Bid terms

L’administration Trump a licencié un tiers des employés de l’agence fédérale chargée de la cybersécurité, et systématiquement démantelé l’expertise accumulée notamment en matière de sécurité électorale. La CISA ne communique même pas sur les midterms, et sa nouvelle stratégie censée « sécuriser l’Amérique pour les 250 prochaines années » ne tient que sur 3 pages.

Créée en 2018, la Cybersecurity and Infrastructure Security Agency (CISA), le bras cyber du Department of Homeland Security (DHS), était « un partenaire fédéral de premier plan pour les États en matière d’efforts de sécurité électorale après les élections de 2016 », raconte le New York Times. L’agence « [partageait] les meilleures pratiques en matière de cybersécurité et des renseignements sur les intentions étrangères autour des élections ».

Sauf que Donald Trump ne supporte pas que la CISA ose contredire ses affirmations selon lesquelles l’élection présidentielle de 2020 a été truquée et qu’il l’avait emportée, comme nous l’avions déjà raconté. La CISA avait notamment cosigné un communiqué expliquant que « les élections du 3 novembre ont été les plus sûres de l’histoire des États-Unis » et qu’« il n’existe aucune preuve qu’un système de vote ait effacé ou perdu des votes, modifié des votes ou ait été compromis de quelque manière que ce soit ».

La CISA avait alors lancé une campagne de lutte contre les rumeurs et la désinformation, « Rumor control ». Elle débunkait les rumeurs liées aux élections, dont les « fake news » complotistes colportées par Donald Trump et ses soutiens MAGA qui, en retour, l’accusaient de « censure ».

Quelques jours plus tard, Chris Krebs, son directeur, précisait sur Twitter que « 59 experts en sécurité électorale sont tous d’accord pour dire que « dans tous les cas dont nous avons connaissance, ces affirmations (de fraude) n’ont pas été étayées ou sont techniquement incohérentes » ».

En réponse, Donald Trump annonçait sur le même réseau social que le patron de la CISA était viré, au motif que sa récente déclaration « sur la sécurité de l’élection de 2020 était très inexacte, en ce sens qu’il y avait des irrégularités et des fraudes massives », accusations qu’il n’a depuis jamais étayées. Krebs avait alors reçu le soutien de Mark Hamill, célèbre pour avoir incarné Luke Skywalker, puis ironisé sur le fait d’avoir été « viré par un tweet ».

• L’administration Trump voudrait en finir avec la cyberdéfense et privilégier le « hack back »

La CISA a perdu environ un tiers de ses 3 400 employés

Depuis le second mandat de M. Trump, l’agence est restée en grande partie sans gouvernail, et sans chef confirmé par le Sénat. Dans le cadre de la reprise en main de toutes les agences américaines par le DOGE d’Elon Musk et Donald Trump, la CISA avait dû mettre sur pause tout son travail sur la sécurité électorale, en février 2025.

L’agence a également mis en congé des employés « initialement identifiés comme étant associés aux activités de sécurité des élections et au programme MDM [Mésinformation, désinformation et malinformation, ndlr] ». Et ce, au motif qu’ « il est nécessaire de redéfinir les activités de l’agence en matière de sécurité électorale afin de garantir que la CISA se concentre exclusivement sur l’exécution de sa mission de sécurité physique et cyber », et « mettre fin à la censure fédérale ».

D’anciens responsables expliquent au New York Times que ces licenciements avaient eu un « effet dissuasif » sur la centaine de personnes de la division. D’autant que les réductions de personnel et coupes budgétaires ont frappé l’agence bien plus profondément que d’autres : la CISA a perdu « environ un tiers de ses effectifs », qui s’élevaient à 3 400 personnes en janvier 2025.

• L’Agence de cybersécurité américaine CISA met sur pause son travail sur la sécurisation des élections

L’agence a ainsi cessé de proposer aux juridictions étatiques et locales d’évaluer le niveau de cybersécurité de leurs systèmes électoraux. Les autres agences fédérales ont elles aussi réduit leur travail de sécurité électorale, notamment le FBI et le Bureau du directeur du renseignement national. Au point que le flux d’avertissements transmis par les services de renseignement aux responsables locaux par la CISA « a ralenti jusqu’à devenir un filet d’eau, selon les experts électoraux » consultés par nos confrères.

