Malware

Selon un article publié le 14 janvier 2026, un framework malveillant avancé et cloud-native pour Linux nommé VoidLink a été découvert, orienté vers les environnements cloud modernes. Des chercheurs de Check Point ont identifié un nouveau framework malware cloud-native pour Linux, baptisé VoidLink, conçu spécifiquement pour les environnements cloud et conteneurisés modernes. VoidLink se distingue par : une architecture modulaire très avancée, une compatibilité native avec Docker et Kubernetes, l’intégration de loaders, implants, rootkits et plugins, et un fort accent mis sur la furtivité et l’évasion automatisée. Le framework est développé en Zig, Go et C, avec une documentation riche et une structure suggérant un produit commercial ou un framework sur mesure pour un client, plutôt qu’un malware opportuniste. Aucune infection active n’a été observée à ce stade. ...

Contexte: The Register publie une interview de Kate Middagh (Palo Alto Networks, Unit 42) décrivant l’usage croissant des LLM dans le développement de malware et introduisant le cadre « SHIELD » pour sécuriser le « vibe coding ». • Constats clés 🧠🤖: Des criminels utilisent « très probablement » des plateformes de vibe coding/LLM pour écrire du malware ou orchestrer des attaques, avec un humain toujours dans la boucle. Des erreurs/hallucinations des modèles mènent à des attaques ratées (ex. nom de fichier de rançon incorrect), et à de la « sécurité théâtrale » où du code d’évasion apparaît pour la forme sans effet réel. ...

Selon OX Security (OX Research), une campagne malveillante exploite deux extensions Chrome usurpant l’extension légitime AITOPIA pour exfiltrer des conversations ChatGPT et DeepSeek, ainsi que toutes les URLs des onglets Chrome, vers un serveur C2 toutes les 30 minutes. L’une des extensions malveillantes arborait même le badge “Featured” de Google. • Impact et périmètre: plus de 900 000 téléchargements des extensions « Chat GPT for Chrome with GPT-5, Claude Sonnet & DeepSeek AI » et « AI Sidebar with Deepseek, ChatGPT, Claude and more ». Les extensions restent disponibles sur le Chrome Web Store, malgré un signalement à Google le 29 déc. 2025 (statut « in review » au 30 déc. 2025). ...

Security Affairs (par Pierluigi Paganini) relaie un rapport de Koi Security sur le package NPM malveillant “Lotusbail”, un fork de la librairie Baileys pour l’API WhatsApp Web, actif depuis six mois et totalisant plus de 56 000 téléchargements. Le package fonctionne comme une API WhatsApp pleinement opérationnelle, en enveloppant le client WebSocket légitime afin que tous les messages y transitent d’abord. Il intercepte identifiants, messages, contacts et médias tout en maintenant le fonctionnement normal, rendant la détection difficile. ...

Selon Aikido Security (blog, 28 déc. 2025), une nouvelle souche du ver/malware Shai Hulud a été détectée dans le package npm @vietmoney/react-big-calendar, vraisemblablement un test des attaquants, sans signe de large propagation à ce stade. • Nature et contexte: Aikido décrit une variante «novelle et inédite» de Shai Hulud, dont le code apparaît à nouveau obfusqué depuis la source originale (peu probable qu’il s’agisse d’un copycat). Le package malveillant a été identifié peu après sa mise en ligne, avec des changements notables dans la chaîne d’exfiltration et l’opérationnalisation du ver. ⚠️ ...

Source : Securelist (Kaspersky). L’article présente une analyse de la campagne « Webrat », où un cheval de Troie est diffusé via des dépôts GitHub, se faisant passer pour des exploits de vulnérabilités critiques pour cibler des chercheurs en cybersécurité. Début 2025, des chercheurs en sécurité ont identifié une nouvelle famille de malwares baptisée Webrat. Initialement, ce cheval de Troie ciblait principalement des utilisateurs grand public en se faisant passer pour des cheats de jeux populaires (Rust, Counter-Strike, Roblox) ou des logiciels piratés. ...

Cyber Security News relaie une analyse de Koi identifiant un package npm malveillant, “lotusbail”, actif depuis six mois et se présentant comme un fork de “@whiskeysockets/baileys”. Le module, téléchargé plus de 56 000 fois, fonctionne réellement comme une API WhatsApp Web, ce qui lui permet de passer en production sans éveiller de soupçons tout en dérobant des données sensibles. – Le package vole des jetons d’authentification, des clés de session WhatsApp, l’historique des messages (passés et présents), les annuaires de contacts (numéros) ainsi que les fichiers média et documents. Il maintient en outre un accès persistant aux comptes compromis. ...

Selon The Register (Connor Jones, 19 décembre 2025), des actes d’accusation fédéraux aux États-Unis visent des membres présumés du gang vénézuélien Tren de Aragua (TdA) pour une série d’attaques de jackpotting d’ATM impliquant une variante du malware Ploutus. • Deux inculpations ont été rendues au Nebraska, visant au total 54 membres présumés de TdA pour des attaques de jackpotting d’ATM à travers le pays 🏧. Les documents judiciaires décrivent des déplacements en groupe pour cibler des distributeurs gérés par certaines banques et coopératives de crédit, avec inspection des dispositifs de sécurité externes avant l’ouverture de la porte de l’ATM et vérification d’éventuelles alarmes. ...

ReversingLabs publie une enquête sur une campagne active depuis février 2025 révélant 19 extensions VS Code malveillantes qui cachent des charges utiles dans leurs dépendances, notamment une fausse image PNG contenant des binaires. Les extensions malicieuses incluent des dépendances pré-packagées dans le dossier node_modules dont le contenu a été altéré par l’attaquant. La dépendance populaire path-is-absolute a été modifiée localement (sans impact sur le package npm officiel) pour ajouter du code déclenché au démarrage de VS Code, chargé de décoder un dropper JavaScript stocké dans un fichier nommé ’lock’ (obfuscation par base64 puis inversion de la chaîne). ...

Selon BleepingComputer, les autorités ont mené deux opérations distinctes aboutissant à des arrestations en Espagne et en Ukraine, visant des individus soupçonnés d’infractions cyber liées au vol massif de données et au piratage de comptes. 🚔 En Espagne, la Police nationale a arrêté à Igualada (Barcelone) un suspect de 19 ans, accusé d’avoir accédé sans autorisation à neuf entreprises et d’avoir dérobé 64 millions d’enregistrements. Les données incluent des noms complets, adresses postales, emails, numéros de téléphone, numéros de DNI et codes IBAN. Le suspect fait face à des charges pour cybercriminalité, accès non autorisé, divulgation de données privées et atteintes à la vie privée. ...