International

TechCrunch relate qu’un hacktiviste a publié sur un forum de hacking des données de paiement massives issues d’un fournisseur de stalkerware, après avoir exploité un bug « trivial » permettant d’accéder aux informations clients sans mot de passe. Les données divulguées portent sur environ 536 000 lignes et comprennent des adresses e‑mail, l’app/brand acheté, le montant payé, le type de carte (Visa/Mastercard) et les quatre derniers chiffres de la carte 💳. Aucun date de paiement n’apparaît. Les transactions concernent des services de téléphone-espion comme Geofinder et uMobix, ainsi que Peekviewer (ex‑Glassagram) pour l’accès à des comptes Instagram privés, et Xnspy. ...

Selon le blog d’Ontinue, cette recherche dissèque « VoidLink », un framework C2 Linux capable de générer des implants pour environnements cloud et entreprise. L’analyse se concentre sur l’agent (implant) et met en évidence des artefacts suggestifs d’un développement via agent LLM (libellés « Phase X: », logs verbeux, documentation résiduelle), malgré des capacités techniques avancées. VoidLink adopte une architecture modulaire avec registre de plugins et initialisation de composants clés (routeur de tâches, gestionnaire de furtivité, gestionnaire d’injection, détecteur de débogueur). Il réalise un profilage intelligent de l’environnement (clouds AWS/GCP/Azure/Alibaba/Tencent, conteneurs Docker/Podman/Kubernetes, posture sécu/EDR, version de noyau) afin d’activer des mécanismes adaptatifs de furtivité et de persistance. 🧠 ...

Selon l’annonce du projet Wardgate (11 février 2026), l’outil se place entre les agents IA et le monde extérieur pour isoler les identifiants, contrôler l’accès aux APIs et garder l’exécution de commandes à distance dans des environnements dédiés appelés conclaves. Wardgate répond aux risques mis en avant par l’éditeur: fuite d’identifiants (via sorties de modèles, logs ou attaques), prompt injection entraînant des actions non intentionnées (ex. ‘rm -rf /’, exfiltration via ‘curl’), et équivalence d’accès entre agent compromis et permissions accordées. Il souligne que la conteneurisation seule ne suffit pas si les identifiants sont remis à l’agent et que des projets existants exigent de faire confiance à l’agent lui‑même. ...

Selon Ars Technica, la communauté Wikipedia débat d’un possible blacklistage d’Archive.today (archive.is) après qu’un JavaScript malveillant sur la page CAPTCHA du site a servi à lancer un DDoS contre le blog Gyrovague de Jani Patokallio. Trois options sont discutées: A) suppression/masquage de tous les liens et ajout à la spam blacklist, B) déprécier le service (pas de nouveaux liens) en conservant l’existant, C) statu quo. ⚠️ Détails techniques de l’attaque: le code injecté sur la page CAPTCHA déclenche, toutes les 300 ms, des requêtes vers la fonction de recherche de gyrovague.com en ajoutant une chaîne aléatoire pour éviter le cache, avec referrerPolicy: no-referrer et mode: no-cors, transformant chaque visiteur en participant involontaire au DDoS. L’attaque a cessé brièvement avant d’être réactivée. La page de discussion de Wikipedia a averti: « Ne pas visiter l’archive sans bloquer les requêtes vers gyrovague.com ». ...

Selon le blog de Kaseya, sur la base de détections d’INKY, des campagnes exploitent des « DKIM replay attacks » en abusant de workflows légitimes (Apple, PayPal, DocuSign, HelloSign) pour diffuser des arnaques via des e‑mails authentifiés. Les champs contrôlés par l’utilisateur (nom du vendeur, notes) servent à insérer des consignes frauduleuses et un numéro de téléphone, puis les messages signés sont rejoués vers des cibles. • Mécanique de l’attaque ⚙️: un e‑mail légitime signé DKIM est capturé puis rejoué à d’autres destinataires sans modification des en‑têtes/body signés, ce qui maintient dkim=pass et donc dmarc=pass (si alignement). DKIM garantit l’intégrité du contenu, pas l’identité du routeur/délivreur. Même si SPF échoue au transfert, un DKIM aligné suffit à faire passer DMARC. ...