La désinformation n’est plus un problème pour les élections

Dans un communiqué, un porte-parole de la CISA leur a rétorqué qu’elle était « entièrement équipée et préparée pour faire face à toutes les cybermenaces de sécurité nationale auxquelles notre nation est confrontée » et a décrit l’agence comme « plus forte que jamais » malgré les réductions de personnel :

« Comme la CISA l’a régulièrement fait lors des élections précédentes, l’agence a activé un groupe de coordination des incidents avant et le jour du scrutin pour soutenir les responsables électoraux et maintenir une image opérationnelle unifiée. »

Or, la page d’accueil de cisa.gov ne mentionne même pas que les élections de mi-mandat ont lieu jusqu’à ce 3 novembre. Et contrairement aux précédentes élections, la CISA n’a pas non plus mis en place de « war room » afin de centraliser les informations et problèmes potentiels, et communiquer plus facilement avec les responsables locaux et nationaux, les journalistes et le grand public.

En 2020, pendant le premier mandat de Trump, l’agence avait publié son plan de sécurité électorale en février. Cette année, il ne l’a fait que fin septembre. En outre, le document de 11 pages ne recèle que « peu d’informations nouvelles ou utiles », expliquent des experts électoraux. Sous-titré « SECURING THE NEXT 250 » (en hommage au 250e anniversaire des États-Unis), il ne comporte bien évidemment pas non plus le terme « désinformation ».

La stratégie censée « sécuriser les USA pour les 250 prochaines années » tient sur 3 pages

Le risque ne figure pas non plus dans le message d’intérêt public partagé mi-octobre par le FBI et la CIA, qui se borne à avancer que « des cybercriminels pourraient tenter de perturber les élections de mi-mandat américaines de 2026 en recourant à des techniques de hameçonnage (phishing) et de hameçonnage par SMS (smishing) afin de dérober les données des utilisateurs, notamment leurs identifiants de connexion et des informations sensibles ».

Il souligne qu’ « autrefois, les e-mails de hameçonnage se reconnaissaient à leurs fautes d’orthographe, à un vocabulaire illogique et à des erreurs grammaticales ». Ce qui n’est plus le cas, du fait de « l’essor de la super-intelligence (SI) [intelligence artificielle] », qui « offre aux acteurs malveillants de nouvelles possibilités de mener des campagnes d’hameçonnage par e-mail de plus grande envergure, plus efficaces et plus performantes » :

« La SI permet aux cybercriminels de créer des messages qui semblent authentiques […] Un nombre croissant d’adversaires et de criminels ont recours à la technologie de la SI pour créer des enregistrements vidéo et audio « deepfake » très convaincants […] pour se forger de nouvelles identités, usurper l’identité de personnes réelles, reproduire de manière réaliste des scènes de la vie quotidienne et des échanges, et renforcer leurs stratagèmes d’hameçonnage. »

Nick Andersen, directeur par intérim de la CISA depuis février 2026, n’a même pas mentionné le mot « élection » lors d’un récent podcast où il évoquait la nouvelle stratégie « CISA 2030 », publiée fin octobre. Le terme ne figure pas non plus dans les 12 pages du document, contrairement au « Président Trump », qui y est mentionné quatre fois.

Si l’on y retire les 2 pages de couverture, les 2 pages d’avant-propos, 2 pages blanches, la page de sommaire, son introduction et son résumé, ladite stratégie, censée « sécuriser l’Amérique pour les 250 prochaines années », ne tient en réalité que sur 3 pages.

Une concision d’autant plus étonnante que, dans son introduction, le document précise que, « aujourd’hui, alors que les États-Unis entrent dans une nouvelle ère d’innovation technologique et de croissance économique, la CISA se trouve à la croisée des chemins dans sa mission de cybersécurité et d’infrastructures critiques » :

« L’infrastructure critique américaine – et les propriétaires et exploitants qui l’entretiennent – est l’épine dorsale de la force économique américaine, de la domination technologique et manufacturière et de la défense nationale. »

Ce qu'il nous faut, c'est un lapin de Troie sur roulettes

Google affirme avoir identifié une porte dérobée baptisée XCPE, qui changeait 1,3 million de box TV Android infectées en un botnet capable de lancer des actions malveillantes à grande échelle. L’éditeur accuse le fabricant des box en question, Videostrong Technology, d’avoir intentionnellement piégé ses appareils en usine à des fins lucratives.

