WhatsApp

📰 Source : Citizen Lab, publié le 19 juin 2026. Cet article relaye des déclarations médiatiques (Financial Times, New York Times) concernant une nouvelle action judiciaire de Meta contre NSO Group. ⚖️ Contexte judiciaire : Meta/WhatsApp a annoncé son intention de saisir un tribunal américain pour faire constater l’outrage au tribunal de NSO Group. Une ordonnance judiciaire antérieure (émise l’année précédente) interdisait déjà à NSO Group d’utiliser WhatsApp pour cibler des individus. ...

📰 Source : Help Net Security — Date : 8 juin 2026 Meta déclare avoir perturbé des tentatives de spear-phishing attribuées au groupe NSO, spécialiste du spyware commercial, ciblant des utilisateurs de WhatsApp. Ces actions auraient été détectées à la suite de signalements d’utilisateurs. ⚖️ Meta demande à un tribunal fédéral américain de déclarer NSO Group en outrage au tribunal, estimant que le vendeur de spyware a violé une injonction judiciaire lui interdisant de cibler WhatsApp et ses utilisateurs. ...

🗓️ Contexte Article publié le 25 mai 2026 par Denham Sadler sur Information Age (ACS), relatant les révélations faites lors d’une audition du Sénat australien (Senate Estimates) concernant une compromission de comptes WhatsApp au sein du Parlement fédéral australien. 🎯 Incident Le 6 mars 2026, les comptes WhatsApp d’un parlementaire fédéral et de trois membres de son personnel ont été compromis via une campagne de phishing ciblée. Les comptes concernés étaient des comptes personnels, utilisés à la fois sur des appareils personnels et sur des appareils gérés par le Department of Parliamentary Services (DPS). ...

🔍 Contexte Publié le 30 avril 2026 sur Security Affairs par Pierluigi Paganini, cet article relate une controverse interne au sein du Département du Commerce américain concernant la nature réelle du chiffrement de WhatsApp (Meta). 📋 Faits rapportés En début 2026, un agent spécial du Bureau of Industry and Security (BIS) a conduit une enquête interne de 10 mois, baptisée « Operation Sourced Encryption ». Le 16 janvier 2026, il a diffusé un email à plus d’une douzaine de responsables fédéraux exposant ses conclusions préliminaires : ...

📰 Source : 24heures.ch — Article de presse généraliste publié le 20 avril 2026, rédigé par Aymeric Dejardin-Verkinder. Contexte Une arnaque de type phishing circulant sur WhatsApp a été détectée en Suisse romande et en France. Initialement repérée en octobre 2025 par Kaspersky, elle s’est d’abord propagée en Europe avant d’atteindre la Suisse ces dernières semaines, faisant déjà des victimes selon des témoignages recueillis par la rédaction. Mécanisme d’attaque Le scénario repose sur une ingénierie sociale exploitant la confiance et l’urgence : ...

📰 Contexte Source : TechCrunch — Article publié le 13 avril 2026. Booking.com, plateforme mondiale de réservation hôtelière revendiquant 6,8 milliards de réservations depuis 2010, a officiellement confirmé une violation de données affectant des informations personnelles de clients. 🔓 Nature de l’incident Des tiers non autorisés ont accédé à des informations de réservation de clients. Les données compromises incluent : Noms Adresses email Numéros de téléphone Détails de réservation Informations partagées avec l’hébergement La porte-parole Courtney Camp a précisé que les informations financières n’ont pas été accédées et que les adresses physiques n’ont pas été dérobées. ...

🔍 Contexte Cette analyse technique a été publiée le 31 mars 2026 par la Microsoft Defender Security Research Team. Elle documente une campagne active observée depuis fin février 2026, exploitant WhatsApp comme vecteur de distribution de fichiers VBScript (VBS) malveillants. 🎯 Chaîne d’infection La campagne se déroule en quatre étapes distinctes : Étape 1 – Accès initial : Des fichiers VBS sont envoyés via WhatsApp. Une fois exécutés, ils créent des dossiers cachés dans C:\ProgramData et y déposent des utilitaires Windows légitimes renommés (curl.exe → netapi.dll, bitsadmin.exe → sc.exe) pour se fondre dans l’environnement système. Étape 2 – Récupération de payloads : Les binaires renommés téléchargent des droppers secondaires (auxs.vbs, WinUpdate_KB5034231.vbs, 2009.vbs) depuis des services cloud légitimes (AWS S3, Tencent Cloud, Backblaze B2), dans un dossier caché C:\ProgramData\EDS8738. Étape 3 – Élévation de privilèges et persistance : Le malware tente de contourner l’UAC en lançant cmd.exe avec des privilèges élevés, modifie la valeur de registre ConsentPromptBehaviorAdmin sous HKLM\Software\Microsoft\Win, et installe des mécanismes de persistance survivant aux redémarrages. Étape 4 – Payload final : Des installeurs MSI non signés sont déployés (Setup.msi, WinRAR.msi, LinkPoint.msi, AnyDesk.msi), permettant un accès distant persistant aux systèmes compromis. 🛠️ Techniques notables Living-off-the-land (LOLBAS) : utilisation de curl.exe et bitsadmin.exe renommés Hébergement cloud : payloads hébergés sur AWS S3, Tencent Cloud, Backblaze B2 Bypass UAC via modification du registre Discordance PE metadata : les binaires renommés conservent leur champ OriginalFileName d’origine, exploitable comme signal de détection 📡 Infrastructure C2 Deux domaines de commande et contrôle ont été identifiés : neescil.top et velthora.top. ...