Selon Have I Been Pwned (HIBP), la plateforme d’édition Substack a subi une fuite de données en octobre 2025, dont les informations ont été diffusées plus largement en février 2026. L’incident correspond à une fuite de données touchant 663 000 comptes. Les enregistrements exposés incluent principalement des adresses e-mail et des informations de profil publiques provenant des comptes Substack (par exemple des noms de publication et des biographies). Un sous-ensemble des enregistrements comprend également des numéros de téléphone. Aucune autre catégorie de données n’est mentionnée dans l’extrait. ...

Selon GreyNoise Labs, une campagne coordonnée de reconnaissance a visé les infrastructures Citrix ADC Gateway / Netscaler Gateway entre le 28 janvier et le 2 février 2026, combinant découverte de panneaux de connexion et divulgation de versions, avec un taux de ciblage de 79% sur des honeypots Citrix. Vue d’ensemble et objectifs. L’opération comprend deux volets complémentaires: 1) une découverte massive de panneaux de login (109 942 sessions, >63 000 IP sources) via rotation de proxys résidentiels, et 2) une divulgation de versions (1 892 requêtes) depuis 10 IP AWS sur une fenêtre concentrée de 6 heures. L’objectif apparent est de cartographier les instances Citrix exposées et énumérer les versions pour de potentielles étapes ultérieures. ...

Selon Defused, une nouvelle vague d’exploitation visant Ivanti Endpoint Manager Mobile (EPMM) a démarré le 4 février 2026 avec une approche discrète : plutôt que d’installer des webshells classiques et d’exécuter des commandes, l’opérateur a uniquement déposé un implant et vérifié sa présence, sans activité post-exploitation. L’accès ainsi établi est resté en sommeil, un mode opératoire cohérent avec celui d’un Initial Access Broker (IAB). • Vulnérabilités exploitées: Ivanti a divulgué deux failles critiques, CVE-2026-1281 et CVE-2026-1340, couvrant contournement d’authentification et exécution de code à distance sur des paquets distincts (aftstore et appstore), menant à un accès non authentifié aux endpoints applicatifs. Les premières exploitations observées incluaient du scanning opportuniste et des dépôts de webshells « commodité ». ...

Source : Socket (blog de recherche sécurité), 6 février 2026. Le Threat Research Team de Socket décrit une compromission de mainteneur ayant permis la publication de versions malveillantes des clients dYdX v4 sur npm et PyPI, détectées le 27 janvier 2026 et signalées à dYdX le 28 janvier (reconnaissance publique le même jour). • Écosystèmes touchés et vecteurs: des versions spécifiques des paquets dYdX ont été modifiées pour intégrer du code malveillant au cœur des fichiers (registry.ts/js, account.py). Le code exfiltre des seed phrases et des empreintes d’appareil vers un domaine typosquatté (dydx[.]priceoracle[.]site), imitant le service légitime dydx[.]xyz. Le mode opératoire et la connaissance interne du projet suggèrent une compromission de compte développeur. ...

Selon BleepingComputer, un nouvel outil open-source et multiplateforme, nommé Tirith, a été publié pour contrer les attaques par homoglyphes dans les environnements en ligne de commande. 🛡️ Tirith vise les attaques par homoglyphes consistant à utiliser des caractères visuellement similaires pour tromper l’utilisateur L’outil analyse les URL présentes dans les commandes tapées et empêche leur exécution lorsqu’une tentative malveillante est détectée. L’annonce met l’accent sur le caractère multiplateforme et l’intégration en CLI, ciblant les scénarios où des URL trompeuses pourraient être exécutées par inadvertance. A new open-source and cross-platform tool called Tirith can detect homoglyph attacks over command-line environments by analyzing URLs in typed commands and stopping their execution. ...