Monde

Source: Trend Micro (Trend Research), septembre 2025. Dans une analyse MDR, l’éditeur décrit une campagne diffusant Atomic macOS Stealer (AMOS) qui cible les utilisateurs macOS via des sites de « crack » et des pages d’installation trompeuses, avec rotation agressive de domaines et exfiltration HTTP(S). • Distribution et contournements. Les assaillants déguisent AMOS en faux installeurs (.dmg) de logiciels populaires « crackés » ou incitent les victimes à copier-coller des commandes dans le Terminal (curl vers un script install.sh). Les .dmg non notarés sont bloqués par Gatekeeper sur macOS Sequoia 15.5/15.6, mais la méthode Terminal obtient un taux de succès élevé. Le kit emploie une rotation de domaines/URLs (redirecteurs .cfd, pages d’atterrissage et hôtes de charge utile) pour éviter les détections statiques et retarder les takedowns. ...

Selon Trustwave SpiderLabs (SpiderLabs Blog), des chercheurs détaillent comment des IA intégrées aux SOC et SIEM peuvent être détournées par injection de prompt indirecte à travers des journaux influencés par l’utilisateur. Les auteurs expliquent que des instructions malveillantes insérées dans des logs (ex. en-têtes HTTP, requêtes GET, tentatives d’authentification SSH) sont traitées comme des commandes légitimes par des LLM utilisés dans des chatbots et systèmes RAG pour l’analyse sécurité. Résultat: l’IA peut cacher des attaques, modifier des détails d’événements ou créer de faux incidents 🛑. ...

Selon BleepingComputer, Microsoft indique faire respecter l’authentification multifacteur (MFA) pour les connexions au portail Azure sur tous les tenants depuis mars 2025. Mesure annoncée : application obligatoire de la MFA pour les connexions au portail Azure. 🔐 Portée : tous les tenants Azure sont concernés. Temporalité : mesure effective depuis mars 2025. Concrètement, la connexion au portail Azure requiert désormais une étape supplémentaire d’authentification (MFA) pour l’ensemble des organisations, au-delà du mot de passe. Après avoir terminé le déploiement pour les connexions au portail Azure, la société commencera à appliquer l’authentification multifacteur sur Azure CLI, PowerShell, SDK et API en octobre 2025 afin de protéger les comptes des utilisateurs contre les attaques. ...

Selon TechCrunch, la nouvelle fonctionnalité de messagerie chiffrée de X, baptisée XChat, comporte des « red flags » (signaux d’alerte). ⚠️ L’article met en avant des préoccupations autour de la sécurité et/ou du chiffrement revendiqué par XChat, indiquant que certains éléments observés suscitent des doutes sur la robustesse ou l’implémentation. Le contenu met l’accent sur l’identification de ces signaux d’alerte, sans détailler ici les aspects techniques précis, et s’inscrit dans une mise en garde à l’attention des utilisateurs au sujet de la confidentialité et de la fiabilité de la nouvelle messagerie. ...

Source: Recorded Future / Insikt Group. Dans un rapport publié le 28 août 2025, le chercheur détaille les tendances vulnérabilités et malwares observées au 1er semestre 2025, avec un focus sur l’exploitation des systèmes exposés, l’évolution des outils et TTPs, et les menaces mobiles et e‑commerce. Principaux constats vulnérabilités: 23 667 CVE publiées (+16% vs H1 2024), 161 vulnérabilités activement exploitées dont 42% avec PoC public, 69% sans authentification et 30% RCE. Microsoft concentre le plus grand nombre d’exploits (17% des cas), à égalité avec les appliances périmétriques (SSL‑VPN, NGFW, portails d’accès). Plus de la moitié des exploitations attribuées impliquent des acteurs étatiques; les failles d’Ivanti sont particulièrement visées (ex. CVE‑2025‑0282). Post‑exploitation, Cobalt Strike domine, suivi de Vshell RAT; les backdoors représentent ~23% des charges. ...

Selon Socket, le système de build Nx a subi une attaque de la chaîne d’approvisionnement exploitant une vulnérabilité dans un workflow GitHub Actions, compromettant un écosystème totalisant plus de 4,6 millions de téléchargements hebdomadaires. Les attaquants ont publié des packages malveillants qui ont récolté des milliers d’identifiants, mettant en lumière des lacunes critiques de sécurité CI/CD et le risque des branches obsolètes comme vecteurs persistants. L’attaque s’est appuyée sur une injection bash via un workflow déclenché par pull_request_target avec des permissions élevées. Des titres de PR forgés comme $(echo “malicious code”) ont permis une exécution de commandes arbitraires. Les acteurs ont ciblé des branches anciennes où le workflow vulnérable subsistait, même après sa suppression de la branche master. ...

Selon Wiz Research (billet de recherche), une attaque supply‑chain baptisée « s1ngularity » a compromis des packages Nx sur npm et déployé un malware utilisant des CLIs d’IA pour identifier des fichiers sensibles et exfiltrer des données via des comptes GitHub compromis. • Nature et impact: attaque supply‑chain sur des packages Nx (npm). Le malware, alimenté par des CLIs d’IA (Claude, Gemini, Amazon Q), a entraîné des fuites de milliers de secrets et la publication de dépôts privés, touchant plus de 1 700 victimes. GitHub a procédé à des révocations massives d’identifiants en réponse. ...

Source : Trellix — Dans un billet de recherche, l’éditeur analyse l’évolution d’XWorm vers des tactiques plus trompeuses et une chaîne d’infection en plusieurs étapes, aujourd’hui largement observées en environnement d’entreprise. L’infection débute via un fichier .lnk qui exécute des commandes PowerShell afin de télécharger discord.exe, lequel dépose ensuite main.exe et system32.exe. Les exécutables sont déguisés avec des noms et des icônes légitimes pour tromper l’utilisateur. Le malware intègre des techniques anti‑analyse avancées : création de mutex (1JJyHGXN8Jb9yEZG), détection d’environnements virtualisés et auto‑termination. Il met en place une persistance via tâches planifiées et modifications de registre. ...

Source: BleepingComputer (Sergiu Gatlan). Cloudflare révèle avoir été impacté par la série de compromissions Salesloft/Drift touchant des environnements Salesforce, avec exfiltration de données textuelles de son CRM de support entre le 12 et le 17 août 2025, après une phase de reconnaissance le 9 août. Cloudflare indique que des attaquants ont accédé à une instance Salesforce utilisée pour la gestion des tickets clients et ont exfiltré uniquement le texte des objets de cas (pas les pièces jointes). Parmi les éléments sensibles potentiellement exposés figurent des informations de contact clients et des contenus de tickets pouvant inclure des clés, secrets, jetons ou mots de passe. L’entreprise a identifié 104 jetons API Cloudflare présents dans ces données et les a tous rotationnés avant la notification clients du 2 septembre, sans activité suspecte détectée à ce stade. ...

Selon BleepingComputer, Google a publié la mise à jour de sécurité de septembre 2025 pour les appareils Android, corrigeant un total de 84 vulnérabilités, dont deux failles exploitées activement. Produits concernés : appareils Android. Portée du correctif : 84 vulnérabilités corrigées. Gravité notable : 2 vulnérabilités exploitées activement (en cours d’exploitation dans la nature). Cette publication signale que des attaques tirent déjà parti de certaines failles, tandis que l’ensemble du correctif vise à renforcer la sécurité du système Android pour ce cycle mensuel de septembre 2025. 🔒 ...