Posts

🏛️ Contexte Source : Ministère public de la Confédération suisse (MPC), publiée le 1er octobre 2026. Le MPC mène depuis le 31 juillet 2025 une procédure pénale contre inconnus pour des infractions liées à des attaques ransomware commises par le groupe KillSec (alias « KillSecurity ») contre plusieurs sociétés suisses entre octobre 2023 et juin 2025. 🎯 Acteur de la menace Le groupe KillSec pratique la technique dite de double extorsion : ...

🗓️ Contexte Source : Cyber Press, publié le 5 octobre 2026. L’enquête a été menée par Socket, qui a identifié un groupe d’extensions de thèmes Visual Studio Code liées à la campagne malware GlassWorm, ciblant spécifiquement les développeurs via le Visual Studio Marketplace et le registre Open VSX. 🎯 Extensions identifiées Deux extensions confirmées comme malveillantes et plusieurs thèmes associés ont été découverts : Aurora Nocturne Night Theme : contenait un téléchargeur Windows dissimulé dans le package distribué. Le fichier JavaScript (~59 Ko) utilisait des noms aléatoires, des échappements hexadécimaux et des caractères Unicode invisibles pour masquer sa charge utile. Après décodage, il contactait fingercakes4sale[.]store, téléchargeait du contenu contrôlé par l’attaquant et le sauvegardait sous %TEMP%\temp_batch.cmd, puis l’exécutait via cmd.exe en masquant la fenêtre. L’extension était publiée sous l’identité microsoft pour se faire passer pour une extension officielle. Cosmic Nebula Themes : décryptait du JavaScript embarqué via AES-256-CBC et l’exécutait immédiatement via eval(). Le loader vérifiait les paramètres de langue et de fuseau horaire pour éviter les systèmes russes, puis interrogeait des mémos de transactions Solana pour obtenir l’adresse du prochain payload. Socket a attribué cette extension à GlassWorm avec haute confiance. Coca-Cola Christmas et Aurora Borealis Studio Theme : classifiées à haut risque, contenant du JavaScript exécutable et des liens de développement partagés avec les malwares confirmés. Plus de 8 000 installations sur le Marketplace combinées. 🔗 Infrastructure et attribution La même adresse Solana, clé de chiffrement et pattern d’exécution ont été retrouvés dans des activités GlassWorm précédemment documentées. Des commentaires en langue russe, des définitions de thèmes quasi-identiques et du code de page d’accueil partagé relient trois comptes GitHub entre eux. La blockchain Solana est utilisée comme mécanisme de C2 dynamique, permettant de changer l’infrastructure sans publier de nouvelle version d’extension. Sur Open VSX : 6 identités d’extensions liées ont été trouvées, dont Coca-Cola Christmas (~39 000 téléchargements) et Charcoal Mint (~10 000 téléchargements). 🧩 Vecteur d’attaque Les thèmes VS Code peuvent exécuter du code et l’éditeur ne dispose pas de contrôles de permissions granulaires. Les dépôts publics ne correspondent pas nécessairement aux builds distribués. ...

🗓️ Contexte Publié le 1er octobre 2026 par The Register, cet article relate un incident de sécurité ayant touché le Dutch Institute for Vulnerability Disclosure (DIVD), organisation néerlandaise à but non lucratif spécialisée dans la chasse aux vulnérabilités. L’attaque a eu lieu le 21 septembre 2026. 🔓 Vecteur d’attaque et exploitation Des acteurs malveillants ont exploité deux vulnérabilités zero-day chaînées dans Zammad, un système open-source de helpdesk et de ticketing : ...

🔍 Contexte Article publié le 29 septembre 2026 sur cloud-architekt.net, issu d’une recherche personnelle ayant donné lieu à une divulgation responsable auprès du Microsoft Security Response Center (MSRC). L’auteur documente une vulnérabilité dans Microsoft Entra Identity Governance affectant la gestion des permissions API dans les access packages. 🧩 Description de la vulnérabilité Un utilisateur disposant uniquement du rôle catalog owner (sans rôle Entra ID ni autorisation de resource owner) pouvait accorder des permissions Microsoft Graph API à un service principal via la fonctionnalité de support des permissions API introduite en novembre 2025 dans Identity Governance. ...

🗓️ Contexte Source : Numerama, publié le 1er octobre 2026. L’ANSSI a rendu public le 30 septembre 2026 le premier point de situation de l’opération REACTIV, lancée à la demande du Premier ministre pour coordonner la réponse aux fuites de données touchant les ministères français depuis début août 2026. 🔍 Vulnérabilité exploitée La faille concerne Metabase, un logiciel open source de business intelligence utilisé par plusieurs services de l’État. Elle est notée 10/10 sur l’échelle CVSS (score maximum). Il s’agit d’une injection SQL localisée dans la fonction de réinitialisation du mot de passe, accessible sans authentification préalable. Un attaquant pouvait ainsi obtenir les droits d’administrateur sur l’instance ciblée sans identifiants ni interaction utilisateur. ...

