Posts

🔍 Contexte Publié le 23 juin 2026 par SentinelLABS (Phil Stokes), cet article présente l’analyse technique d’un implant macOS baptisé macOS.Gaslight, découvert après une mise à jour XProtect d’Apple début juin 2026. L’échantillon avait été soumis sur VirusTotal le 22 mai 2026 et restait non détecté par les moteurs statiques au moment de la publication. 🎯 Attribution et cluster SentinelLABS attribue avec haute confiance cet implant à un cluster d’activité macOS aligné DPRK (Corée du Nord). Apple détecte l’échantillon sous la règle XProtect MACOS_BONZAI_COBUCH, famille associée par SentinelLABS à l’activité nord-coréenne. Un échantillon BONZAI frère est également détecté par la règle AIRPIPE, également liée à la Corée du Nord. ...

📅 Source : Microsoft On the Issues (blogs.microsoft.com), publié le 24 juin 2026, par Steven Masada, Assistant General Counsel de la Digital Crimes Unit (DCU) de Microsoft. 🎯 Contexte de l’opération Microsoft annonce une action judiciaire coordonnée visant simultanément deux outils cybercriminels largement utilisés : Amadey (loader/botnet facilitant l’accès initial) et StealC (stealer de mots de passe et données sensibles). Ces deux malwares, développés par des cybercriminels distincts, partagent la même infrastructure. En deux semaines début mai 2026, ils ont été liés à plus de 140 000 ordinateurs infectés dans le monde. ...

🌐 Contexte Le 24 juin 2026, Europol publie un communiqué officiel annonçant une nouvelle phase de l’Operation Endgame, la plus grande opération internationale jamais menée contre les facilitateurs de ransomware. L’opération a impliqué des forces de l’ordre de Canada, Danemark, Allemagne, Pays-Bas, Royaume-Uni et États-Unis, coordonnées par Europol et Eurojust, avec la participation de partenaires privés dont Microsoft, Shadowserver, Proofpoint, IBM X-Force, Bitdefender et d’autres. 🎯 Actions menées Sur une période de deux semaines, les actions coordonnées ont permis : ...

🌐 Contexte Source : BleepingComputer, publié le 24 juin 2026. Cet article couvre la dernière phase de l’Opération Endgame, une opération coordonnée de forces de l’ordre et de partenaires privés ciblant des infrastructures cybercriminelles liées aux malwares Amadey et StealC, ainsi qu’au loader SocGholish (FakeUpdates). 🎯 Périmètre de l’opération L’opération a impliqué des autorités de plusieurs pays : Canada, Danemark, Allemagne, Pays-Bas, Royaume-Uni, États-Unis Coordination par Europol et Eurojust Partenaires privés : Microsoft, ESET, Proofpoint, IBM X-Force, Bitsight, Infoblox, Orange Cyberdefense, Shadowserver, Have I Been Pwned, Spamhaus. ...

🗓️ Contexte Source : TechCrunch, publié le 25 juin 2026. Polymarket, plateforme de marchés prédictifs permettant des paiements en cryptomonnaies, a confirmé une compromission ayant entraîné le vol de fonds d’utilisateurs. 🔍 Déroulement de l’incident Selon un post publié par Polymarket sur X, un fournisseur tiers a été compromis, permettant à des attaquants d’injecter du code malveillant sur le site web de la plateforme, ciblant certains utilisateurs. La société indique avoir contenu l’incident et procède au remboursement intégral des victimes identifiées. ...

📰 Source : BBC News, article publié le 22 juin 2026, rédigé par Joe Tidy (correspondant cybersécurité, World Service, Roumanie). L’article revient en détail sur la cyberattaque ayant frappé le système hospitalier roumain en février 2024. 🎯 Nature de l’attaque Des cybercriminels ont compromis RSC, une société de logiciels basée à Bucarest, pour infiltrer Hippocrates, un système de gestion médicale largement utilisé dans les hôpitaux roumains (admissions, pharmacie, résultats de laboratoire, paie). Le ransomware BackMyData a été déployé via ce vecteur de supply chain, chiffrant les fichiers des établissements infectés et renommant l’ensemble des données. ...

