Monde

Source: FortiGuard Labs (blog Fortinet). Lors d’une perturbation mondiale d’AWS fin octobre, les capteurs Fortinet ont observé la propagation de « ShadowV2 », une variante de Mirai ciblant des appareils IoT via plusieurs vulnérabilités, avec une activité probablement testée en vue d’attaques ultérieures. Le botnet avait déjà été signalé en septembre pour des campagnes visant des instances AWS EC2. Portée et impact : niveau de sévérité élevé avec possibilité pour un attaquant distant de prendre le contrôle des systèmes vulnérables. Sont listées comme plateformes affectées notamment : DD‑WRT 24 sp1, plusieurs D‑Link ShareCenter/GO‑RT‑AC750 (DNS‑320/320LW/325/340L), Digiever DS‑2105 Pro 3.1.0.71-11, TBK DVR‑4104/4216, et la série TP‑Link Archer. Les tentatives d’exploitation ont touché des organisations de sept secteurs (technologie, retail/hôtellerie, manufacturing, MSSP, gouvernement, télécoms/opérateurs, éducation) et de nombreux pays sur tous les continents 🌍. Utilisateurs impactés: toute organisation. ...

Source: Huntress (huntress.com). Contexte: les chercheurs Ben Folland et Anna Pham publient une analyse technique d’une campagne ClickFix multi-étapes observée depuis octobre 2025, où des leurres « Human Verification » et un faux écran « Windows Update » amènent les victimes à exécuter une commande malveillante, débouchant sur le déploiement d’infostealers (LummaC2, Rhadamanthys). • Chaîne d’exécution en 5 étapes 🧩 Étape 1 (mshta.exe): exécution d’un JScript depuis une URL (2e octet de l’IP en hex), qui lance PowerShell en mémoire. Étape 2 (PowerShell): charge et décrypte un assembly .NET (reflective load) après obfuscation/junk code. Étape 3 (loader .NET stéganographique): extrait une image PNG chiffrée AES depuis les ressources, puis récupère le shellcode caché dans les données de pixels (canal R) via un algorithme personnalisé (XOR 114 avec 255 - red), tout en déchiffrant configs/strings (clé AES 909cdc682e43492e, IV 01fe83e20bbe47f2). Étape 4 (injection): compilation dynamique de C# et injection de processus (VirtualAllocEx, CreateProcessA, WriteProcessMemory, CreateRemoteThread, etc.) dans explorer.exe. Étape 5 (Donut): le shellcode est packé Donut et charge la charge finale: LummaC2 (dans les cas initiaux) ou Rhadamanthys (pour le leurre Windows Update). • Leurre et techniques clés 🎭🖼️ ...

Source: AISLE — AISLE détaille la découverte d’une vulnérabilité critique, CVE-2025-13016, dans l’implémentation WebAssembly de Firefox, introduite en avril 2025 et restée indétectée pendant environ 6 mois malgré un test de régression. La faille, notée CVSS 7.5 (High), permet une exécution de code arbitraire et affecte des centaines de millions d’utilisateurs (Firefox 143–début 145 et ESR 140.0–140.4). 🛡️ Détails techniques. La vulnérabilité réside dans la classe template StableWasmArrayObjectElements (js/src/wasm/WasmGcObject.h, ligne 532 vulnérable). Deux erreurs clés: 1) arithmétique de pointeurs incorrecte via un std::copy mélangeant uint8_t* et uint16_t*, provoquant une écriture hors limites (stack buffer overflow) en copiant numElements_ * sizeof(T) éléments au lieu d’octets; 2) mauvaise source de données: utilisation de inlineStorage() (incluant un DataHeader) au lieu de addressOfInlineData()/inlineArrayElements<T>(). Le chemin vulnérable est déclenché lors du fallback GC dans Instance::stringFromCharCodeArray quand l’allocation NoGC échoue sous pression mémoire/GC. ...

Selon Aikido (blog Aikido.dev), une « seconde frappe » de la campagne Shai‑Hulud a été détectée le 24 novembre 2025, opportunément calée avant la révocation des « classic tokens » npm prévue le 9 décembre, alors que de nombreux éditeurs n’avaient pas encore migré vers Trusted Publishing. • Nature de l’attaque: ver npm auto‑réplicant visant la chaîne d’approvisionnement. Une fois installé (pendant l’installation des dépendances), il cherche des secrets (API keys, tokens cloud, GitHub/npm) via TruffleHog, exfiltre vers des dépôts GitHub publics et tente de publier de nouveaux paquets npm infectés pour se propager. L’attaquant nomme cette vague « Second Coming » et a exposé environ 26,3k dépôts GitHub contenant des secrets avec la description « Sha1‑Hulud: The Second Coming ». ...