Google, la police japonaise et plusieurs éditeurs spécialisés en cybersécurité ont annoncé lundi avoir démantelé un réseau de machines infectées (botnet) composé d’environ 1,3 million de box TV Android produites par le constructeur chinois Videostrong. Celui-ci faisait jusqu’ici partie des fabricants accrédités pour la production de boîtiers Android TV, avec un double statut OEM / ODM et des box vendues notamment sous la marque Mecool.

« Nous estimons avec un degré de certitude élevé que la porte dérobée et le botnet ont été intentionnellement développés, déployés et exploités à des fins lucratives par Videostrong Technology Co », affirme le centre de sécurité de Google dans un billet publié lundi 2 novembre qui revient sur les coulisses techniques de cette infection à grande échelle.

Un botnet pensé pour le profit

Le point de départ identifié par Google et ses partenaires consiste en une backdoor baptisée x.cpe, préchargée dans la partition firmware et dissimulée de façon à passer au travers des contrôles qualité d’Android. « Videostrong a utilisé des techniques d’obfuscation pour exploiter une faille dans nos tests et charger du code malveillant après le premier démarrage de l’appareil », décrit Google. Cachée dans la partition /oem de façon à ce qu’elle soit réinstallée automatiquement en cas de réinitialisation, cette porte dérobée permet d’établir un pont entre la box piégée et une infrastructure de commande et contrôle (C2).

Les différents niveaux de cette dernière référençaient les appareils distribués dans 200 pays, et permettaient ensuite de distribuer les charges malveillantes justifiant l’existence du botnet. Google et ses partenaires listent une dizaine de modules correspondant à autant de scénarios d’exploitation, par exemple pour fournir de la bande passante à des attaques coordonnées, pour utiliser les box comme proxies résidentiels, ou pour simuler la consultation de publicités afin de générer automatiquement des revenus.

« Le réseau x.cpe a été conçu dans un but lucratif continu. En accordant un accès détourné à des affiliés spécialisés dans les logiciels malveillants, les opérateurs ont conspiré pour monétiser ces appareils longtemps après leur achat », conclut Google, dont les analyses soulignent que le réseau x.cpe ne se limitait pas à des box TV Android. « Nous avons observé un certain nombre d’autres appareils IoT sous Android infectés, notamment des appareils de télésanté, des machines de karaoké et des dispositifs d’affichage numérique ».

Une infrastructure en constante évolution

L’éditeur affirme avoir banni Videostrong et ses filiales des programmes de certification Android et mis en œuvre les mesures légales nécessaires pour faire fermer l’infrastructure de contrôle du botnet. Il promet par ailleurs que des améliorations seront apportées aux processus de contrôle de l’intégrité du firmware sur les appareils certifiés Android.

En attendant, Google admet que le botnet créé par l’intermédiaire des box Android piégées par Videostrong a pu opérer pendant des années, avec une infrastructure qui n’a cessé de gagner en complexité pour améliorer sa résilience.

L’entreprise remarque ainsi qu’à partir de fin 2024, Videostrong et ses clients ont commencé à faire appel à un loader externe, com.abc.nexus, pour réserver x.cpe aux communications avec l’infrastructure C2 et ainsi limiter la visibilité de la porte dérobée. En août 2026, la méthode évolue à nouveau, avec cette fois des malwares qui se dissimulent derrière des noms d’applications système Android et disposent de nouveaux canaux de communication en propre, là encore pour que le contrôle à distance soit possible sans exploiter la backdoor installée en usine.

L’analyse de la distribution de x.cpe montre une présence sensible au Brésil, en Asie du Sud-Est, au Mexique, mais aussi en Australie, aux États-Unis, au Canada, en Russie, au Royaume-Uni, en Allemagne et en Espagne.

Google ne donne pas directement de conseil aux détenteurs d’une box possiblement infectée, et pour cause : le démantèlement de l’infrastructure C2 ne corrige pas la porte dérobée, et conseiller un reset d’usine ne serait pas suffisant puisque le code concerné est logé dans le firmware. Le plus sûr est donc de débrancher l’appareil, ou à défaut de l’isoler sur un réseau local privé d’accès à Internet. Le moteur de recherche recommande tout de même de privilégier l’achat d’appareils produits par des partenaires accrédités, au rang desquels figurait encore récemment Videostrong.

Delhaize, Carrefour, ICA, Coop : des pirates ont activé à distance le dégivrage des frigos de supermarchés en Belgique et en Suède. Voici ce que l'on sait.