📰 Contexte Source : The Record Media, publié le 2 avril 2026. WhatsApp (filiale de Meta) a publié une annonce officielle révélant la découverte d’une fausse version de son application mobile, conçue pour infecter des utilisateurs avec un spyware. 🎯 Nature de l’attaque La société italienne SIO, via sa filiale ASIGINT, a développé un faux client WhatsApp ciblant les iPhones. Ce client malveillant était distribué via des techniques d’ingénierie sociale hautement ciblées, incitant les victimes à télécharger l’application en dehors des canaux officiels. ...

🔍 Contexte Publié le 31 mars 2026 par McAfee Labs (auteur : Ahmad Zubair Zahid), cet article présente les résultats d’une investigation approfondie sur une campagne de rootkit Android baptisée Operation NoVoice, distribuée via le Google Play Store officiel. 🎯 Vecteur d’infection et distribution Plus de 50 applications malveillantes publiées sur Google Play (nettoyeurs, jeux, galeries photos) ont été identifiées, totalisant au moins 2,3 millions de téléchargements. Aucun sideloading requis, aucune permission inhabituelle demandée. Les composants malveillants sont enregistrés sous com.facebook.utils, se fondant dans le SDK Facebook légitime. Le payload initial est dissimulé dans une image polyglotte (payload chiffré après le marqueur IEND du PNG). ⚙️ Chaîne d’infection en 8 étapes Stage 1 – Delivery : Extraction et déchiffrement du payload enc.apk → h.apk depuis les assets de l’app. Stage 2 – Gatekeeper : Chargement de libkwc.so qui vérifie l’environnement (15 contrôles anti-analyse, géofencing Beijing/Shenzhen, détection émulateur, Xposed, VPN). Stage 3 – Plugin : Framework plugin “kuwo” avec check-in C2 toutes les 60 secondes ; plugins livrés via images polyglotte déguisées en icônes (warningIcon). Stage 4 – Exploit : security.jar envoie les identifiants matériels au C2 qui retourne des exploits ciblés. 22 exploits récupérés, dont une chaîne : use-after-free IPv6 + vulnérabilité driver Mali GPU + désactivation SELinux. Stage 5 – Rootkit : CsKaitno.d remplace libandroid_runtime.so et libmedia_jni.so par des wrappers malveillants (ARM32/ARM64). jkpatch modifie le bytecode framework compilé sur disque. Stage 6 – Watchdog : Daemon watch_dog vérifie l’installation toutes les 60 secondes, force un redémarrage si nécessaire. Survit à la réinitialisation d’usine (Android 7 et inférieur). Stage 7 – Injection : À chaque démarrage, toutes les apps héritent du code attaquant. BufferA (installeur silencieux) et BufferB (outil post-exploitation principal, deux canaux C2 indépendants). Stage 8 – Theft : Payload PtfLibc (hébergé sur Alibaba Cloud OSS) cible WhatsApp : copie de la base de données de chiffrement, extraction des clés Signal, clonage de session. 🌍 Géographie et cibles Les taux d’infection les plus élevés sont observés au Nigeria, Éthiopie, Algérie, Inde et Kenya, régions où les appareils anciens sous Android 7 ou inférieur sont répandus. ...

Le Centre de Coordination des Crises Cyber (C4) publie une note d’alerte signalant une hausse d’attaques visant les messageries instantanées, en particulier Signal (et aussi WhatsApp), contre des personnalités politiques et cadres de l’administration, notamment des secteurs régaliens. Les attaques reposent sur de la fraude à l’identité et le détournement de fonctionnalités légitimes (association d’appareils, transfert de compte), permettant l’accès à l’historique des conversations, au carnet d’adresses, l’usurpation d’identité pour envoyer des messages, et des usages de désinformation/manipulation dans des contextes d’ingérence étrangère. ...