Zero-Click

🗞️ Contexte Source : ZDFheute (zdfheute.de), publié le 2 novembre 2026. L’article rapporte la confirmation officielle par le ministre fédéral allemand du numérique d’une cyberattaque ciblant des membres du gouvernement et du Bundestag. 🎯 Nature de l’attaque Des appareils Apple (iPhones) appartenant à des membres du gouvernement fédéral allemand, des députés du Bundestag et d’autres personnalités publiques ont reçu des notifications de menace d’Apple, indiquant qu’ils ont été ciblés de manière individualisée. Le BSI précise que les appareils doivent être considérés préemptivement comme compromis. ...

📰 Source : SecurityAffairs, publié le 3 novembre 2026. Cet article rapporte une campagne de spyware mercenaire ayant ciblé des membres du Parlement allemand (Bundestag) et d’autres personnalités publiques, révélée via les notifications de menace d’Apple. 🗓️ Chronologie : 29 octobre 2026 : Apple commence à envoyer des notifications de menace sur les iPhones de cibles en Allemagne et dans 99 pays. 30 octobre 2026 : Le BSI (Bundesamt für Sicherheit in der Informationstechnik) envoie une lettre d’alerte aux membres du Bundestag concernés. 2 novembre 2026 : Le ministre du numérique Karsten Wildberger confirme publiquement les alertes sur ARD. 🎯 Cibles identifiées : ...

🔍 Contexte Publié le 29 octobre 2026 sur smsofdeath.com par le chercheur Mark B (alias @sourone), cet article constitue une divulgation publique complète d’une vulnérabilité zero-click affectant le framework téléphonie d’Android. La vulnérabilité a été signalée à Google le 5 mai 2026 et corrigée dans la mise à jour de sécurité Android d’octobre 2026. 🐛 Vulnérabilité technique Le composant WapPushOverSms.java (frameworks/opt/telephony) contient un cast non borné d’une valeur long vers int lors du décodage de l’en-tête WSP d’un message WAP Push : ...

🔍 Contexte Publié le 15 octobre 2026 par le Citizen Lab (Université de Toronto), ce rapport co-publié avec Confiant constitue la première confirmation technique publique d’une attaque zero-click par spyware mercenaire livrée via des publicités ciblées. Les chercheurs nomment cette technique AdFection. 🎯 Acteurs et victimes Discover-Tech Ltd (Israël, fondée en 2020) : société se présentant comme un acteur publicitaire légitime, identifiée comme facilitateur de spyware mercenaire via sa plateforme Controlium. Candiru (rebaptisé Integrity Labs après acquisition par Integrity Partners en 2025) : fournisseur de spyware mercenaire dont les outils ont été déployés via Discover-Tech. Al Jazeera : au moins 45 appareils infectés en 2024-2025 via des publicités Discover-Tech contenant le spyware Candiru. Autres partenaires identifiés : Bindecy (spyware zero-click, clients en Italie, Mexique, Colombie), Intelos (ADINT mercenaire), DARK CARTOGRAPHER (dé-anonymisation de masse via MSISDN). ⚙️ Mécanisme technique : AdFection Discover-Tech remporte une enchère RTB (Real-Time Bidding) et pousse une publicité vers un site ou une application. La publicité contient un script pointant vers un serveur NOAS (getAd server) de Discover-Tech. Le serveur NOAS évalue l’IP et l’identifiant publicitaire de l’appareil ; si la cible est éligible, il retourne du JavaScript malveillant. Ce JavaScript charge un exploit navigateur ou une iframe pointant vers un serveur validateur Candiru, puis vers un serveur C&C Candiru. L’infection est zero-click : le simple affichage de la publicité suffit. 🧰 Infrastructure Discover-Tech / Controlium Plateforme Controlium : interface permettant aux clients de cibler des utilisateurs par MAID (iOS/Android), cookie ID ou adresse IP, et de pousser des contenus malveillants via des « controlled ads ». MyDSP : DSP propriétaire connecté à Google, Yandex, Vungle, Sunteng. DSPs tiers utilisés : Beeswax (Comcast/FreeWheel), Eskimi. Synchronisation d’identifiants avec Yandex, Beeswax (bidr.io), Xandr (Microsoft Advertising). Fonctionnalité Infinite FIFO : permet de cibler un utilisateur précis une seule fois avec un payload. 3 637 213 utilisateurs éligibles identifiés sur 5 mois (janvier–juin 2026) via le serveur ppv2.mtrtb.com. 📊 Échelle des opérations Analyse de ~4 milliards d’enregistrements d’enchères (mars–juin 2026). Publicités affichées sur plus de 70 000 applications mobiles et 120 000 sites web. 718 748 885 enchères (~19%) contenaient des script tags NOAS malveillants. Pays les plus ciblés (bids NOAS) : Yémen, Pakistan, Monténégro, Brésil, Mexique, Chine, Biélorussie, Arménie, Tchéquie, Israël. Impressions détectées dans des réseaux sensibles : NATO, ONU, Parlement européen, Commission européenne, ministères de la défense, forces armées, agences cyber nationales, infrastructures critiques (Suède, Norvège, Danemark, Australie, Israël, Italie, Tchéquie, Arménie…). Applications touchées : MX Player, Lark Player, Viber, Truecaller, Snap VPN, Duolingo, Yahoo Mail, Opera Mini, Grindr, Badoo. 🦠 Attribution du spyware Candiru DLL Windows isolée sur un appareil compromis d’Al Jazeera : SHA256 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8. C&C hardcodés : fearevolve[.]com, jobmarcher[.]com (Fingerprint C1). Techniques : COM hijack pour persistance, obfuscation XOR 48 octets avec null-terminator factice, vérification de connectivité via google.com et microsoft.com. 305 domaines validateurs Candiru identifiés sur 319 adresses IP (août 2022 – juillet 2026). 🏢 Réseau corporate Discover-Tech CEO : Dekel Boni ; administrateur historique : Eric Banoun (co-fondateur de Circles/NSO, Senpai/Intellexa, actionnaire d’Intelos). Actionnaire historique : Chaia Services Ltd (BVI), liée à Sara Hamou (gestionnaire du réseau Intellexa, condamnée en Grèce dans le scandale Predatorgate). Liens Wix partagés entre discover-tech.io, intelos.io, tekma-dmp.ai, tekma.io, partners.akedo.gg. Entités liées : Akedo, Volasim Ltd (Chypre), MyIPInfo, Adtimizer Ltd, Tekma. 📋 Type d’article Publication de recherche technique approfondie du Citizen Lab, visant à exposer publiquement une infrastructure de spyware mercenaire exploitant l’écosystème publicitaire programmatique, avec divulgation coordonnée aux acteurs de l’industrie. ...