Le post Après la France, des pirates font chauffer les frigos de supermarchés en Belgique et en Suède a été publié sur IT-Connect.

Un SMS invisible suffit à faire planter la téléphonie d'Android et à couper les appels, même les appels d'urgence. Voici la faille SMS of Death.

Le post SMS of Death : un SMS invisible coupe les appels téléphoniques sur Android a été publié sur IT-Connect.

• lien nᵒ 1 : April
• lien nᵒ 2 : Revue de presse de l'April
• lien nᵒ 3 : Revue de presse de la semaine précédente
• lien nᵒ 4 : 🕸 Fils du Net

Commentaires : voir le flux Atom ouvrir dans le navigateur

Le ministère russe des Situations d’urgence a été victime d’un grave incident.

Après les cyberattaques en France, des incidents de sécurité sont aussi signalés sur des magasins en Belgique, au Luxembourg et en Suède.

Ça chauffe

Une épidémie de frigos en panne : après la France mi-octobre, des systèmes de réfrigération dans plusieurs enseignes en Europe ont été victimes d’un piratage. Dégivrages intempestifs, air chaud au lieu d’air froid, et à la clé de la nourriture impropre à la consommation.

En Belgique, en Irlande, en Suède, en Finlande ou encore en Estonie, la température de centaines de réfrigérateurs et de surgélateurs dans des supermarchés s’est mise à grimper. « J’ai constaté [comme mon frigoriste] que tous mes frigos étaient en train d’expulser de l’air chaud et en dégivrage », explique à la RTBF le gérant de plusieurs magasins de l’enseigne Delhaize à Bruxelles.

« Dans les magasins touchés, l’offre de produits frais et surgelés est temporairement quelque peu réduite », explique une porte parole à AP. « Nos centres de distribution fonctionnent normalement et les livraisons à nos magasins n’ont subi aucune perturbation. »

Des frigos réglés à 50 °C

En Belgique, 15 points de vente Carrefour ont été touchés (sur un total de 700), tout comme Intermarché (une quinzaine de magasins) ou encore 5 supermarchés Spar selon le décompte de Franceinfo. Les enseignes tiennent à relativiser : chez Carrefour Belgique par exemple, on souligne que l’attaque a eu « très peu d’impact ».

En Suède, l’enseigne ICA Group relève aussi qu’un « nombre limité » de supermarchés a été affecté. Un magasin a ainsi prévenu que ses frigos et congélateurs avaient été piratés et réglés à 50 degrés. Des produits ont été jetés. Des scénarios similaires se sont produits un peu partout ailleurs en Europe.

En Estonie, le fabricant et distributeur de systèmes frigorifiques Kitman Coldtech a confirmé des attaques sur des ordinateurs pilotant d’anciens modèles Danfoss, un mode opératoire identique à celui qui a frappé des centaines de supermarchés français.

• Des frigos piratés dans les supermarchés à cause d’une console de gestion exposée

Une enquête jusqu’aux États-Unis

Le CERT-FR avait alors pointé du doigt les séries AK-SC et AK-SM de Danfoss, ainsi que les contrôleurs Copeland xweb et Dixell xweb. Le problème relève de l’exposition d’une interface de gestion sur internet « contraire aux bonnes pratiques ». Le constructeur Danfoss avait renvoyé la balle vers les enseignes qui utilisent des contrôleurs obsolètes ou pas mis à jour. Une enquête a été ouverte par le parquet de Paris, et confiée à l’OFAC (Office anti-cybercriminalité).

Cette vague de cyberattaques ne concerne pas que le vieux continent. Des enquêteurs de la police judiciaire militaire américaine sont à pied d’œuvre après des pannes de congélateurs dans six installations de l’armée US. Des magasins d’alimentation ont subi en août des incidents similaires. Les enquêteurs travaillent d’ailleurs avec la police française pour déterminer les liens possibles entre toutes ces pannes.

L’entreprise Socket a identifié plus de 300 extensions pour Google Chrome, installées par plus de 13 millions d’internautes au cours d’une décennie, qui détourneraient les recherches des personnes touchées, tout en collectant des données.

Panique, Hacks, Patchs

Après le séisme PHP2Shell, l’heure est au bilan ; et il n’est pas bien brillant. Nous avons identifié au moins 250 000 domaines en .fr qui annoncent une version de PHP vulnérable. Un problème d’autant plus important que les attaques ne sont plus de la fiction ; elles sont bien réelles jusque dans des serveurs gouvernementaux américains.

