🔎 Cyberveille

Mise à jour du 6 novembre 2025: La firme genevoise Proton a récemment annoncé le lancement du Data Breach Observatory, un outil public et gratuit destiné à surveiller la circulation de données d’entreprise sur le dark web (lire ci-dessous). La première liste de fuites rendues public par l’éditeur de Proton Mail listait par erreur l'opérateur suisse Sunrise parmi les victimes. L’entrée apparaissait clairement sous «sunrise.ch». Elle a depuis été corrigée en «sunrisecbd.com».

Dans un échange avec ICTjournal, Edward Shone, le responsable communication de Proton, reconnaît «une erreur regrettable». Il explique que celle-ci provient d’une confusion dans les marquages appliqués par les acteurs malveillants eux-mêmes: «Dans ce cas, les cybercriminels n’ont pas étiqueté correctement les données. Ils auraient dû marquer Sunrise CBD, mais ont indiqué Sunrise.ch.»

Source: Fenrisk — Article technique décrivant une vulnérabilité d’exécution de code à distance dans CentOS Web Panel (CWP), ses conditions d’exploitation, une preuve de concept et la disponibilité d’un correctif.

• La vulnérabilité (CVE-2025-48703) combine un contournement d’authentification et une injection de commande dans le paramètre t_total du module « filemanager » (action changePerm). Le backend exécute un chmod via sh -c, rendant l’instruction injectable. Un attaquant non authentifié, connaissant un nom d’utilisateur non-root valide, peut ainsi exécuter des commandes arbitraires.

• Contexte produit: CentOS Web Panel (CWP) est un panneau d’administration pour serveurs Linux (CentOS/AlmaLinux/Rocky) exposant une interface admin (HTTPS, ports 2087/2031) et une interface utilisateur (port 2083), plus Roundcube sur 2096. Le code est protégé par ionCube, ce qui limite les méthodes classiques d’audit. En mai 2025, plus de 200 000 instances CWP étaient référencées sur Shodan (recherche « Server: cwpsrv »).

• Détails techniques: le point d’entrée vulnérable est l’URL du File Manager (module filemanager, action acc=changePerm) où l’authentification est insuffisamment vérifiée et le paramètre t_total (mode de permissions) est injecté dans une commande système. Des traces strace montrent l’appel sh -c "chmod ...", permettant l’injection via une substitution de commande. Une preuve de concept démontre l’obtention d’un shell avec les privilèges de l’utilisateur ciblé (ex. uid=1001(myuser)).

• Impact et périmètre: l’attaque permet une exécution de code arbitraire pré-authentification avec les droits de l’utilisateur Linux visé (non-root), sous réserve de connaître un identifiant utilisateur valide. Les versions testées vulnérables: 0.9.8.1188 et 0.9.8.1204 sur CentOS 7. Le correctif est disponible en 0.9.8.1205 (18/06/2025).

• Chronologie: 13/05/2025 notification éditeur → 23/05/2025 attribution CVE → 18/06/2025 patch publié.

"Les Russes sont un ouragan, les Chinois sont le changement climatique"

L'expert belge en cybersécurité NVISO a repéré un logiciel malveillant baptisé VShell sur de très nombreux serveurs. Un outil dont les liens avec la Chine sont avérés.

Une infection mondiale. Près de 1 500 serveurs ont été impliqués dans l'utilisation et la distribution du logiciel malveillant "VShell", révèle ce mercredi l'expert belge en cybersécurité NVISO.

À l’aide de stratagèmes bien rodés, des criminels parviennent à pousser des personnes honnêtes à ouvrir des comptes bancaires et à participer à des opérations de blanchiment d’argent sans le savoir. La manœuvre est d’autant plus sournoise que les victimes de telles arnaques finissent souvent par avoir de gros ennuis.

...

La supercherie est parfaite: Lisa croyait tester le processus de vérification des applications bancaires, ces étapes numériques nécessaires pour ouvrir un compte en ligne. En réalité, elle ouvrait à chaque fois un véritable compte à son nom. Les criminels disposaient de ses données personnelles et d’une copie de sa pièce d’identité, obtenues par le biais de son dossier de candidature.

Trop facile de tirer sur l’ambulance? Après les révélations de Libération sur l’audit de l’Anssi mené au Louvre en 2014, quelques voix dans la cyber française plaident pour de l’indulgence et du recul sur la sécurité informatique du célèbre musée parisien.

« Ne jetons pas la pierre », signale par exemple sur LinkedIn Mounir Chaabane. « Surfer sur l'actualité pour taper à coup d'audit vieux de 10 ans, ce n'est pas fair-play (...), toutes nos institutions font face à des défis sous-estimés », assure ce conseiller sécurité numérique à la direction de la protection judiciaire de la jeunesse.

