Posts

Selon Google Threat Intelligence Group (GTIG), cette rétrospective 2025 couvre 90 vulnérabilités zero‑day exploitées, met l’accent sur les techniques observées et évoque comment l’IA pourrait accélérer le paysage des vulnérabilités. 📈 Tendances clés. Pour la première fois, l’exploitation attribuée aux fournisseurs de surveillance commerciale (CSV) dépasse celle des groupes étatiques traditionnels, illustrant la démocratisation de l’accès aux zero‑days via ces vendeurs et leurs clients. Les groupes d’espionnage liés à la Chine (PRC‑nexus) demeurent toutefois les plus prolifiques parmi les acteurs étatiques (au moins 10 zero‑days, davantage qu’en 2024 mais moins qu’en 2023), ciblant surtout des équipements réseau/edge difficiles à surveiller (ex. CVE‑2025‑21590 par UNC3886, CVE‑2025‑0282 par UNC5221) et montrant une réduction du temps entre divulgation publique et exploitation de n‑days. À l’inverse de 2024, aucun zero‑day n’a été attribué à des groupes nord‑coréens en 2025. ...

Source : billet de blog de Davi Ottenheimer (8 mars 2026). Contexte : critique d’un « papier suisse » sur la désanonymisation automatisée via LLM et ses implications pour la vie privée. L’auteur résume la thèse de l’étude : les LLM permettraient des attaques de désanonymisation entièrement automatisées sur du texte non structuré, à grande échelle. Il juge la menace « pas nouvelle », renvoyant à Narayanan & Shmatikov (2008, actualisé en 2019) : le coût de l’attaque baisse mais la capacité fondamentale ne change pas. ...

Selon BleepingComputer, la CISA a ordonné aux agences fédérales américaines d’appliquer des correctifs à trois failles de sécurité affectant iOS. Ces vulnérabilités sont ciblées dans des attaques de cyberespionnage et de vol de cryptomonnaies, menées à l’aide du kit d’exploitation Coruna. CISA alerte sur des vulnérabilités iOS exploitées via le kit d’exploit Coruna Contexte L’agence américaine CISA (Cybersecurity and Infrastructure Security Agency) a ordonné aux agences fédérales de corriger trois vulnérabilités iOS activement exploitées dans des campagnes : ...

Selon un avis de sécurité GitHub (dépôt QwikDev/qwik) publié le 2 mars 2026, le package npm @builder.io/qwik est affecté par une faille critique permettant une exécution de code à distance non authentifiée. • Nature de la vulnérabilité : désérialisation de données non fiables (CWE-502) au sein du mécanisme RPC server$, ouvrant la voie à l’exécution de code arbitraire sur le serveur via une seule requête HTTP. L’impact sur le système vulnérable est évalué élevé en confidentialité, intégrité et disponibilité. ...

Selon ZDNET, Data.gouv (le portail français de l’open data) déploie à titre expérimental un serveur MCP (Model Context Protocol) afin de permettre l’interrogation des données publiques en langage naturel via un chatbot, avec un accès strictement en lecture. L’objectif affiché est d’évaluer ce que MCP apporte à l’accès aux données publiques tout en restant prudent sur ses limites, et de faciliter des interactions plus contextualisées sans multiplier les intégrations spécifiques. À ce stade, toute modification/édition des jeux de données est interdite. À terme, Data.gouv ambitionne de tester des usages d’édition et de publication, avec prudence et en s’appuyant sur des modèles souverains (sans calendrier précisé). ...

Source et contexte — TechCrunch (Lorenzo Franceschi-Bicchierai), 2 mars 2026 : Un groupe de hacktivistes nommé « Department of Peace » revendique un piratage du Department of Homeland Security (DHS), avec une fuite de données publiée par DDoSecrets 🔓. Les données proviendraient de l’Office of Industry Partnership du DHS, chargé d’acquérir des technologies auprès du secteur privé. DHS et ICE n’ont pas répondu immédiatement aux demandes de commentaire. Impact et contenu des données 🗂️ — La publication couvre des contrats entre le DHS, l’ICE et plus de 6 000 entreprises. Le jeu de données comprend notamment : ...

