Python

🗓️ Contexte Article publié le 9 avril 2026 par Malwarebytes sur Security Boulevard. Il s’agit d’une analyse technique d’une campagne de distribution de malware via un faux site de support Windows, ciblant principalement les utilisateurs francophones. 🎣 Vecteur d’infection La campagne repose sur le domaine typosquatté microsoft-update[.]support, qui imite une page officielle Microsoft. Le site, rédigé entièrement en français, propose une fausse mise à jour cumulative Windows 24H2 avec un numéro d’article KB plausible. Le fichier distribué est WindowsUpdate 1.0.0.msi (83 Mo), construit avec WiX Toolset 4.0.0.5512, créé le 4 avril 2026, avec des métadonnées usurpant l’identité de Microsoft. ...

🔍 Contexte Publié le 28 mars 2026 par Stefan Dasic sur le blog Malwarebytes, cet article présente la découverte d’un nouvel infostealer macOS initialement nommé NukeChain, puis renommé Infiniti Stealer après la divulgation publique de son panneau de contrôle. Il s’agit, selon les auteurs, de la première campagne macOS documentée combinant la technique ClickFix et un stealer Python compilé avec Nuitka. 🎯 Vecteur d’infection : ClickFix via fausse page CAPTCHA L’infection débute sur le domaine update-check[.]com, qui affiche une réplique de page de vérification humaine Cloudflare. L’utilisateur est invité à : ...

Source: Python Software Foundation News — La PSF annonce avoir retiré une proposition de 1,5 M$ recommandée par la NSF (programme Safety, Security, and Privacy of Open Source Ecosystems) visant à renforcer la sécurité de Python et de PyPI. La décision fait suite à des conditions imposées par la NSF, dont l’exigence d’affirmer que l’organisation « n’opère pas et n’opérera pas de programmes qui promeuvent la DEI » et la possibilité de clawback (récupération a posteriori de fonds déjà versés). La PSF juge ces clauses incompatibles avec sa mission qui inclut le soutien à une communauté diverse et internationale. ...

L’article provient d’une publication de recherche menée par le New Jersey Institute of Technology, qui analyse les vulnérabilités au sein de l’écosystème Python. PyPitfall est une étude quantitative qui examine les vulnérabilités des dépendances dans l’écosystème PyPI, la base de données officielle des packages Python. Les chercheurs ont analysé les structures de dépendance de 378,573 packages et ont identifié 4,655 packages nécessitant explicitement une version vulnérable connue, et 141,044 packages permettant l’utilisation de versions potentiellement vulnérables. ...

La conférence SciPy 2025, telle que rapportée par Emerging Technology Security, a mis en lumière des avancées significatives dans le domaine de la sécurité de l’IA utilisant Python. Les discussions ont porté sur des thèmes clés tels que l’IA explicable pour la conformité et la transparence, l’utilisation de l’analyse de graphes pour la détection des menaces, les pratiques sécurisées de déploiement des LLM (modèles de langage de grande taille), et la vérification des modèles via OpenSSF Model Signing. ...

L’article publié par Securonix Threat Research met en lumière une campagne de malware sophistiquée appelée SERPENTINE#CLOUD. Cette campagne utilise les tunnels Cloudflare pour diffuser des charges utiles malveillantes. Les attaquants emploient des fichiers .lnk pour initier la chaîne d’infection, se terminant par un chargeur shellcode basé sur Python. Les fichiers de raccourci (.lnk) sont envoyés via des e-mails de phishing, souvent déguisés en documents liés à des arnaques de paiement ou de factures. Une fois exécutés, ces fichiers déclenchent une séquence d’infection complexe utilisant des scripts batch, VBScript et Python, pour finalement déployer un payload PE emballé par Donut en mémoire. ...

L’article publié par Safety CLI Cybersecurity Inc. le 2 juin 2025, détaille une campagne de malware ciblant l’écosystème de la cryptomonnaie Solana. Entre le 4 et le 24 mai 2025, un acteur malveillant a publié 11 packages Python malveillants sur le registre PyPI, conçus pour voler du code source, des cryptomonnaies et d’autres données sensibles. La campagne s’est déroulée en quatre itérations distinctes, chacune utilisant un payload différent pour exfiltrer des données vers des adresses IP spécifiques hébergées en Russie. Le premier payload, prices.py, a été utilisé dans six packages publiés entre le 4 et le 20 mai, exfiltrant des fichiers Python vers une adresse IP spécifique. Les itérations suivantes ont introduit de nouveaux fichiers payload (helpers.py, coins.py, markets.py) avec des destinations d’exfiltration différentes. ...

L’actualité rapportée par Checkmarx Zero met en lumière une campagne malveillante ciblant les utilisateurs de Python et NPM. Cette campagne utilise des techniques de typo-squatting et de confusion de noms pour tromper les utilisateurs en téléchargeant des packages malveillants. Les packages malveillants ont été identifiés sur PyPI et NPM, utilisant des noms similaires à des packages légitimes comme colorama et colorizr. Cette approche inclut l’utilisation de noms d’un écosystème pour attaquer un autre, une tactique inhabituelle. ...

L’équipe de recherche de CYFIRMA a découvert un nouveau ransomware nommé Lyrix lors de la surveillance de forums clandestins, dans le cadre de leur processus de découverte de menaces. Ce ransomware est développé en Python et compilé avec PyInstaller, ce qui lui permet de fonctionner comme un exécutable autonome sur les systèmes Windows. Il utilise une encryption forte et ajoute une extension unique ‘.02dq34jROu’ aux fichiers chiffrés. Lyrix se distingue par ses techniques d’évasion avancées et ses mécanismes de persistance, rendant sa détection et sa suppression difficiles. Il obfusque ses comportements malveillants, contourne les systèmes de détection basés sur des règles, et menace de divulguer les données volées sur des forums clandestins. ...

L’équipe de recherche sur les menaces de Socket a découvert des paquets Python malveillants conçus pour créer un tunnel via Gmail, selon un article de socket.dev. Ces paquets, nommés Coffin-Codes-Pro, Coffin-Codes-NET2, Coffin-Codes-NET, Coffin-Codes-2022, Coffin2022, Coffin-Grave et cfc-bsb, utilisent Gmail, rendant ces tentatives moins susceptibles d’être signalées par les pare-feu et les systèmes de détection de points d’extrémité, car le protocole SMTP est couramment traité comme un trafic légitime. Une fois le tunnel créé, l’acteur de la menace peut exfiltrer des données ou exécuter des commandes que nous ne connaissons peut-être pas à travers ces paquets. L’e-mail de l’acteur de la menace est le seul indice potentiel quant à sa motivation. ...