Dans un rapport qui vient d'être publié ce jour, la Cour des comptes a déploré un sous-investissement chronique du Louvre en matière de systèmes d’information et une sécurisation insuffisante des systèmes informatiques. Et ce alors que le risque principal identifié en 2024 dans une cartographie concernait la sûreté informatique.

Sekoia.io (société française de cybersécurité) vient de réaliser un rapport sur une campagne de phishing ciblant l’industrie touristique.

Le nouveau rapport de Sekoia TDR, l’équipe de chercheurs en sécurité de Sekoia.io, s’intitule “Phishing Campaigns « I Paid Twice » Targeting Booking.com Hotels and Customers”. Cette investigation, réalisée par les chercheurs Quentin Bourgue et Jeremy Scion, analyse une campagne de phishing persistante et sophistiquée ciblant l’industrie hôtelière mondiale.

Le groupe de cybercriminels connu sous le nom de Curly COMrades a été observé en train d’exploiter les technologies de virtualisation pour contourner les solutions de sécurité et exécuter des logiciels malveillants personnalisés.

D’après un nouveau rapport de Bitdefender, l’attaquant aurait activé le rôle Hyper-V sur certains systèmes victimes afin de déployer une machine virtuelle minimaliste basée sur Alpine Linux.

« Cet environnement caché, avec son empreinte légère (seulement 120 Mo d’espace disque et 256 Mo de mémoire), hébergeait leur shell inversé personnalisé, CurlyShell, et un proxy inversé, CurlCat », ont déclaré le chercheur en sécurité Victor Vrabie, en collaboration avec Adrian Schipor et Martin Zugec, dans un rapport technique.

Seules 42% des PME se sentent bien préparées contre les cybermenaces, contre 55% l’an dernier. Or une entreprise sur cinq subit chaque année une attaque, un chantage ou une fraude.

Depuis quelques mois, des dizaines de sites d’actualité locale fleurissent sur la toile, de Direct Normandie à Actu Bretagne. En apparence anodins, ces portails diffusent pourtant de faux contenus produits par intelligence artificielle… et orientés politiquement.

Selon une étude de l’IRSEM (Institut de Recherche Stratégique de l’Ecole Militaire) sur l’influence pro-chinoise, et un rapport de Recorded Future, la Russie et la Chine seraient derrière cette nouvelle forme de guerre de l’information…

Il fut un temps où le VPN était le Saint Graal pour sécuriser l’accès à nos infrastructures et nos serveurs. Tout semblait parfait : connexion chiffrée, authentification forte requise… Malheureusement, une fois entré dans la forteresse, toute personne pouvait faire ce que bon lui semblait dans le royaume sans contrôle ni traçabilité.

Avec l’avènement du Bring Your Own Device et du télétravail, il était nécessaire de changer de paradigme : ne plus faire confiance à personne, vérifier les actions faites. C’est la philosophie du “Zero Trust” : chaque accès doit être authentifié, autorisé et audité. Mais comment implémenter cette solution au quotidien sans complexifier la vie de nos collaborateurs ?

Le plus simple à mettre en œuvre est d’ajouter un point unique dans notre infrastructure qui servira de gardien du pont tel un Gandalf devant le Balrog. C’est ce que nous appelons un bastion (également appelé jump host). Ce gardien filtre les accès à notre infrastructure en fonction des droits accordés à l’utilisateur authentifié.

Plusieurs solutions existent sur le marché pour implémenter cette philosophie comme Boundary d’Hashicorp, Teleport mais une solution plus simple, écrite en Rust, existe. Voilà que rentre en scène notre mage : Warpgate.

Les autorités helvétiques utilisent déjà les échanges avec l’IA comme preuves dans leurs enquêtes. Aux États-Unis, un jeune s’est auto-incriminé en avouant 17 vandalismes à ChatGPT.

La police suisse exploite déjà activement les conversations avec ChatGPT dans ses enquêtes criminelles. Le Canton d’Argovie se distingue par son utilisation avancée de ces nouvelles sources de preuves numériques, selon «20 Minutes».

La police cantonale argovienne a déjà analysé plusieurs conversations ChatGPT dans des affaires de délits graves, selon son porte-parole, Bernhard Graser. Ces analyses, toujours coordonnées avec le Ministère public, ont permis d’obtenir des informations jugées précieuses pour les enquêtes, sans que la nature exacte des affaires puisse être révélée.

Ruag Mro Holding SA a été victime d’une attaque informatique ciblant son bureau de liaison aux Etats-Unis, a annoncé mardi l’entreprise. L’incident fait actuellement l’objet d’une analyse tandis que des mesures ont été prises.

Des experts en cybersécurité viennent de révéler que plus de 200 applications disponibles sur le Google Play Store totalisaient 42 millions de téléchargements. Le rapport fait état des dernières tendances en matière de malware et rappelle comment s’en protéger.