Selon The Verge, DJI a décidé de récompenser de 30 000 $ le chercheur Sammy Azdoufal après la mise en lumière d’un accès à un réseau d’environ 7 000 aspirateurs robots Romo, tout en précisant avoir déjà corrigé une faille de visualisation de flux vidéo sans PIN et en préparer d’autres correctifs. • Paiement et attribution 🎁 — DJI confirme avoir « récompensé » un chercheur (sans le nommer) et, d’après l’email partagé avec The Verge, versera 30 000 $ pour une seule découverte, sans préciser laquelle. Ce développement intervient après la révélation mi-février d’un accès à des milliers de Romo permettant d’observer l’intérieur de foyers. ...

Selon ThreatLabz, un acteur APT présumé lié à l’Iran, nommé Dust Specter, cible des officiels gouvernementaux en Irak avec une campagne utilisant de nouveaux malwares nommés SPLITDROP, TWINTASK, TWINTALK et GHOSTFORM. L’analyse détaille deux chaînes d’attaque observées en conditions réelles, l’une basée sur une architecture scindée (worker + orchestrateur C2) et l’autre consolidée dans un binaire unique. 🧪 Chaîne d’attaque 1 (SPLITDROP → TWINTASK → TWINTALK). Un RAR protégé par mot de passe (« mofa-Network-code.rar ») livre un dropper .NET déguisé en WinRAR (SPLITDROP). Après saisie du mot de passe, SPLITDROP déchiffre une ressource chiffrée en AES‑256‑CBC avec PBKDF2 (HMAC‑SHA1, 10 000 itérations, clé 256 bits), écrit un ZIP puis extrait dans C:\ProgramData\PolGuid\, et exécute un VLC.exe légitime pour déclencher un sideloading de DLL. Le DLL malveillant libvlc.dll (TWINTASK) agit comme module worker : il boucle toutes les 15 s, lit in.txt, décale le premier caractère, décode en Base64, et exécute le script via PowerShell (timeout 600 s), en journalisant vers out.txt. La persistance est ajoutée via HKCU...\Run (clés VLC et WingetUI). Le binaire légitime WingetUI.exe est lancé et sideloade hostfxr.dll (TWINTALK), l’orchestrateur C2. ...

Source: blog d’adnanthekhan (3 mars 2026). Contexte: découverte en décembre 2025 d’une mauvaise configuration GitHub Actions dans le dépôt angular/dev-infra, exploitée pour montrer une escalade via empoisonnement du cache jusqu’à un scénario plausible de compromis de supply chain d’Angular. Google a corrigé la vulnérabilité et indique qu’il n’existe plus de risque pour les utilisateurs d’Angular. – Le point de départ est un workflow “Worklow Testing” déclenché par pull_request_target utilisant la variable ${{ github.head_ref }} dans une commande shell, permettant une injection via le nom de branche. Bien que le GITHUB_TOKEN fût en lecture seule et sans secrets, l’auteur a recherché un pivot via GitHub Actions Cache Poisoning. ...

Politico (Maggie Miller) rapporte qu’Israël a frappé à Téhéran un complexe attribué au quartier général cyber et électronique du Corps des gardiens de la révolution islamique (CGRI/IRGC), alors même que des opérations pro-iraniennes continuent de viser des infrastructures régionales. 💥 L’IDF évoque une « frappe de grande ampleur » contre plusieurs sites militaires à l’est de Téhéran, incluant le QG cyber et électronique et la Direction du renseignement du CGRI. L’ampleur des dégâts et d’éventuelles victimes restent inconnues, l’Iran étant sous quasi black-out internet depuis le 28 février, ce qui limite les informations disponibles. Les porte-parole de l’IDF, de l’ambassade d’Israël à Washington, de la Maison Blanche et de l’USCENTCOM n’ont pas commenté. ...