🔎 Cyberveille

Ruag Mro Holding SA a été victime d’une attaque informatique ciblant son bureau de liaison aux Etats-Unis, a annoncé mardi l’entreprise. L’incident fait actuellement l’objet d’une analyse tandis que des mesures ont été prises.

Une opération policière européenne a permis de démanteler un réseau international de fraude aux cryptomonnaies. Les escrocs ont gagné et blanchi 600 millions d’euros avec des fraudes à l’investissement bien rodées. Neuf suspects ont été interpellés.

Selon BleepingComputer, des acteurs malveillants exploitent activement une vulnérabilité critique (CVE-2025-11833, score 9,8) dans le plugin WordPress Post SMTP (installé sur 400 000+ sites), permettant la lecture non authentifiée des journaux d’e-mails et la prise de contrôle de comptes administrateurs.

Étant donnée l’exploitation en cours, les propriétaires de sites utilisant Post SMTP sont invités à passer immédiatement à la version 3.6.1 ou à désactiver le plugin

L'idée d'interdire les routeurs TP-Link est apparue pour la première fois il y a environ un an, lorsque le matériel produit par l'entreprise - fondée en Chine - a été accusé d'être lié à une série de cyberattaques. Les services du gouvernement américain ont lancé une enquête pour déterminer si TP-Link pouvait représenter un risque, en mettant particulièrement l'accent sur ses liens avec la Chine, bien que TP-Link opère depuis Singapour et ait établi un nouveau siège aux États-Unis l'année dernière.

"En établissant notre siège mondial aux États-Unis, nous ne faisons pas qu'étendre notre présence, nous prenons un engagement à long terme envers les consommateurs et les entreprises américains", avait déclaré la société.

Influence chinoise ? Aujourd'hui, un nouvel article publié par le Washington Post suggère que "plus d'une demi-douzaine" de ministères et d'agences fédérales soutiennent un plan visant à interdire les ventes futures de routeurs TP-Link aux États-Unis.

Selon un chercheur en sécurité, des pirates pourraient détourner l'API de téléchargement de fichiers de l'asssitant IA Claude d'Anthropic pour exfiltrer des informations sensibles, même quand des restrictions réseau sont activées.

Une vulnérabilité récemment révélée dans l'assistant d’IA Claude d'Anthropic pourrait permettre à des pirates d’exploiter la fonctionnalité d'interpréteur de code de la plateforme pour exfiltrer silencieusement les données d'entreprise, en contournant même les paramètres de sécurité par défaut conçus pour empêcher de telles attaques. Le chercheur en sécurité Johann Rehberger a démontré que l'interpréteur de code de Claude peut être manipulé par injection indirecte de commandes pour voler des informations sensibles, notamment les historiques de chat, les documents téléchargés et les données accessibles via les services intégrés. L'attaque a exploité l'infrastructure API propre à Claude pour envoyer les données volées directement vers des comptes contrôlés par les pirates. L'exploit tire parti d'une faille critique dans les contrôles d'accès au réseau de Claude. Et si le paramètre par défaut « Package managers only » (Gestionnaires de paquets uniquement) de la plateforme limite les connexions sortantes aux domaines approuvés comme npm et PyPI, il autorise également l'accès à api.anthropic.com, le point de terminaison que les pirates peuvent exploiter pour voler des données.

Des données publicitaires géolocalisées obtenues par « Le Monde » et ses partenaires ont permis d’identifier et de suivre à la trace plusieurs dignitaires de l’Union européenne. Un cas pratique illustrant les limites du cadre européen en matière de données personnelles.

BleepingComputer rapporte que des pirates exploitent activement une vulnérabilité critique dans le thème WordPress premium JobMonster (NooThemes), observée par Wordfence qui a bloqué de multiples tentatives au cours des dernières 24 heures.

⚠️ Vulnérabilité: CVE-2025-5397 (score de sévérité 9,8) est un contournement d’authentification affectant toutes les versions jusqu’à 4.8.1. Le problème provient de la fonction check_login() qui ne vérifie pas correctement l’identité de l’utilisateur avant l’authentification. Le correctif est disponible en version 4.8.2.