📰 Contexte Source : IT-Connect (it-connect.fr), publié le 2 octobre 2026 par Florian Burnel. L’article couvre la publication par Teclib’ de nouvelles versions correctives de GLPI, logiciel open source de gestion de parc informatique et helpdesk, deux semaines après une précédente salve de correctifs. 🗓️ Chronologie des publications 30 septembre 2026 : Publication de GLPI 11.0.10 et GLPI 10.0.28 sur GitHub 1er octobre 2026 : Publication de GLPI 11.0.11 en remplacement de 11.0.10, qui introduisait une régression bloquant le chargement de certains plugins 🔐 Vulnérabilités corrigées Failles communes à GLPI 10 et GLPI 11 (5 vulnérabilités) Contournement des autorisations dans les actions en masse (importante) : contrôle défaillant permettant d’agir au-delà de ses droits Élévation de privilèges via le clonage d’utilisateurs (importante) : obtention de droits supérieurs par détournement du clonage de compte Contrôle des droits insuffisant lors de la suppression d’utilisateurs (importante) : suppression de comptes sans autorisation adéquate Énumération des noms d’utilisateurs via le planning (modérée) : récupération d’identifiants valides facilitant des attaques par brute force Contrôles d’autorisation manquants dans le planning (modérée) : second problème de droits dans la même fonctionnalité Failles propres à GLPI 11 (3 vulnérabilités) Injection SQL via la question « Acteurs » des formulaires (importante) : critères de filtrage intégrés sans contrôle à la requête SQL dans le moteur de formulaires natif de GLPI 11 Désactivation ou modification du 2FA d’utilisateurs plus privilégiés (importante) : intervention possible sur l’authentification à deux facteurs de comptes à privilèges supérieurs XSS réfléchie dans le widget de résultats de recherche du tableau de bord (importante) : exploitation via une requête piégée soumise à la victime ⚠️ Fin de support de GLPI 10 Teclib’ annonce que GLPI 10.0.28 est la dernière version de la branche 10.0, qui ne recevra plus de correctifs de sécurité à compter de la sortie prochaine de GLPI 12.0.0, prévue pour octobre 2026. Les instances restant sur GLPI 10 ne bénéficieront plus des correctifs pour les vulnérabilités découvertes dans le code commun. ...

🗓️ Contexte Source : 404 Media — publié le 1er octobre 2026. L’article s’inscrit dans la continuité d’une révélation de novembre 2024 concernant une nouvelle fonctionnalité d’Apple dans iOS. 🔒 Fonctionnalité Apple ciblée Apple a discrètement introduit dans iOS une fonction dite « inactivity reboot » : tout iPhone non déverrouillé depuis 72 heures redémarre automatiquement, le replaçant dans un état Before First Unlock (BFU), rendant l’extraction de données forensiques significativement plus difficile. ...

🗓️ Contexte Source : SecurityAffairs, publié le 5 octobre 2026. L’article rapporte l’extradition vers les États-Unis d’Amir Barati, ressortissant irano-turc de 40 ans, arrêté au Monténégro à Kotor lors de vacances, suite à un mandat du FBI. 👤 Profil de l’acteur Fondateur de l’Iran Black Hats Team et co-fondateur du Digital Boys Underground Team Arrêté une première fois en 2010 par le ministère du renseignement iranien, puis recruté comme actif de renseignement selon des sources A quitté l’Iran pour la Turquie en 2021, obtenu la nationalité turque et changé de nom Lié au réseau Mabna Institute, opérant pour le compte des Gardiens de la Révolution islamique (IRGC) 🎯 Campagne et cibles La campagne s’est déroulée entre 2013 et 2017 et a ciblé : ...

📰 Source : franceinfo.fr — Date de publication : 3 octobre 2026 La région Hauts-de-France a annoncé le 3 octobre 2026 que deux de ses prestataires informatiques ont été victimes de cyberattaques ayant entraîné un vol de données personnelles à grande échelle. La région a indiqué porter plainte auprès des autorités compétentes et avoir alerté l’ANSSI (Agence nationale de la sécurité des systèmes d’information). 🎯 Prestataires ciblés Atexo : éditeur de logiciels pour les pouvoirs publics, gérait et hébergeait la plateforme d’aides régionales Docaposte : filiale de La Poste spécialisée dans la gestion des échanges professionnels de documents, opérait la plateforme Carte Génération#HDF 📋 Données compromises ...

🗾 Contexte Publié le 5 octobre 2026 par The Cyber Express, cet article présente l’initiative japonaise de threat hunting actif sur les infrastructures critiques, prévue dans le cadre du budget fiscal 2027. Cette initiative s’inscrit dans la stratégie plus large de défense cyber active du Japon, dont la législation associée est entrée en vigueur le même jour. 🎯 Objectifs de l’initiative Le Bureau national de cybersécurité (National Cybersecurity Office) prévoit de : ...