Supply-Chain

🗓️ Contexte Publié le 2 novembre 2026 sur KrebsOnSecurity, cet article relate une opération coordonnée menée par Google et plusieurs partenaires industriels contre le botnet XCPE, dont le nom est tiré d’un composant central du malware associé. 🎯 Nature de la menace Le fabricant chinois Videostrong Technology Co. a délibérément intégré un malware backdoor dans ses box TV Android, enrollant plus de 1,3 million d’appareils dans le botnet XCPE. Ce malware : ...

🔍 Contexte Publié le 2 novembre 2026 par le Google Threat Intelligence Group, cet article détaille le démantèlement du botnet XCPE, opéré par Videostrong Technology Co., un fabricant OEM/ODM Android basé en Chine. L’opération a été menée en collaboration avec la Police Nationale Japonaise, Lumen, HUMAN Security, Plume, Synthient et TrendAI. 🎯 Nature de la menace Videostrong a intentionnellement préinstallé une backdoor (x.cpe / com.oemservice) dans le firmware de plus de 1,3 million de décodeurs Android TV (set-top boxes), ainsi que d’autres appareils IoT (dispositifs de télésanté, machines à karaoké, affichage numérique). La backdoor opère au niveau de privilège android.uid.system et se réinstalle automatiquement depuis la partition /oem/ en cas de suppression. ...

🔍 Contexte Source : SafeDep (safedep.io), publié le 3 novembre 2026 par Kunal Singh. L’article documente une attaque de supply chain ciblant le dépôt GitHub antd-img-crop, un composant Ant Design utilisé pour le recadrage d’images avec environ 98 000 téléchargements npm hebdomadaires. 💥 Vecteur d’attaque initial Le 31 octobre 2026 à 15h12 UTC, un attaquant a effectué un force-push depuis le compte du mainteneur compromis pour injecter le commit malveillant 2aa8504. Ce commit est une reconstruction du commit légitime 4.30.0 (daté du 12 mars), conservant le même auteur, date et message, rendant la détection difficile. ...

🔍 Contexte Publié le 30 octobre 2026 sur le blog de Hacktron (hacktron.ai), cet article est un post-mortem de recherche offensive menée sur GNU Savannah, la forge logicielle hébergeant des projets GNU critiques comme Bash et Coreutils. La recherche a été conduite via la plateforme Hacktron et signalée à la FSF le 11 mai 2026. 🐛 Vulnérabilité principale — HCK-001 (Critique) La forge utilise Savane, une application PHP héritée du code SourceForge de 2001. Le validateur d’adresses email (check_email) accepte des caractères spéciaux comme les backticks dans la partie locale d’une adresse, conformément à la RFC. Lors du test de clé GPG (/my/admin/gpgkeys), la fonction test_listing() concatène l’adresse email directement dans une commande shell passée à gpg via utils_run_proc(), sans échappement. ...

📰 Source : BleepingComputer | Date : 30 octobre 2026 | Contexte : Alerte de sécurité émise par Trezor concernant une compromission de la chaîne d’approvisionnement de ses portefeuilles matériels. 🔍 Incident principal Trezor a reçu un signalement crédible d’un utilisateur indonésien ayant acheté un portefeuille matériel Safe 5 via le revendeur CryptoBilis sur la plateforme Tokopedia en août 2026. À l’ouverture du boîtier, l’utilisateur a découvert une carte de circuit imprimé supplémentaire insérée entre la carte principale et l’écran, équipée d’un module cellulaire et d’une antenne. ...

🇳🇴 Contexte Le 27 octobre 2026, le NSM (Nasjonal sikkerhetsmyndighet), l’autorité norvégienne de sécurité nationale, a publié pour la première fois son évaluation nationale du cyberrisque de manière ouverte et non classifiée. Le niveau a été porté à ÉLEVÉ (HØYT), soit le quatrième niveau sur une échelle de cinq allant de TRÈS BAS à EXTRÊMEMENT ÉLEVÉ. Le niveau MODÉRÉ est considéré comme l’état normal. 📊 Situation opérationnelle Le directeur du NSM, Arne Christian Haugstøyl, indique qu’au cours des six derniers mois, le nombre de cyberopérations réussies contre des organisations norvégiennes a triplé, avec plusieurs incidents ayant des conséquences graves et un potentiel de dommages persistant pour la sécurité nationale. ...

🔍 Contexte : Le 29 octobre 2026, Hudson Rock (via infostealers.com) publie une investigation technique sur une compromission de la plateforme de prédiction crypto Polymarket, impliquant un script JavaScript malveillant distribué via l’infrastructure CDN de DebugBear, un outil légitime de monitoring de performance. ⚠️ Nature de l’attaque : Le fichier cdn.debugbear[.]com/C7xcKKrjUnXK.js (15 187 octets, SHA-256 : 0755e767504d8103f6c27b9e765a1026507a17c04513242adb503df7777879e5) récupéré à 18:12:06 UTC contenait une logique de vol d’actifs crypto spécifiquement ciblant Polymarket : ...

🗓️ Contexte Source : OpenSourceMalware.com, publié le 30 octobre 2026. L’article rapporte la compromission de l’extension officielle Claude Code (identifiant anthropic.claude-code) sur le Cursor Marketplace, dans sa version 2.1.313, publiée le 29 octobre 2026. Cursor a confirmé l’incident. Les versions disponibles sur NPM, OpenVSX et le Microsoft VSCode Marketplace ne sont pas affectées. 🎯 Nature de la menace Un loader malveillant de 66 lignes a été prépendu au fichier extension.js légitime de l’extension. Ce code s’exécute dès le chargement du module par VS Code, sans nécessiter d’interaction utilisateur. Il exploite les modules Node.js natifs (process, fs, os, http, crypto) et ne repose sur aucun script de cycle de vie npm. ...

🔍 Contexte Analyse publiée par NextronSystems sur GitHub le 29 octobre 2026, basée sur des détections THOR sur VirusTotal entre début septembre et début octobre 2026. L’auteur (MalGamy12) a identifié un cluster de neuf fichiers LNK malveillants attribués à APT-C-55 (Kimsuky). 🎯 Ciblage multilingue Les leurres sont rédigés en coréen, japonais, vietnamien, allemand et anglais, thématisés autour de contrats, assurances, factures et documents financiers. Un leurre spécifique cible une plateforme d’échange de cryptomonnaies (MEXC), indiquant une expansion au-delà des cibles gouvernementales habituelles. ...

🔍 Contexte Cet article de recherche publié le 26 octobre 2026 par l’équipe Sansec Forensics documente une attaque de type supply chain ciblant la plateforme e-commerce brésilienne Convertr, opérateur de boutiques en ligne pour des dizaines de marques de mode brésiliennes représentant plus de R$2 milliards de transactions. 🎯 Vecteur d’attaque L’attaquant a modifié le script tracker Plausible Analytics hébergé sur le serveur propre de Convertr (analytics.convertr.app.br). Le vecteur d’entrée suspecté est CVE-2026-8467, une vulnérabilité critique dans Plausible Community Edition versions 3.0.0 à 3.2.0, permettant l’exécution de commandes à distance via un composant exposé sans authentification à /storybook. Convertr utilisait la version 3.0 installée en 2025, jamais mise à jour malgré le correctif disponible depuis mai 2026. ...