🧩 Conditions et impact: L’exploitation nécessite que la connexion sociale (social login) soit activée sur le site. Dans ce cas, JobMonster fait confiance aux données d’authentification externes sans les valider correctement, permettant à un attaquant non authentifié de prendre le contrôle de comptes administrateur. Un attaquant doit généralement connaître le nom d’utilisateur ou l’email de l’administrateur ciblé.

Microsoft a révélé les détails d’une nouvelle porte dérobée baptisée SesameOp qui utilise l’interface de programmation d’applications (API) OpenAI Assistants pour les communications de commande et de contrôle (C2).

« Au lieu de s’appuyer sur des méthodes plus traditionnelles, l’acteur malveillant à l’origine de cette porte dérobée utilise OpenAI comme canal C2 pour communiquer furtivement et orchestrer des activités malveillantes au sein de l’environnement compromis », a déclaré l’équipe de détection et de réponse (DART) de Microsoft Incident Response dans un rapport technique publié lundi.

Outre-Atlantique, deux anciens employés d’entreprises spécialisées dans la négociation avec les cybercriminels sont accusés d’avoir eux-mêmes conduit des attaques le rançongiciel d’Alphv/BlackCat.

...

Ils sont accusés d’avoir participé à des cyberattaques impliquant l’enseigne Alphv/BlackCat. Les opérateurs de cette dernière, découverte fin 2021, sont partis avec la caisse début 2024.

Cinq victimes sont attribuées aux deux accusés, entre mai et novembre 2023. Ils auraient sollicité des rançons comprises entre 300 000 $ et 10 millions de dollars.

Des cybercriminels s'attaquent désormais aux transporteurs routiers à l'aide de logiciels malveillants, pour voler des cargaisons bien réelles. Plusieurs campagnes ont été identifiées par les experts depuis cet été.

Présente désormais dans tous les appareils de téléphonie cellulaire en Russie, l'application de messagerie Max représente le plus récent effort du gouvernement de Vladimir Poutine pour contrôler Internet et, potentiellement, surveiller les internautes.

D'abord distribuée en version beta au printemps dernier, l'application mobile Max est dorénavant préalablement installée sur tous les cellulaires qui sont vendus en sol russe. La plateforme, propriété du média russe VK, permet aux utilisateurs de clavarder avec leur entourage ou encore d'accéder aux services gouvernementaux.

En outre, Moscou invite les détenteurs de vieux appareils de téléphonie cellulaire à télécharger Max, et s'en est remis aux artistes, aux influenceurs et aux athlètes pour en faire la promotion.

Cette appli de messagerie est introduite à un moment où il est de plus en plus difficile, pour les citoyens russes, d'utiliser des plateformes telles que WhatsApp et Telegram.

Le dimanche 19 octobre, le musée du Louvre a été frappé par un cambriolage impressionnant avec le vol de bijoux parmi lesquels le diadème de l'impératrice Eugénie et deux colliers. Le ministère de la Culture a expliqué que ces objets historiques sont "d'une valeur inestimable". Selon Libération avec CheckNews, la sécurité informatique du premier musée au monde est aussi une véritable catastrophe.

L'usine Huawei bâtie à Brumath (Bas-Rhin) serait déjà en vente. Son ouverture était pourtant prévue pour fin 2025. Les soupçons de corruption et d'espionnage à l'encontre du géant chinois des télécoms pourraient être en cause. ... Mais depuis le début du projet en 2020, le vent a tourné en défaveur du fournisseur de réseau. En cause, des accusations d'espionnage ont été lancées par les États-Unis à son encontre. Selon eux et plusieurs autres pays occidentaux, le groupe chinois utiliserait le déploiement de ses composants dans les réseaux 5G pour espionner les communications de sites sensibles.

En 2024, le gouvernement allemand a ordonné la suppression des technologies chinoises dans son réseau 5G. Berlin invoquait alors un "risque pour la sécurité".

En France, les installations d'antennes 5G de la multinationale sont soumises à autorisation de l'Agence nationale de la sécurité des systèmes d'information (Anssi). Les opérateurs, eux, auront obligation d'abandonner les dizaines de milliers d'antennes Huawei présentes sur le territoire en 2031. ...

Microsoft intègre un capteur de scareware dans le navigateur Edge. En association avec le bloqueur de scareware, il notifie SmartScreen en temps réel dès la détection d'une page suspecte.