🔬 Contexte Publié le 8 septembre 2026 par la société de recherche offensive Calif (calif.io), cet article présente WeWorm, décrit comme le premier ver zero-click capable de se propager automatiquement via les appels WeChat sur iOS et Android. La recherche a été couverte par le New York Times. 🐛 La vulnérabilité Le bug est une corruption mémoire (memory corruption) dans la pile VoIP de WeChat. Il permet une exécution de code à distance (RCE) déclenchée uniquement par un appel entrant, sans que la victime n’ait besoin de décrocher ou d’interagir avec son téléphone. Les détails techniques complets sont retenus dans l’attente d’une présentation en conférence. ...

🔍 Contexte Publié le 4 septembre 2026 par The Cyber Express, cet article s’appuie sur les conclusions de la SHARE Foundation (Belgrade), du Citizen Lab (Université de Toronto) et du Security Lab d’Amnesty International. Il documente la plus grande vague de ciblage par spyware mercenaire jamais documentée en Serbie. 🎯 Victimes ciblées Au moins 14 personnes ont été ciblées, incluant : Membres du mouvement étudiant de protestation Militants de la société civile Un membre du Parlement Un conseiller municipal local 🦠 Malwares identifiés Pegasus (NSO Group) : ...

📅 Source et contexte : Le 16 juillet 2026, le Security Lab d’Amnesty International publie une analyse technique approfondie du spyware Pegasus développé par NSO Group. Cette analyse s’appuie sur des documents internes confidentiels de NSO Group divulgués dans le cadre du procès civil WhatsApp/Meta contre NSO Group devant un tribunal américain, ainsi que sur des investigations forensiques antérieures. 🏗️ Architecture et infrastructure : Pegasus est vendu comme une solution « end-to-end » aux gouvernements clients. NSO Group opère une infrastructure anonymisée dite « whitened » via un département dédié appelé « White Services », responsable de l’enregistrement anonyme de domaines, comptes email, serveurs et comptes WhatsApp/iCloud pour chaque client. Le réseau de livraison est appelé Pegasus Anonymizing Transmission Network (PATN). Les paiements de l’infrastructure sont effectués en cryptomonnaies. Un Network Operation Center (NOC) surveille en temps réel les systèmes clients. L’infrastructure est strictement cloisonnée par client. ...

🔍 Contexte Rapport publié le 23 juillet 2026 par Unit 42 (Palo Alto Networks) sur la base de l’URL https://unit42.paloaltonetworks.com/russian-webmail-espionage. L’article documente une campagne de cyberespionnage active, désignée CL-STA-1114, attribuée à un acteur russophone également suivi sous les noms Void Blizzard et LAUNDRY BEAR par d’autres éditeurs. 🎯 Ciblage La campagne cible des organisations dans les secteurs suivants : Gouvernements Défense Transport Finance Les régions concernées incluent les États membres de l’OTAN, l’Ukraine, les pays de la CEI (Communauté des États Indépendants) et l’Afrique. ...

🗓️ Contexte Source : The Record (Recorded Future News), publié le 3 juillet 2026. L’information repose sur un rapport du Citizen Lab rendu public le même jour, faisant suite à l’analyse forensique du téléphone de l’eurodéputé grec Stelios Kouloglou, conduite en mai 2026. 🎯 Faits principaux Le téléphone de Kouloglou a été infecté par Pegasus, un spyware zero-click développé par le NSO Group, à deux reprises : Octobre 2022 : première infection, survenue moins d’une semaine avant une série d’auditions du comité PEGA et la publication d’un projet de rapport. Mars 2023 : deuxième infection, lors de discussions intenses sur le rapport final du comité. Kouloglou était membre du comité PEGA (Parlement européen), chargé d’enquêter sur les abus des logiciels espions commerciaux en Europe. Le comité a publié ses recommandations en mai 2023. ...

🔍 Contexte Publié le 1er juillet 2026 par Cato AI Labs (blog Cato Networks), cet article présente la découverte de deux vulnérabilités critiques dans Cursor IDE, un environnement de développement intégré basé sur l’IA utilisé par plus de la moitié des entreprises du Fortune 500. 🚨 Vulnérabilités identifiées Les deux vulnérabilités, regroupées sous le nom DuneSlide, ont obtenu un score CVSS de 9.8 et ont été assignées les identifiants CVE-2026-50548 et CVE-2026-50549. ...