Il y a deux semaines, le 21 octobre précisément, PHP dévoilait deux failles critiques et les correctifs pour les boucher. Elles sont sérieuses car elles permettent d’exécuter du code arbitraire à distance. L’exploitation des failles est complexe, mais elles sont imparables sauf à se mettre à jour. Face au danger, des sites (dont Next) ont pris les devants en fermant temporairement, le temps de mettre à jour les composants PHP.

Depuis, une troisième faille CVE-2026-115560 est apparue : « Celle-ci permet une exécution de code arbitraire à distance. L’éditeur estime que les conditions d’exploitation exigent une combinaison d’options de configuration et de code applicatif peu probable. Un correctif sera donc publié à l’occasion du prochain cycle de mises à jour », explique le CERT-FR.

• 21 octobre 2026 : retour en détail sur cette journée noire pour la cybersécurité

PHP2Shell : des exploitations jusque dans des serveurs gouvernementaux

Une semaine après la déferlante PHP2Shell, l’agence américaine de cybersécurité CISA (Cybersecurity and Infrastructure Security Agency, rattachée au Département de la Sécurité intérieure) ajoute les deux failles PHP à son catalogue KEV (Known Exploited Vulnerabilities), c’est-à-dire aux vulnérabilités dont l’exploitation est connue. C’est une incitation importante pour toutes les agences et organisations (privées ou publiques) de se mettre à jour sans attendre, avec même une obligation pour les agences fédérales civiles FCEB (Federal Civilian Executive Branch).

La semaine dernière aussi, le CERT-FR constatait « des tentatives d’exploitation des vulnérabilités CVE-2026-109618 et CVE-2026-109619 ciblant des déploiements spécifiques de PHP ». Les versions 8.2 à 8.5 sont les seules à avoir des mises à jour, alors que la faille remonterait jusqu’à PHP 5.4 de 2012.

Un exemple concret ? Il y a quelques jours l’Unité 42 de Palo Alto Networks (chargée de la cybersécurité) donnait quelques détails : « les vulnérabilités PHP2Shell sont activement exploitées contre les interfaces de gestion PAN-OS exposées à Internet ». Cela faisait suite à la publication par Dream Research d’une « campagne dans laquelle des attaquants ont enchaîné PHP2Shell avec une autre vulnérabilité d’escalade de privilèges du noyau Linux pour obtenir un accès root ».

Les chercheurs de Dream Research affirment avoir « découvert des artefacts de ce qui semblait être une campagne chinoise assistée par l’IA qui a obtenu un accès root sur 25 serveurs, y compris des systèmes dans un environnement affilié au gouvernement américain ».

Next analyse 4,6 millions de sites en .fr, verdict ?

Qu’en est-il pour les sites en « .fr » ? Nous avons récupéré la dernière version du fichier en open-data de l’AFNIC et nous avons interrogé les 4,6 millions de noms de domaine qui existaient encore en .fr en septembre 2026. Une opération longue, que nous avons lancée sur notre serveur dans la Gavcave. La vitesse est d’environ 10 domaines par seconde, soit 5 jours de traitement. Quels sont les résultats ?

Tout d’abord, sur les 4,6 millions, 1,2 million environ n’ont retourné aucun statut HTTP. Le nom de domaine peut n’avoir aucun site (servir pour des emails par exemple) ou être indisponible au moment du test. Près de 2,6 millions de sites ont répondu, mais sans indiquer de version de PHP. PHP pourrait quand même être installé, le serveur n’envoie simplement pas cette donnée qui n’est donc pas récupérée par notre script.

Cela laisse près de 500 000 serveurs avec une réponse HTTP contenant une version de PHP, de quoi faire une analyse poussée.

Une nouvelle faille critique dans le noyau Linux (CVE-2026-98432) : RHEL, Debian, SUSE et Proxmox sont patchés, pas Ubuntu. Quel noyau installer ?

Le post CVE-2026-98432 : la faille critique du noyau Linux qui peut offrir un accès root à distance a été publié sur IT-Connect.

Un chercheur a découvert dans Steam une faille RCE zero-click entre PC liés au même compte, et quatre élévations de privilèges SYSTEM sous Windows.

Le post Steam : des failles permettaient d’exécuter du code à distance sur un PC, sans aucun clic a été publié sur IT-Connect.

