Posts

Source: Futurism (Noor Al-Sibai) rapporte qu’OpenAI a détaillé dans un billet de blog une nouvelle politique de modération concernant ChatGPT, incluant la possibilité de référer certaines conversations aux forces de l’ordre. OpenAI indique qu’il scanne les messages pour des contenus « nocifs », qu’il escalade les cas préoccupants à une équipe humaine et qu’en cas de menace imminente de dommages physiques envers autrui, ces cas peuvent être signalés à la police 🚔. Les comptes concernés peuvent aussi être bannis. ...

Selon NL Times (28 août 2025), les services de renseignement néerlandais MIVD et AIVD confirment que les Pays-Bas ont été visés par la campagne mondiale de cyberespionnage attribuée au groupe chinois Salt Typhoon, révélée fin 2024 et centrée sur le secteur des télécommunications. Les deux agences indiquent avoir vérifié indépendamment des éléments de l’enquête américaine reliant l’opération à Salt Typhoon. Aux Pays-Bas, les cibles identifiées étaient des petits fournisseurs d’accès Internet (FAI) et des hébergeurs, plutôt que les grands opérateurs télécoms. Les investigations montrent que les attaquants ont obtenu un accès aux routeurs des entités visées, sans indication d’une pénétration plus profonde des réseaux internes. Le MIVD, l’AIVD et le NCSC ont partagé, lorsque possible, des informations de menace avec les organisations affectées. ...

Selon Varonis, une enquête a révélé la compromission d’un serveur web Linux exploitée pendant plusieurs mois via une vulnérabilité de téléversement de fichiers non restreint, due à une page d’upload mal configurée exposée sur Internet. L’acteur a pu téléverser des web shells PHP obfusqués 🐚. Bien que l’attaque ait été contenue par des restrictions réseau empêchant la communication externe des web shells, l’incident met en évidence des lacunes critiques, dont des systèmes non patchés, l’absence d’EDR et une segmentation réseau insuffisante. ...

Selon une analyse signée par Brandon Mitchell, une faute de frappe de ghcr.io vers ghrc.io expose à un site configuré pour déclencher un flux d’authentification de registre et potentiellement dérober des identifiants GitHub. 🚨 Le domaine ghrc.io affiche en surface une page par défaut nginx, mais répond sous l’API OCI « /v2/ » avec un HTTP 401 et un en-tête WWW-Authenticate: Bearer realm=“https://ghrc.io/token", mimant le comportement d’un registre de conteneurs. Cet en-tête pousse des clients comme Docker, containerd, podman et les CRI Kubernetes à solliciter un jeton auprès de « https://ghrc.io/token », ce qui n’a aucune raison légitime sur un nginx par défaut et indique un objectif de vol d’identifiants. ...

Selon un papier de recherche académique (Harvard University et Centre for the Governance of AI), les auteurs proposent un cadre structuré pour analyser les incidents impliquant des agents IA et détaillent quelles données opérationnelles doivent être conservées et partagées pour permettre des enquêtes efficaces. • Le cadre identifie trois catégories de causes d’incident: facteurs système (données d’entraînement/feedback, méthodes d’apprentissage, prompts système, scaffolding), facteurs contextuels (définition de la tâche, outils et leurs accès, environnement informationnel incluant les injections de prompts) et erreurs cognitives observables de l’agent (observation, compréhension, décision, exécution). Il s’inspire des approches « human factors » (ex. HFACS) utilisées en aviation et autres domaines critiques. ...

Source: Socket (équipe de recherche). Le billet détaille une campagne où un paquet npm, nodejs-smtp, usurpe le populaire Nodemailer et implante un code dans des portefeuilles crypto de bureau sous Windows afin de détourner des transactions vers des adresses contrôlées par l’attaquant. 🚨 Le paquet nodejs-smtp se fait passer pour un mailer légitime et reste fonctionnel, exposant une interface compatible avec Nodemailer. Sur simple import, il abuse des outils Electron pour décompresser l’archive app.asar d’Atomic Wallet, remplacer un bundle fournisseur par une charge utile malveillante, reconditionner l’application et supprimer ses traces. Dans le runtime du wallet, le code injecté remplace silencieusement l’adresse du destinataire par des portefeuilles de l’attaquant, redirigeant des transactions en BTC, ETH, USDT (ERC20 et TRX USDT), XRP et SOL. La modification persiste jusqu’à réinstallation depuis la source officielle. ...

Source et contexte: Rapport de PIXM Security (Chris Cleveland) couvrant la fin août, décrivant une hausse record de campagnes de phishing ciblant des utilisateurs et administrateurs aux États‑Unis, avec abus d’infrastructures Cloudflare, Azure et Hostinger et un focus sur l’évasion des détections. • Panorama des attaques 🎣 Plusieurs vagues ont ciblé des services Microsoft, Adobe Cloud et Paperless Post, ainsi que des comptes personnels (Yahoo, Amazon) utilisés sur des appareils professionnels. Des arnaques de support Microsoft et des kits de relais MFA ont été observés, avec des pages adaptées par géolocalisation IP et paramètres d’URL pour router les victimes vers des centres d’appels distincts. ...

Source: PolySwarm Hivemind — Analyse détaillée d’une campagne Linux où le backdoor VShell est diffusé par une chaîne d’infection inédite exploitant des noms de fichiers RAR malveillants, avec liens à plusieurs APT chinoises. VShell est un backdoor Linux en Go qui s’appuie sur une injection de commande via nom de fichier dans des archives RAR. Un fichier dont le nom contient une commande Bash encodée Base64 s’exécute lorsque des opérations shell courantes (ex. ls, find, eval) traitent ce nom, déclenchant l’infection sans interaction supplémentaire ni bit exécutable. L’attaque débute par un email de spam déguisé en sondage beauté offrant une petite récompense 💌. ...

Source: Black Hat USA (présentation ERNW). Contexte: étude financée par le BSI allemand (2024–2026) visant à disséquer des composants de sécurité Windows, dont Windows Hello for Business (WHfB) et le Windows Biometric Service (WBS). Les chercheurs détaillent l’architecture de WHfB, l’initialisation et les pipelines du Windows Biometric Service, ainsi que le mode Enhanced Sign-in Security (ESS) impliquant VBS/VTL et l’isolement (BioIso.exe). Ils décrivent les flux d’authentification biométrique, l’intégration LSASS/TPM, et la gestion des unités biométriques (capteur/engine/storage). ...

Selon GBHackers Security, la CISA a publié une alerte urgente après avoir détecté l’exploitation active d’une vulnérabilité critique de type exécution de code à distance (RCE) touchant les appareils Citrix NetScaler. Identifiant: CVE‑2025‑7775 Nature de la faille: dépassement de mémoire (memory overflow) dans le sous-système de gestion du trafic de NetScaler Statut: 0‑day activement exploité et ajouté récemment au catalogue Known Exploited Vulnerabilities (KEV) de la CISA Impact et portée: la vulnérabilité permet potentiellement une exécution de code à distance sur les appareils concernés, indiquant une menace immédiate en raison de l’exploitation en cours. ...