Microsoft intensifie sa lutte contre les scareware, ces arnaques qui piègent par exemple les utilisateurs avec de fausses alertes de virus pour leur extorquer de l'argent ou des accès.

Le navigateur Microsoft Edge bénéficie d'une mise à jour avec l'introduction d'un capteur dédié. Cette technologie vient compléter le bloqueur de scareware déjà en place, qui utilise un modèle d'IA local pour identifier les pages frauduleuses.

Une vulnérabilité a été découverte sur les bus électriques Yutong qui circulent dans la capitale norvégienne: des tiers pourraient en prendre le contrôle à distance.

...

Cette vulnérabilité est liée à un boîtier contenant une carte SIM qui permet au constructeur du modèle chinois d'installer à distance des mises à jour logicielles mais aussi, selon des experts, de désactiver le bus, a détaillé le journal Aftenposten. Cette fonctionnalité et donc cette vulnérabilité n'existent pas sur le modèle néerlandais, selon ces mêmes experts.

La CISA confirme qu’une faille de sécurité importante affectant le noyau Linux est désormais activement exploitée dans le cadre d’attaques par ransomware. Cette vulnérabilité affectée à la référence CVE-2024-1086 affecte des distributions populaires. Voici ce que l'on sait.

Une faille vieille de dix ans

La faille de sécurité CVE-2024-1086 se niche dans le composant Netfilter: nf_tables du noyau Linux. Elle a été corrigée en janvier 2024 après sa divulgation publique, mais son exploitation dans la nature n’a été constatée que récemment. Pourtant, cette vulnérabilité n'était pas nouvelle puisqu'elle a été introduite par un changement dans le code effectué en février 2014. Le correctif est donc arrivé 10 ans plus tard.

La Confédération déploie Microsoft 365 dans l’ensemble de ses départements. Mais le Groupement Défense ne peut en tirer que peu d’avantages, puisqu’il lui est interdit de stocker ses documents classifiés dans le cloud de Microsoft. Le chef de l’armée veut une alternative.

«Comparée à la solution logicielle actuelle, M365 n’apporte aucun avantage au Groupement Défense. Au contraire, dans sa configuration actuelle, elle est en grande partie inutilisable», résume Thomas Süssli. Il souligne en outre que la solution Microsoft engendre «des coûts supplémentaires considérables» ainsi que des besoins de formation pour le personnel. «Ces dépenses sont disproportionnées au regard du faible gain réel apporté par la plateforme. Compte tenu de la pression croissante sur les coûts de fonctionnement de l’armée, je ne peux pas assumer ces dépenses sans bénéfice identifiable», écrit-il.

Lors d’une démonstration faite pour La facture, Geneviève Lajeunesse-Trinque, experte en cybersécurité, a connecté les appareils mobiles des jumeaux Tristan et Nathan, âgés de 11 ans, à un ordinateur. Grâce à une méthode couramment utilisée en sécurité de l’information, elle est en mesure d'intercepter les renseignements qui entrent dans le téléphone et la tablette ou qui en sortent.

À peine ont-ils commencé leur séance de jeu que, déjà, on voit facilement une cinquantaine, sinon une centaine de requêtes qui entrent, fait remarquer Mme Lajeunesse-Trinque. Elle fait référence à des données échangées entre l’application mobile et certaines entreprises.

« L’email bombing a évolué : auparavant utilisée comme écran de fumée, elle est maintenant exploitée dès le début d’une attaque plus large », relate Microsoft dans son rapport.

En se faisant passer pour un employé du support technique, les hackers vont entrer en contact avec leur victime par téléphone ou sur Microsoft Teams. Ils vont affirmer que leur boîte mail souffre d’un gros dysfonctionnement. L’internaute sera évidemment enclin à faire confiance à son interlocuteur, étant donné qu’il s’est lui-même rendu compte que sa messagerie était tout à coup saturée de mails. Cette explosion de messages crée « un sentiment d’urgence et de confusion », souligne Microsoft. C’est souvent ce qui permet aux cybercriminels de berner leurs cibles.

Deux articles de recherche distincts démontrent clairement comment les systèmes virtuels peuvent être compromis dans un environnement hostile, notamment lorsque le propriétaire des données ne peut même pas faire confiance au fournisseur de services cloud.

