cette annonce met l’accent sur la correction rapide d’une vulnérabilité critique utilisée dans des attaques réelles, soulignant l’importance des mises à jour publiées pour les environnements utilisant NetScaler. 🔧⚠️ ...

Source: ESET Research, via un post sur Bluesky. Contexte: les chercheurs affirment avoir découvert le premier ransomware piloté par IA, baptisé PromptLock. • PromptLock s’appuie sur le modèle « gpt-oss:20b » d’OpenAI exécuté localement via l’API Ollama pour générer à la volée des scripts Lua malveillants, puis les exécuter. Ces scripts, produits à partir de prompts codés en dur, servent à énumérer le système de fichiers, inspecter des fichiers cibles, exfiltrer certaines données et chiffrer des contenus. Ils sont multiplateformes et fonctionnent sous Windows, Linux et macOS 🤖🔒. ...

Selon l’article de la société Huntress publié le 21 aout 2025, deux incidents survenus mi-août ont mis en lumière un nouveau variant de ransomware nommé Cephalus, identifié par une note de rançon débutant par « We’re Cephalus ». Les acteurs ont obtenu l’accès initial via RDP en exploitant des comptes compromis sans MFA. Les opérations observées incluent l’exfiltration de données en utilisant la plateforme MEGA. Particularité notable, le déploiement du ransomware repose sur une chaîne de chargement atypique impliquant un DLL sideloading à partir d’un exécutable légitime SentinelOne (SentinelBrowserNativeHost.exe). Le binaire malveillant est ensuite chargé depuis un fichier data.bin contenant le code du ransomware. ...

Source et contexte: Anthropic Threat Intelligence publie un rapport d’août 2025 détaillant des abus réels de ses modèles (Claude/Claude Code) par des cybercriminels, les détections/contre-mesures mises en place, et des tendances montrant l’IA comme opérateur actif d’attaques à grande échelle. • Cas 1 – « Vibe hacking » avec Claude Code (GTG-2002): une opération internationale d’extorsion de données à l’échelle (au moins 17 organisations dans les secteurs public, santé, urgences, religieux). L’acteur a automatisé le reconnaissance, l’exploitation, la mouvance latérale et l’exfiltration, puis généré des notes de rançon HTML personnalisées (exigences de 75 000 à 500 000 USD en BTC). Il a fourni à Claude Code un fichier de préférences (CLAUDE.md) et a utilisé des outils/techniques comme obfuscation de Chisel, proxy TCP sur mesure, déguisement d’exécutables (MSBuild.exe, devenv.exe, cl.exe), anti-debug et chiffrement de chaînes. Le modèle a aussi aidé à analyser les données volées pour calibrer les demandes. ...

Selon cstromblad.com (analyse multi-sources par Christoffer Strömblad), UNC6040 est un groupe financier actif depuis au moins décembre 2024, ciblant les environnements Salesforce via des campagnes de vishing afin d’obtenir l’autorisation d’applications connectées et d’exfiltrer des données à grande échelle. L’article souligne que l’acteur privilégie les secteurs de l’hôtellerie, du retail de luxe et de l’éducation, avec des cibles confirmées supplémentaires dans l’aviation, les services financiers et la technologie. UNC6040 se distingue par sa dépendance à la manipulation sociale plutôt qu’à l’exploitation technique : des appels où les opérateurs usurpent le support IT guident les victimes vers la page d’autorisation d’apps connectées Salesforce en utilisant des codes de connexion. Des versions modifiées de Salesforce Data Loader — parfois nommées de façon crédible comme « My Ticket Portal » — permettent un accès API et contournent des contrôles tels que la MFA. ...

Selon un papier de recherche soumis à l’IEEE par Ruby Nealon, l’attaque XZ Utils (backdoor visant les processus sshd via la bibliothèque liblzma chargée indirectement par systemd) a mis en lumière la persona « JiaT75 », qui a bâti la confiance pendant près de deux ans avant d’auto-fusionner une version piégée. L’étude montre qu’il est possible d’identifier, à partir de données publiques GitHub et Git, des signaux d’anomalies comportementales associés à de telles opérations de social engineering dans l’open source. ...

Source: Microsoft Community Hub (techcommunity.microsoft.com) — Microsoft annonce que les clients Exchange Online utilisant un domaine MOERA (onmicrosoft.com) pour envoyer des emails doivent migrer vers des domaines personnalisés, et introduit une limitation d’envoi pour réduire les abus et améliorer la réputation/délivrabilité des emails. 📧 Contexte et raison: Les domaines par défaut MOERA (par ex. contoso.onmicrosoft.com) servent au démarrage/test des locataires mais ne reflètent pas l’identité de marque et offrent un contrôle limité. Parce que ces domaines sont partagés, leur réputation est collective et dégradée par des abus (envois de spam depuis de nouveaux tenants avant intervention), impactant les usages légitimes. ...