Création, connexion, session, récupération : les 4 moments clés où une identité se fait compromettre, avec des cas réels et les réponses possibles.

Le post Création, connexion, session, récupération : où sont les failles de votre gestion des identités ? a été publié sur IT-Connect.

Diffusée via Cursor, la version 2.1.313 de Claude Code installait la clé SSH d’un attaquant et un tunnel persistant. Voici comment vérifier si vous êtes touché.

Le post Claude Code : une version piégée de l’extension a ouvert une porte dérobée SSH chez des utilisateurs de Cursor a été publié sur IT-Connect.

Vous avez le week-end pour tout réinstaller

Une version piégée de l’extension Claude Code pour Visual Studio Code a été distribuée le 29 octobre dans la boutique Cursor. Elle installait une porte dérobée SSH persistante. Même si le problème a été résolu, l’extension frelatée a été installée par environ 5 000 personnes et pose de nouveau la question des chaînes d’approvisionnement.

Dans la journée du 29 octobre, quelque part entre 10h27 et 21h35 (heure de Paris), une version vérolée de l’extension Claude Code pour VS Code a été distribuée dans la boutique de Cursor. Estampillée 2.1.313, elle est restée suffisamment de temps en ligne pour avoir été téléchargée. Les 5 000 personnes concernées sont actuellement contactées, a indiqué Cursor.

L’éditeur dit avoir supprimé la version, arrêté intégralement sa boutique d’extensions, audité les accès, renouvelé ses clés, reconstruit la boutique et fait mettre hors ligne le serveur de l’attaquant par son hébergeur. Les différents contrôles n’ont révélé aucune autre extension modifiée.

Où l’attaque a-t-elle commencé ?

Le principal point flou dans cette histoire est que l’on ne sait pas exactement quand tout a commencé. Tout dépend de qui raconte l’incident.

Chez Phorion par exemple, l’attaque est présentée comme une compromission de la fiche officielle sur Open VSX, la marketplace ouverte de la Fondation Eclipse pour l’écosystème des éditeurs API compatibles avec VS Code. Phorion affirme également qu’Anthropic a retiré la version 2.1.313 d’Open VSX, de npm et même du Marketplace de Microsoft pour VS Code.

OpenSourceMalware, qui a publié la première analyse, indique que l’échantillon analysé provenait bien d’Open VSX. Le site en a déduit une diffusion par npm et le Marketplace de Microsoft en se basant sur un constat : la version 2.1.313 n’y figurait plus. Il précise que la provenance de l’artefact n’est pas établie et que ses conclusions ne prouvent pas une compromission de la distribution officielle d’Anthropic. Et pour cause, les retraits de npn et du Marketplace peuvent n’être qu’une mesure de sécurité, dans l’optique de supprimer toutes les versions 2.1.313 existantes. Problème, pour l’instant, ni Anthropic ni Microsoft n’ont réagi publiquement à l’incident.

Chez StepSecurity, on affirme que la compromission a commencé chez Open VSX avant d’être étendue à Cursor, puisque la boutique de ce dernier est un intermédiaire dont la base se synchronise avec le registre Open VSX. Les contrôles de sécurité appliqués sur ce dernier sont limités, avec un examen portant sur les motifs malveillants les plus connus. Ce qui signifie que l’extension vérolée aurait passé non seulement ces contrôles, mais également ceux de Cursor, plus poussés.

Illustration de ces incertitudes, The Hacker News a mis à jour son article pour indiquer que la compromission venait de Cursor seul. Pour cela, il faudrait que l’infrastructure propre à Cursor ait été compromise, ce que l’éditeur ne dit pas clairement. Cependant, le nombre d’actions entreprises pourrait aller dans ce sens, Cursor ayant renouvelé ses clés et reconstruit son magasin.

Le fonctionnement du malware

Si on ne sait pas comment tout a commencé ni qui est réellement concerné, on connait en revanche mieux le fonctionnement du code malveillant, les analyses de Phorion, OpenSourceMalware et Cursor s’accordant sur les détails.

L’extension contient ainsi un chargeur de 66 lignes, placé en tête du fichier extension.js. Il se lance dès le chargement du module, sans nécessiter d’action de l’utilisateur et donc avant même de lancer une conversation avec Claude. Ce chargeur ajoute une clé publique SSH liée à l’attaquant dans le dossier ~/.ssh/authorized_keys, pour lui donner un accès distant permanent sur l’ordinateur de la victime. La clé est étiquetée « svc-telemetry » pour paraitre anodine.

