Monde

Source: AWS Security Blog (13 nov. 2025). Des chercheurs d’Amazon Inspector ont découvert plus de 150 000 paquets npm liés à une campagne coordonnée de « token farming » associée à tea.xyz, dépassant largement les 15 000 paquets initialement signalés par Sonatype en avril 2024. L’équipe a utilisé une détection hybride (règles + IA) pour mettre en évidence un schéma d’attaque auto-réplicant visant des gains financiers. 🚨 Nature et impact: Contrairement aux malwares classiques, ces paquets ne contiennent pas de code explicitement malveillant mais exploitent le mécanisme de récompense de tea.xyz en gonflant artificiellement les métriques via réplication et chaînes de dépendances. Les risques clés sont: pollution des registres (npm saturé de paquets non fonctionnels), exploitation des ressources (infrastructure/bande passante/stockage), effet de précédent (incitation à copier le modèle), et risques supply chain (dépendances inutiles et comportements inattendus). ...

Source et contexte : Securelist (Kaspersky) publie un rapport trimestriel sur l’évolution des menaces non mobiles au T3 2025, couvrant Windows, macOS et IoT, avec tendances, chiffres clés et campagnes marquantes. 📊 Chiffres globaux Kaspersky a bloqué plus de 389 M d’attaques provenant de ressources en ligne; Web Anti‑Virus a réagi à 52 M d’URLs uniques. File Anti‑Virus a bloqué plus de 21 M d’objets malveillants ou potentiellement indésirables. 2 200+ nouveaux variants de ransomware détectés; ~85 000 utilisateurs ont subi des attaques ransomware; plus de 254 000 utilisateurs ciblés par des mineurs. 🔒 Ransomware : activités, groupes et répression ...

Cet article est un rapport technique spécialisé publié par Trend Micro Research, intitulé “Breaking Down S3 Ransomware: Variants, Attack Paths and Trend Vision One™ Defenses”. Il s’agit d’une analyse détaillée des différentes variantes de ransomwares exploitant Amazon S3, de leurs techniques d’attaque, ainsi que des capacités de détection fournies par Trend Vision One. Dans les infrastructures traditionnelles, les attaquants s’appuyaient surtout sur des intrusions réseau, le phishing, des pièces jointes malveillantes et l’exploitation de logiciels obsolètes ou vulnérables. ...

Source et contexte — ThinkstScapes (Thinkst) publie son édition Q3 2025, un panorama des travaux de sécurité présentés et publiés entre juillet et septembre 2025 (USENIX Security, DEF CON, Black Hat, etc.), structuré autour de quatre thèmes majeurs et d’un volet « Nifty sundries ». • Microsoft-induced security woes. Le numéro détaille une vulnérabilité critique d’Azure/Entra ID via des Actor tokens permettant l’usurpation inter‑tenant d’utilisateurs (jusqu’au Global Admin), en modifiant des parties non signées du JWT et en retrouvant le nameid, le tout sans logs ni rate‑limit. Il montre aussi comment exploiter la page légitime login.microsoftonline.com pour du phishing (tenants contrôlés, pass‑through vers AD on‑prem compromis, branding trompeur, contournement de certaines MFA) en conservant l’URL Microsoft. Côté Windows, « RPC‑Racer » enregistre des endpoints RPC avant les services légitimes pour coercer NTLM via chemins UNC et escalader jusqu’à compromettre un DC. Enfin, des collisions de noms de domaine internes avec des gTLD (.llc, .ad) et des typos NS exposent des hashes NTLM et du trafic à des domaines publics contrôlés par un attaquant. ...

Selon gbhackers.com (Divya, 3 novembre 2025), des chercheurs ont découvert une vulnérabilité critique d’exécution de code à distance non authentifiée dans UniFi OS d’Ubiquiti, récompensée 25 000 $, qui permet la prise de contrôle complète des équipements, dont les routeurs UniFi Dream Machine et les systèmes d’accès. 🚨 Vulnérabilité: CVE-2025-52665 — une RCE non authentifiée via un endpoint de sauvegarde exposé. Un endpoint prévu pour l’interface loopback, /api/ucore/backup/export, était en réalité accessible depuis l’extérieur sur le port 9780, créant une surface d’attaque critique. ...