Selon HelixGuard Team (24/11/2025), une campagne coordonnée a empoisonné en quelques heures plus de 300 composants NPM via de faux ajouts liés au runtime Bun, entraînant le vol de secrets et une propagation de type ver affectant plus de 27 000 dépôts GitHub. L’attaque repose sur l’injection d’un script NPM preinstall pointant vers setup_bun.js, qui exécute un fichier hautement obfusqué bun_environment.js (>10 Mo). Ce dernier collecte des secrets (tokens NPM, identifiants AWS/GCP/Azure, GitHub, variables d’environnement) et lance TruffleHog pour étendre la collecte. ...

Selon ZeroPath CVE Analysis, CVE-2025-49752 est une vulnérabilité critique de type bypass d’authentification dans Azure Bastion, notée CVSS 10.0, pouvant mener à une élévation de privilèges à distance. Produit concerné : Azure Bastion (service managé offrant des accès RDP/SSH aux VM Azure sans exposition directe à Internet). Nature de la faille : CWE-294 (Authentication Bypass by Capture-replay), permettant à un attaquant de rejouer des jetons/crédentiels valides pour obtenir un accès non autorisé. ...

Source: Socket (Socket Threat Research Team). Contexte: publication détaillant une campagne npm où un acteur (« dino_reborn ») combine cloaking Adspect, anti‑analyse JavaScript et faux CAPTCHAs pour trier visiteurs/victimes et orchestrer des redirections vers des sites d’arnaques crypto. 🪤 Vue d’ensemble. Sept paquets npm sont impliqués: six contiennent un binaire JS (~39 kB) malveillant et un sert de page « blanche » (leurre). Le code s’exécute via IIFE, profile finement le visiteur, puis interroge l’API Adspect via des proxys PHP. Si le visiteur est jugé « chercheur », une page blanche (Offlido) s’affiche; sinon, une fausse CAPTCHA s’affiche puis ouvre un nouvel onglet vers une URL retournée dynamiquement par Adspect. Les marques affichées (standx.com, jup.ag, uniswap.org) servent à rendre la CAPTCHA crédible. ...

Selon BleepingComputer, Nvidia a confirmé que les mises à jour de sécurité publiées le mois dernier impactent négativement les performances en jeu sur des systèmes Windows 11 versions 24H2 et 25H2. Fournisseur concerné: Nvidia Produits/OS affectés: Windows 11 24H2 et Windows 11 25H2 Nature du problème: dégradation des performances de jeu 🎮 Cause identifiée: mises à jour de sécurité du mois dernier L’article met l’accent sur la confirmation par Nvidia et le périmètre des versions de Windows concernées, en précisant que l’impact se manifeste sur les performances gaming. ...

Selon Microsoft Learn, Microsoft présente « Administrator protection », une fonctionnalité de sécurité de Windows 11 conçue pour faire respecter le principe du moindre privilège en n’accordant les droits administrateur que sur demande et avec approbation explicite via Windows Hello. • Fonctionnement et architecture: Les utilisateurs se connectent avec un jeton déprivilegié, puis Windows crée à la demande un jeton admin isolé via un compte système caché et séparé du profil, uniquement pour l’opération en cours. L’élévation est explicitement autorisée par l’utilisateur (pas d’auto‑élévation), l’admin token est détruit à la fin du processus, et l’élévation constitue une nouvelle barrière de sécurité. Intégration à Windows Hello pour une authentification simple et sécurisée. ...

Source: Ars Technica (Dan Goodin), contexte: Microsoft a annoncé les fonctionnalités expérimentales Copilot Actions dans Windows et publié des avertissements sur leurs risques de sécurité. Microsoft introduit des « agentic features » permettant d’automatiser des tâches (organiser des fichiers, planifier des réunions, envoyer des emails) 🤖, mais précise que Copilot Actions est désactivé par défaut et ne devrait être activé que par des utilisateurs « expérimentés ». L’entreprise reconnaît des limites fonctionnelles des modèles et des risques spécifiques aux agents. ...