Le code vérifie ensuite que le service SSH est présent et actif. Dans le cas contraire, il tente de l’activer. Sur la plupart des Mac et PC sous Windows, l’étape échoue, non seulement faute de droits administrateur mais aussi car le code contient des erreurs. Sur Linux, le code réussit.

Le malware cherche ensuite à faire établir une connexion sortante vers le serveur de l’attaquant et à la maintenir ouverte. L’attaquant n’a alors plus qu’à emprunter ce tunnel en sens inverse pour atteindre la porte SSH et entrer avec sa clé privée, ouvrant la voie vers un terminal et la possibilité de lancer des commandes.

Le code installe aussi un petit script qui se relance à chaque démarrage de l’ordinateur et retente la connexion une fois par minute. Sur macOS, ce script se déguise en composant Apple (com.apple.sysmond), sur Windows en tâche Sysmon ou en script dans le dossier Démarrage, et sur Linux en tâche planifiée. La désinstallation de l’extension ne suffit donc pas. Le code envoie enfin une fiche descriptive de la machine avec nom de l’ordinateur, utilisateur, système, adresse IP publique, adresse électronique Git et dossier de travail.

Cette charge utile ne vole donc en elle-même aucune information cruciale, mais elle prépare le terrain. Le danger vient avant tout de ce que le pirate peut réaliser une fois la connexion établie via SSH.

Des vérifications à faire

La fiche de Cursor sur l’incident, publiée hier soir, mentionne uniquement des vérifications à faire pour macOS et Windows. L’éditeur ne le dit pas explicitement, mais il semble que Linux ne soit curieusement pas concerné, malgré les détails techniques allant pourtant dans ce sens.

Faute de script officiel, les analyses de Phorion et OpenSourceMalware présentent une série de commandes bash. Dans les trois cas cependant, si une preuve de compromission est détectée, il faudra effectuer plusieurs manipulations. Mais la recommandation est claire : réinstaller complètement la machine sera l’option la plus sûre.

Cursor indique dans son billet que les 5 000 personnes (environ) qui ont installé l’extension modifiée sont contactées pour être averties du problème.

Un nouveau type d’escroquerie qui se déploie en France.

Bête clic

L’entreprise de paris en ligne a dû suspendre l’accès à sa plateforme pendant un peu moins d’une heure : des pirates ont pu accéder aux comptes de certains de ses utilisateurs et récupérer les sommes accumulées. Polymarket rejette le problème sur un prestataire tiers. Celui-ci pourrait être DebugBear.

Ce jeudi 29 octobre, Polymarket a annoncé avoir mis temporairement sur pause l’utilisation de sa plateforme internationale Polymarket.⁠com, sur laquelle elle n’a permis pendant un peu moins d’une heure à ses utilisateurs que d’annuler leurs paris.

« Polymarket.⁠com : La plateforme de change fonctionne actuellement en mode « annulation uniquement » et les opérations des relais sont suspendues le temps que nous menions une enquête sur un incident », informait le compte X de l’entreprise hier soir. Une heure plus tard, elle affirmait que le problème était résolu après avoir expliqué : « L’un de nos prestataires tiers a été victime d’une intrusion, et nous avons signalé ce fait aux autorités compétentes ».

Un remboursement … après décharge juridique pour les sommes au-dessus de 10 000 dollars

Mais l’incident semble avoir fait perdre leurs portemonnaies à certains utilisateurs de la plateforme. Si l’entreprise n’a pas explicitement confirmé que certains ont perdu de l’argent, elle assurait que « Toute personne ayant subi un préjudice sera indemnisée intégralement ».

Selon CNBC, Polymarket a expliqué à ses utilisateurs sur Discord que les personnes qui ont perdu moins de 10 000 dollars se verront remboursées d’ici le 30 octobre. Pour ceux dont la somme perdue est plus importante, ils devront d’abord signer une décharge pour pouvoir récupérer leur argent. L’entreprise d’analyse de données Bubblemaps a estimé à plus de 700 le nombre d’utilisateurs touchés, et évoque le chiffre de 2,7 millions de dollars volés.