Pour protéger ses utilisateurs, Google a mis en place diverses mesures de sécurité visant à lutter contre les applications malveillantes. La firme de Mountain View va même bientôt les muscler davantage grâce à un nouveau système de vérification des développeurs Android – annonce qui suscite plusieurs craintes chez les utilisateurs et les développeurs.

Malgré cela, certaines applications malveillantes parviennent à passer sous les radars de Google et s’il en supprime régulièrement de son magasin officiel, le mal est parfois déjà fait : selon la société de cybersécurité cloud Zscaler, pour la période 2024-2025, 239 applications Android malveillantes disponibles sur le Play Store cumulent 42 millions de téléchargements.

Selon le dernier rapport de l'équipe de cybersécurité de Google, l'année 2026 marquera un tournant pour la sécurité informatique des entreprises : l'intelligence artificielle sera utilisée à grande échelle par les attaquants, le cybercrime atteindra une dimension industrielle et la virtualisation deviendra une nouvelle cible stratégique.

2026 s'annonce comme une année charnière pour la cybersécurité des entreprises. D'après Google Cloud et Mandiant (entreprise rachetée en 2022), l'intelligence artificielle s'impose désormais comme un outil offensif à part entière, le cybercrime s'organise en véritable industrie mondiale et la virtualisation, longtemps considérée comme un rempart, devient une nouvelle vulnérabilité.

Le Cybersecurity Forecast Report, publié ce 4 novembre 2025, s'appuie sur les données recueillies par les équipes de Google Threat Intelligence, Google Cloud Security et de Mandiant Consulting. Il a pour ambition de dresser un état des lieux réaliste des tendances déjà observées sur le terrain.

Selon BleepingComputer, des acteurs malveillants exploitent activement une vulnérabilité critique (CVE-2025-11833, score 9,8) dans le plugin WordPress Post SMTP (installé sur 400 000+ sites), permettant la lecture non authentifiée des journaux d’e-mails et la prise de contrôle de comptes administrateurs.

Étant donnée l’exploitation en cours, les propriétaires de sites utilisant Post SMTP sont invités à passer immédiatement à la version 3.6.1 ou à désactiver le plugin

Une opération policière européenne a permis de démanteler un réseau international de fraude aux cryptomonnaies. Les escrocs ont gagné et blanchi 600 millions d’euros avec des fraudes à l’investissement bien rodées. Neuf suspects ont été interpellés.

L'idée d'interdire les routeurs TP-Link est apparue pour la première fois il y a environ un an, lorsque le matériel produit par l'entreprise - fondée en Chine - a été accusé d'être lié à une série de cyberattaques. Les services du gouvernement américain ont lancé une enquête pour déterminer si TP-Link pouvait représenter un risque, en mettant particulièrement l'accent sur ses liens avec la Chine, bien que TP-Link opère depuis Singapour et ait établi un nouveau siège aux États-Unis l'année dernière.

"En établissant notre siège mondial aux États-Unis, nous ne faisons pas qu'étendre notre présence, nous prenons un engagement à long terme envers les consommateurs et les entreprises américains", avait déclaré la société.

Influence chinoise ? Aujourd'hui, un nouvel article publié par le Washington Post suggère que "plus d'une demi-douzaine" de ministères et d'agences fédérales soutiennent un plan visant à interdire les ventes futures de routeurs TP-Link aux États-Unis.

Selon un chercheur en sécurité, des pirates pourraient détourner l'API de téléchargement de fichiers de l'asssitant IA Claude d'Anthropic pour exfiltrer des informations sensibles, même quand des restrictions réseau sont activées.

Une vulnérabilité récemment révélée dans l'assistant d’IA Claude d'Anthropic pourrait permettre à des pirates d’exploiter la fonctionnalité d'interpréteur de code de la plateforme pour exfiltrer silencieusement les données d'entreprise, en contournant même les paramètres de sécurité par défaut conçus pour empêcher de telles attaques. Le chercheur en sécurité Johann Rehberger a démontré que l'interpréteur de code de Claude peut être manipulé par injection indirecte de commandes pour voler des informations sensibles, notamment les historiques de chat, les documents téléchargés et les données accessibles via les services intégrés. L'attaque a exploité l'infrastructure API propre à Claude pour envoyer les données volées directement vers des comptes contrôlés par les pirates. L'exploit tire parti d'une faille critique dans les contrôles d'accès au réseau de Claude. Et si le paramètre par défaut « Package managers only » (Gestionnaires de paquets uniquement) de la plateforme limite les connexions sortantes aux domaines approuvés comme npm et PyPI, il autorise également l'accès à api.anthropic.com, le point de terminaison que les pirates peuvent exploiter pour voler des données.