Les processeurs de serveurs modernes intègrent un environnement d’exécution de confiance (Trusted Execution Environment, TEE) pour le traitement des informations particulièrement sensibles. Il existe de nombreuses mise en œuvre du TEE, mais deux d’entre elles sont particulièrement pertinentes dans le cadre de cette discussion : Intel Software Guard eXtensions (SGX) et AMD Secure Encrypted Virtualization (SEV). Presque simultanément, deux équipes de chercheurs distinctes, l’une aux États-Unis et l’autre en Europe, ont découvert indépendamment des méthodes très similaires (bien que distinctes) pour exploiter ces deux mises en œuvre. Leur objectif était d’accéder aux données chiffrées stockées dans la mémoire vive. Les articles scientifiques détaillant ces résultats ont été publiés à quelques jours d’intervalle :

• Le projet WireTap: Breaking Server SGX via DRAM Bus Interposition est le fruit du travail de chercheurs américains. Il détaille le piratage réussi du système Intel Software Guard eXtensions (SGX). Ils y sont parvenus en interceptant l’échange de données entre le processeur et le module RAM DDR4. Dans la publication Battering RAM, des scientifiques belges et britanniques ont également réussi à compromettre le système Intel SGX, ainsi que le système de sécurité équivalent d’AMD, SEV-SNP, en manipulant le processus de transfert de données entre le processeur et le module RAM DDR4.

• Dans la publication Battering RAM, des scientifiques belges et britanniques ont également réussi à compromettre le système Intel SGX, ainsi que le système de sécurité équivalent d’AMD, SEV-SNP, en manipulant le processus de transfert de données entre le processeur et le module RAM DDR4.

Des acteurs malveillants abusent de sites Internet légitimes pour héberger des liens cachés pour le référencement. Nous décrivons leurs tactiques et les mesures que vous pouvez prendre pour y faire face.

Face à la recrudescence des tentatives d’escroqueries de patients sur Doctolib, la plateforme vient de mettre en ligne un guide pour sensibiliser et protéger ses utilisateurs

Des mails ou SMS de Doctolib qui vous demandent de décaler un rendez-vous ou vous proposent un remboursement suite à une consultation. Le message paraît fiable, il s’agit pourtant d’une arnaque. Depuis quelques mois, de nombreux escrocs se font passer pour le service médical, utilisé par plus de 45 millions de Français, afin de piéger ses utilisateurs.

La semaine écoulée a une nouvelle fois mis en lumière la diversité et l’ampleur des menaces cyber qui pèsent sur les organisations à travers le monde.

Dans cette édition du Cyberhebdo, nous avons recensé sept cyberattaques majeures rapportées dans la presse internationale, touchant des acteurs situés en Irlande (IRL), en Suède (SWE), au Japon (JPN), à Taïwan (TWN), en Allemagne (DEU) et aux États-Unis (USA). ...

24/10/2025 - Svenska kraftnät (SWE) Svenska kraftnät, opérateur du réseau de transport de l'électricité en Suède, a confirmé avoir subi une attaque informatique, mais aucune indication n'a été trouvée que le système électrique a été affecté. Les autorités compétentes ont été impliquées pour enquêter sur l'incident, revendiqué par Everest. Svenska kraftnät est responsable de l'exploitation du réseau principal et du fonctionnement du système électrique en cas de crise, de guerre ou de perturbations graves.

Le FBI peut déverrouiller votre smartphone Pixel ? Apparemment oui, grâce à Cellebrite. Mais une fuite montre que GrapheneOS (un Android alternatif) protège bien mieux vos données.

Une présentation interne de Cellebrite a fuité. Et elle confirme ce qu’on savait déjà : vos Pixel 6 à 9 peuvent être déverrouillés par les forces de l’ordre américaine.

Mais il y a quelque chose d’intéressant. GrapheneOS, l’OS Android alternatif obsédé par la sécurité, résiste bien mieux que l’Android standard de Google.

La slide qui circule sur les forums montre exactement quels modèles sont vulnérables, dans quelles conditions, et jusqu’à quelle version logicielle.

Ce nouvel agent de cybersécurité est capable d'identifier, d'expliquer et de contribuer à corriger les vulnérabilités.

• OpenAI a lancé Aardvark, un agent de recherche en cybersécurité.
• Aardvark, basé sur GPT-5, est actuellement en version bêta privée.
• Il peut découvrir et contribuer à corriger les failles de sécurité.