International

🗓️ Contexte Article publié le 29 avril 2026 par Bloomberg (Patrick Howell O’Neill), basé sur les conclusions de la firme de cybersécurité Gambit Security. L’opération s’inscrit dans un contexte géopolitique tendu : blocus naval américain de Cuba, raid américain au Venezuela, et décision de l’administration Trump de suspendre les livraisons de pétrole à Cuba. 🎯 Cible et impact Les attaquants ont compromis l’ambassade cubaine à Washington, DC, accédant aux boîtes mail de 68 officiels, dont : ...

🌐 Contexte Publié le 1 mai 2026 sur le site de la CISA, ce document est une guidance conjointe co-rédigée par l’ASD/ACSC (Australie), la CISA et la NSA (États-Unis), le Centre canadien pour la cybersécurité, le NCSC-NZ (Nouvelle-Zélande) et le NCSC-UK (Royaume-Uni). Il s’adresse aux gouvernements, opérateurs d’infrastructures critiques et acteurs industriels qui conçoivent, développent, déploient ou opèrent des systèmes d’IA agentique basés sur des LLM. 🤖 Définition et périmètre Les systèmes d’IA agentique se distinguent de l’IA générative classique par leur capacité à agir de manière autonome, à planifier sur le long terme, à atteindre des objectifs sous-spécifiés et à créer des sous-agents. Ils intègrent des LLM, des outils externes, des sources de données, des mémoires et des workflows de planification. ...

🏛️ Contexte Publié le 1er mai 2026 sur le blog officiel du NCSC (National Cyber Security Centre, Royaume-Uni), ce billet est signé par Ollie Whitehouse, CTO du NCSC. Il s’inscrit dans une série de publications sur les capacités offensives de l’IA et la résilience cyber. ⚠️ Menace identifiée Le NCSC constate que l’intelligence artificielle, utilisée par des individus suffisamment qualifiés, est désormais capable d’exploiter la dette technique à grande échelle et à grande vitesse dans l’ensemble de l’écosystème technologique. Cette dette technique — accumulée dans les logiciels open source, commerciaux, propriétaires et SaaS — constitue une surface d’attaque latente massive. ...

🔍 Contexte Source : dépôt GitHub public Neo23x0/auditd, publié le 3 mai 2026. Il s’agit d’un projet open source sous licence Apache-2.0, activement maintenu, avec 1 800 étoiles et 302 forks. 🛠️ Description du projet Le projet fournit une configuration auditd de référence (best-practice) pour les distributions Linux majeures. L’objectif est de collecter une télémétrie de sécurité large et réutilisable, sans intégrer la logique de détection directement dans les règles auditd. ...

🔍 Contexte Publié le 2 mai 2026 sur le blog de Calif (blog.calif.io), cet article technique détaille la découverte et l’exploitation d’une vulnérabilité use-after-free (UAF) dans la fonction unserialize() de PHP, présente depuis PHP 5.1 (2005) et toujours exploitable dans PHP 8.5.5. La découverte s’inscrit dans le cadre du projet MAD Bugs (Month of AI-Discovered Bugs), combinant modèles d’IA (Claude) et expertise humaine. 🐛 La vulnérabilité Le bug réside dans zend_user_unserialize() (fichier Zend/zend_interfaces.c), le point de dispatch pour Serializable::unserialize(). Contrairement à tous les autres points de dispatch utilisateur (__wakeup, __unserialize, __destruct), cette fonction omet d’incrémenter BG(serialize_lock), ce qui permet à un appel récursif à unserialize() de partager le var_hash externe. ...

🌐 Contexte Publié en mars 2026 par la Fédération Internationale des Journalistes (IFJ), ce rapport technique a été rédigé par Samar Al Halal (ingénieure en sécurité numérique) et révisé par Lukasz Olejnik. Il s’appuie sur des entretiens conduits entre août et septembre 2025 avec neuf experts en cybersécurité, analystes forensiques et journalistes, ainsi que sur plus de 70 sources secondaires couvrant la période 2021-2025. 🎯 Périmètre et méthodologie L’étude couvre 10 pays principaux (Inde, Pakistan, Kenya, Italie, Serbie, Brésil, Mexique, El Salvador, Liban, Jordanie) et des insights techniques sur Israël/Palestine et Russie/Biélorussie. Elle documente quatre couches techniques de surveillance : ...