Des données publicitaires géolocalisées obtenues par « Le Monde » et ses partenaires ont permis d’identifier et de suivre à la trace plusieurs dignitaires de l’Union européenne. Un cas pratique illustrant les limites du cadre européen en matière de données personnelles.

BleepingComputer rapporte que des pirates exploitent activement une vulnérabilité critique dans le thème WordPress premium JobMonster (NooThemes), observée par Wordfence qui a bloqué de multiples tentatives au cours des dernières 24 heures.

⚠️ Vulnérabilité: CVE-2025-5397 (score de sévérité 9,8) est un contournement d’authentification affectant toutes les versions jusqu’à 4.8.1. Le problème provient de la fonction check_login() qui ne vérifie pas correctement l’identité de l’utilisateur avant l’authentification. Le correctif est disponible en version 4.8.2.

🧩 Conditions et impact: L’exploitation nécessite que la connexion sociale (social login) soit activée sur le site. Dans ce cas, JobMonster fait confiance aux données d’authentification externes sans les valider correctement, permettant à un attaquant non authentifié de prendre le contrôle de comptes administrateur. Un attaquant doit généralement connaître le nom d’utilisateur ou l’email de l’administrateur ciblé.

Microsoft a révélé les détails d’une nouvelle porte dérobée baptisée SesameOp qui utilise l’interface de programmation d’applications (API) OpenAI Assistants pour les communications de commande et de contrôle (C2).

« Au lieu de s’appuyer sur des méthodes plus traditionnelles, l’acteur malveillant à l’origine de cette porte dérobée utilise OpenAI comme canal C2 pour communiquer furtivement et orchestrer des activités malveillantes au sein de l’environnement compromis », a déclaré l’équipe de détection et de réponse (DART) de Microsoft Incident Response dans un rapport technique publié lundi.

Outre-Atlantique, deux anciens employés d’entreprises spécialisées dans la négociation avec les cybercriminels sont accusés d’avoir eux-mêmes conduit des attaques le rançongiciel d’Alphv/BlackCat.

...

Ils sont accusés d’avoir participé à des cyberattaques impliquant l’enseigne Alphv/BlackCat. Les opérateurs de cette dernière, découverte fin 2021, sont partis avec la caisse début 2024.

Cinq victimes sont attribuées aux deux accusés, entre mai et novembre 2023. Ils auraient sollicité des rançons comprises entre 300 000 $ et 10 millions de dollars.

Présente désormais dans tous les appareils de téléphonie cellulaire en Russie, l'application de messagerie Max représente le plus récent effort du gouvernement de Vladimir Poutine pour contrôler Internet et, potentiellement, surveiller les internautes.

D'abord distribuée en version beta au printemps dernier, l'application mobile Max est dorénavant préalablement installée sur tous les cellulaires qui sont vendus en sol russe. La plateforme, propriété du média russe VK, permet aux utilisateurs de clavarder avec leur entourage ou encore d'accéder aux services gouvernementaux.

En outre, Moscou invite les détenteurs de vieux appareils de téléphonie cellulaire à télécharger Max, et s'en est remis aux artistes, aux influenceurs et aux athlètes pour en faire la promotion.

Cette appli de messagerie est introduite à un moment où il est de plus en plus difficile, pour les citoyens russes, d'utiliser des plateformes telles que WhatsApp et Telegram.

Le dimanche 19 octobre, le musée du Louvre a été frappé par un cambriolage impressionnant avec le vol de bijoux parmi lesquels le diadème de l'impératrice Eugénie et deux colliers. Le ministère de la Culture a expliqué que ces objets historiques sont "d'une valeur inestimable". Selon Libération avec CheckNews, la sécurité informatique du premier musée au monde est aussi une véritable catastrophe.

L'usine Huawei bâtie à Brumath (Bas-Rhin) serait déjà en vente. Son ouverture était pourtant prévue pour fin 2025. Les soupçons de corruption et d'espionnage à l'encontre du géant chinois des télécoms pourraient être en cause. ... Mais depuis le début du projet en 2020, le vent a tourné en défaveur du fournisseur de réseau. En cause, des accusations d'espionnage ont été lancées par les États-Unis à son encontre. Selon eux et plusieurs autres pays occidentaux, le groupe chinois utiliserait le déploiement de ses composants dans les réseaux 5G pour espionner les communications de sites sensibles.

En 2024, le gouvernement allemand a ordonné la suppression des technologies chinoises dans son réseau 5G. Berlin invoquait alors un "risque pour la sécurité".

En France, les installations d'antennes 5G de la multinationale sont soumises à autorisation de l'Agence nationale de la sécurité des systèmes d'information (Anssi). Les opérateurs, eux, auront obligation d'abandonner les dizaines de milliers d'antennes Huawei présentes sur le territoire en 2031. ...