📰 Source : TechCrunch — 24 juin 2026 Le chercheur en sécurité Scott Helme a lancé le site whynopasskeys.com, dont l’objectif est de nommer publiquement les entreprises qui ne proposent pas encore les passkeys comme option d’authentification à leurs utilisateurs. 🔐 Contexte technique : Les passkeys sont désormais considérées comme le standard de sécurité de référence pour la protection des comptes. Elles sont générées par l’appareil de l’utilisateur, liées à ce terminal et au site concerné, et peuvent s’appuyer sur la biométrie (Face ID, Touch ID) ou une clé de sécurité physique. Elles sont stockables dans un gestionnaire de mots de passe et résistent au phishing et au vol de credentials. ...

🎯 Contexte Analyse publiée le 20 juin 2026 par SafeDep sur la découverte d’un package npm malveillant @withgoogle/stitch-sdk (versions v0.1.1 et v0.1.2), conçu pour imiter le SDK officiel de Google Stitch AI (@google/stitch-sdk, 30 000+ téléchargements hebdomadaires). 🔍 Technique d’attaque : Scope Squatting L’attaquant a exploité le fait que npm ne vérifie pas les marques déposées lors de l’enregistrement de scopes. Le produit Google est accessible via stitch.withgoogle.com, mais son scope npm officiel est @google. L’attaquant a enregistré le scope @withgoogle (premier arrivé, premier servi) et publié un package avec le même nom de base que le SDK légitime, avec des numéros de version identiques (0.1.1, 0.1.2). ...

🔍 Contexte : Le 18 juin 2026, l’équipe Microsoft Defender Security Research publie une analyse technique détaillant une chaîne d’exploitation baptisée AutoJack, découverte dans AutoGen Studio, l’interface de prototypage open-source du framework multi-agents AutoGen de Microsoft Research. ⚙️ Mécanisme d’attaque : La chaîne combine trois faiblesses indépendantes dans la surface MCP WebSocket d’AutoGen Studio : Issue 1 (CWE-1385) : La liste blanche d’origines (http://127.0.0.1, http://localhost) bloque les navigateurs externes mais pas un agent de navigation headless tournant sur la même machine, dont le JavaScript hérite de l’identité localhost. Issue 2 (CWE-306) : Le middleware d’authentification exclut explicitement les chemins /api/mcp/* et /api/ws/*, sans que le handler WebSocket MCP n’implémente sa propre vérification. Résultat : le WebSocket MCP est accessible sans authentification quelle que soit la configuration auth. Issue 3 (CWE-78) : Le paramètre server_params passé en query string est décodé en base64, parsé en StdioServerParams, et transmis directement à stdio_client() sans liste blanche des exécutables autorisés, permettant de spawner calc.exe, powershell.exe -enc ... ou bash -c '...'. 🎯 Scénario d’exploitation : Un attaquant héberge une page web contenant un script JavaScript qui ouvre une connexion WebSocket vers ws://localhost:8081/api/mcp/ws/<session_id>?server_params=<base64(json)>. Lorsqu’un agent AutoGen équipé de capacités de navigation (ex: MultimodalWebSurfer) visite cette page, le script s’exécute avec l’identité localhost, contourne l’auth, et AutoGen Studio spawne la commande arbitraire sous le compte du développeur. Aucune interaction utilisateur supplémentaire n’est requise au-delà de faire visiter la page à l’agent. ...

🌐 Contexte Le 22 juin 2026, les agences de cybersécurité des Five Eyes (Australie, Canada, Nouvelle-Zélande, Royaume-Uni, États-Unis) ont publié conjointement une déclaration sur l’évolution du cyberrisque liée à l’intelligence artificielle, signée par les directeurs de l’ACSC, du CCCS, du NCSC-NZ, du NCSC-UK, de la NSA/CSD et de la CISA. ⚠️ Menace identifiée Les agences alertent sur le fait que l’IA abaisse les barrières d’entrée pour les acteurs malveillants et accélère la vitesse, l’échelle et la sophistication des cyberattaques. Le délai entre la découverte d’une vulnérabilité et son exploitation se réduit de manière significative. Les modèles d’IA frontier sont anticipés comme devant dépasser les capacités actuelles de l’industrie dans un horizon de mois, non d’années. ...