Selon Wiz, dans son rapport « The State of AI in the Cloud 2025 », l’adoption de l’IA dans les environnements cloud continue d’augmenter, avec une stabilisation des services managés et une montée du self-hosted, mais la sécurité et la gouvernance peinent à suivre. 📈 Adoption et tendances 85% des organisations utilisent une forme d’IA (managée ou auto-hébergée). Les services managés passent de 70% à 74% des environnements. Le self-hosted progresse fortement (42% → 75%), notamment via des intégrations dans des logiciels tiers. OpenAI/Azure OpenAI SDKs sont utilisés par 67% des environnements; top outils: Pytorch (50%), ONNX Runtime (46%), Hugging Face (45%), Tiktoken (43%). 🚀 DeepSeek en forte croissance ...

BleepingComputer rapporte, sur la base d’un rapport partagé par Amazon Threat Intelligence et de données du honeypot MadPot, qu’un acteur avancé a exploité en zero-day deux failles critiques dans Citrix NetScaler et Cisco ISE pour déployer un malware personnalisé. • Les vulnérabilités exploitées sont Citrix Bleed 2 (CVE-2025-5777) dans NetScaler ADC et Gateway (lecture hors limites), et CVE-2025-20337 dans Cisco Identity Services Engine (ISE) (désérialisation vulnérable). Amazon indique que les tentatives d’exploitation de Citrix Bleed 2 ont été observées avant la divulgation publique et les correctifs; une charge anormale visant un endpoint ISE non documenté a aussi été identifiée et signalée à Cisco. ...

Selon Endor Labs, une vulnérabilité critique d’injection SQL, CVE-2025-64459 (CVSS v3.1: 9.1), affecte le framework web Python Django. Sont concernés Django 6.0 (beta), 5.2, 5.1 et 4.2 (et potentiellement des versions plus anciennes). Des correctifs sont disponibles dans Django 5.2.8, 5.1.14 et 4.2.26. 🚨 Le problème survient lorsque des applications passent des entrées utilisateur directement à des méthodes QuerySet (filter(), exclude(), get()) via l’expansion de dictionnaire. Des attaquants peuvent injecter les paramètres internes de Django — _connector (AND/OR/XOR) et _negated (inversion booléenne) — pour manipuler la logique SQL, entraînant accès non autorisé, contournement d’authentification et élévation de privilèges, parfois sans authentification préalable. ...

Selon BleepingComputer, une faille critique affecte la bibliothèque JavaScript expr-eval, découverte par le chercheur Jangwoo Choe et suivie sous l’identifiant CVE-2025-12735, avec une sévérité notée 9,8 par la CISA. Le CERT-CC de l’institut SEI de Carnegie Mellon a publié un avertissement soulignant le risque de prise de contrôle total du comportement logiciel et de divulgation complète des informations. ⚠️ Nature de la vulnérabilité: la validation insuffisante de l’objet variables/contexte passé à la fonction Parser.evaluate() permet à un attaquant de fournir des objets fonction malveillants que le parseur invoque lors de l’évaluation, aboutissant à une exécution de code à distance (RCE) via des entrées spécialement conçues. ...

Source: Trustwave SpiderLabs — Dans un billet signé Karl Biron, Trustwave dévoile MAD-CAT, un outil d’émulation offensive qui reproduit fidèlement la campagne de corruption de données « Meow » observée depuis 2020, et publie une rétrospective des tendances Shodan jusqu’en 2025. • MAD-CAT est un outil d’attaque simulée qui cible les six plateformes touchées par « Meow »: MongoDB, Elasticsearch, Cassandra, Redis, CouchDB, Hadoop HDFS. Il supporte les modes non authentifié (sans mécanisme d’auth) et authentifié (identifiants par défaut/faibles), les attaques mono-cible et en masse via CSV, et une architecture extensible (factory pattern). Un environnement Docker Compose fournit six services vulnérables pré-peuplés de données pour des tests sûrs. ...