🔍 Contexte Publié le 30 avril 2026 par l’Acronis Threat Research Unit (TRU), ce rapport documente des campagnes actives d’abus des plateformes de distribution IA Hugging Face et ClawHub (écosystème OpenClaw) pour la livraison de malwares déguisés en modèles, datasets et extensions légitimes. 🎯 Vecteurs d’attaque principaux ClawHub / OpenClaw 575 skills malveillants identifiés, distribués par 13 comptes développeurs Deux acteurs principaux : hightower6eu (334 skills, 58%) et sakaen736jih (199 skills, 35%) Ciblage cross-platform : Windows et macOS Technique clé : indirect prompt injection — des instructions malveillantes cachées dans des fichiers SKILL.md ou README poussent les agents IA à exécuter des actions malveillantes Les skills instruisent les utilisateurs à télécharger des archives protégées par mot de passe et des binaires non vérifiés depuis GitHub Hugging Face Utilisé comme infrastructure de staging dans des chaînes d’infection multi-étapes Campagne ITHKRPAW : ciblage du secteur financier et d’entités au Vietnam, usage de Cloudflare Workers pour déployer un script PowerShell dropper, payload omni-agent-v4.exe déguisé en microsoft-update-assist.exe Campagne FAKESECURITY : script batch CDC1.bat avec blob PowerShell encodé, dropper multi-étapes avec injection de processus dans explorer.exe, payload final déguisé en Windows Defender 🛠️ Techniques observées Social engineering via des noms de dépôts attractifs et README bien rédigés Obfuscation : encodage base64, XOR (clé 30 octets, clé 0xF1), chaînes déchiffrées à l’exécution In-memory execution et process injection dans explorer.exe Persistence : tâches planifiées (WindowsSystemService, RuntimeBrokerService), clés Run registry Évasion : exclusions Windows Defender, suppression Zone.Identifier (Mark-of-the-Web), mutex C2 chiffré : canal AES-CBC sur HTTPS vers velvet-parrot.com:443 Dead-drop resolver via bot Telegram (t.me/dusty_vintage) Payload macOS : script shell téléchargé depuis IP 91.92.242.30, suppression des attributs étendus (xattr -c) 🦠 Payloads identifiés AMOS Stealer : infostealer macOS vendu en MaaS via Telegram Trojan (binaire Windows packé avec VMProtect) Cryptominer : déposé comme svchost.exe / RuntimeBroker.exe Loader : ClawHub-DependencyInstaller.exe avec déchiffrement AES-CBC en mémoire RATs, infostealers, loaders divers sur Hugging Face (Windows, Linux, Android) 📌 Type d’article Il s’agit d’une publication de recherche technique produite par Acronis TRU, visant à documenter et quantifier l’abus des écosystèmes IA comme nouveaux vecteurs de distribution de malwares, avec fourniture d’IOCs exploitables. ...

🔍 Contexte Le 16 avril 2025, l’équipe de recherche de Cybernews a découvert un serveur exposé appartenant à un acteur malveillant opérant le marketplace de cartes bancaires volées Jerry’s Store. L’article, publié le 1er mai 2026, détaille les mécanismes de cette fuite et les opérations du groupe. 💥 Incident Les opérateurs de Jerry’s Store ont utilisé Cursor, un environnement de développement assisté par IA développé par la société américaine Anysphere, pour configurer leur serveur et leurs tableaux de bord administrateurs. L’IA a généré un code défaillant créant un répertoire web ouvert sans authentification, exposant ainsi l’ensemble des données. ...

🔍 Contexte Publié le 29 avril 2026 par Wiz (Benjamin Read, Merav Bar, Shay Berkovich, Gili Tikochinski), cet article documente une opération de supply chain active baptisée “Mini Shai Hulud”, attribuée avec haute confiance au groupe TeamPCP. 🎯 Mécanisme d’attaque Des versions malveillantes de packages npm légitimes de l’écosystème SAP ont été publiées avec un script preinstall injectant setup.mjs, exécuté automatiquement lors de npm install. Ce dropper télécharge le runtime Bun puis exécute un payload obfusqué (execution.js), permettant l’exécution de code attaquant avant la fin de l’installation. ...

🔍 Contexte Publié le 29 avril 2026 sur le blog de Xint (xint.io), cet article est une divulgation publique coordonnée de CVE-2026-31431, surnommé « Copy Fail », découvert par le chercheur Taeyang Lee (Theori) avec l’assistance de l’outil d’analyse automatisée Xint Code. La vulnérabilité a été signalée à l’équipe de sécurité du noyau Linux le 23 mars 2026 et corrigée en mainline le 1er avril 2026. 🐛 Nature de la vulnérabilité Copy Fail est un bug logique dans le template AEAD authencesn du noyau Linux, combiné à deux mécanismes : ...