Selon des sources de Reuters, le problème viendrait de l’utilisation des outils de DebugBear. En parallèle de l’incident, cette entreprise qui fournit des outils de monitoring pour les sites web a posté un message sur X expliquant que « Nous sommes actuellement confrontés à un incident de sécurité », et demandant à ses utilisateurs : « si vous utilisez notre produit RUM, veuillez supprimer le code d’intégration de votre site web ». Selon CNBC, comme DebugBear est basée au Royaume-Uni, c’est aux autorités de ce pays que Polymarket a indiqué le problème. DebugBear n’a pas répondu aux sollicitations de nos confrères pour en savoir plus.

Une plateforme illégale en France et ailleurs

Ce problème de sécurisation des portemonnaies des utilisateurs de Polymarket ne va pas arranger ses relations avec les autorités à travers le monde. Rappelons que l’activité de Polymarket est mise en cause par l’État de New York pour activité illégale de jeux d’argent.

En France, le site de l’entreprise est bloqué par les principaux fournisseurs d’accès à Internet via une demande de l’Autorité nationale des jeux (ANJ), qui considère qu’il « fait la promotion d’une offre illégale de jeux d’argent et de hasard ». En septembre, l’entreprise faisait du lobbying en Europe pour assurer aux autorités que son activité était plus à ranger dans celles des « marchés prédictifs » que de sites de paris en ligne.

• Comme en France et ailleurs en Europe, l’Espagne bloque Polymarket et Kalshi
• Les vidéos de gains faramineux sur Polymarket ? Des faux, payés par la plateforme.

Tous les regards sont tournés vers la Corée du Nord. Le collectif de hackers TraderTraitor, directement lié à Lazarus, serait à la baguette.

La nouvelle génération de hackers

Le département américain de la Sécurité intérieure (DHS) a des fuites. Et pas qu’un peu. Des données personnelles sur plus de 41 000 employés et prestataires sont dans la nature, tout comme des informations sensibles sur des programmes de surveillance.

Un groupe de pirates se faisant appeler « Department of Peace » aurait obtenu les données volées sur les serveurs du DHS, puis transmises au site Distributed Denial of Secrets (DDoSecrets) qui a publié une archive sous le nom « Icepick ». Les fichiers, mis à jour pour la dernière fois le 19 août, ont été consultés par WIRED.

Le ministère confirme par le biais d’un porte-parole avoir eu connaissance d’une « possible intrusion » et travaille à y remédier « rapidement et efficacement ». « Nous prenons au sérieux toutes les menaces visant la sécurité de nos employés et de nos agents et veillerons à ce que tous soient correctement protégés », ajoute-t-il.

Un annuaire qui dévoile les rouages du DHS

DDoSecrets explique que les données proviennent du système d’authentification Okta du DHS. L’entreprise dément toute intrusion : « Nous avons pris connaissance de ces informations. Okta est sécurisé et nous n’avons aucune preuve que nos données ou nos systèmes aient été compromis ». Quoi qu’il en soit, la fuite expose les données (adresses email, numéros de téléphone, adresses des bureaux) de 41 000 employés et fournisseurs du ministère.

Depuis le retour de Donald Trump à la Maison-Blanche, le DHS, qui chapeaute notamment la police de l’immigration ICE et les services de protection des frontières, s’est transformé en citadelle du secret. Au cœur de la politique migratoire radicale de l’administration, le DHS est critiqué pour ses méthodes musclées de surveillance des opposants et pour l’opacité entourant ses agents et ses opérations.

« Ils ont nos informations, il est donc normal que nous ayons les leurs », se justifient les hackers de Department of Peace. La fuite dépasse cependant l’annuaire d’adresses ; elle révèle aussi les noms de responsables hiérarchiques et plus de 55 000 groupes qui définissent les accès aux outils et systèmes internes du DHS.

Les noms de ces groupes permettent d’identifier les logiciels utilisés – la fuite contient des références à des outils IA comme ChatGPT, Gemini, Copilot et Grok – les programmes de surveillance (comme la plateforme Falcon de Palantir) et certaines opérations (notamment de surveillance et de couverture) auxquels les personnels ont accès.

Cette fuite pourrait par exemple révéler des agents liés aux activités de l’ICE en charge de l’immigration. Toutes ces informations permettent de reconstituer l’organigramme du DHS. La base de données peut être consultée sur un site créé par la chercheuse en sécurité maia arson crimew, qui estime que malgré l’intimidation exercée par le DHS, il ne faut pas « renoncer à enquêter sur eux ».

Une mine de renseignements pour qui voudrait infiltrer le ministère

Alexander Leslie, spécialiste de la sécurité chez Recorded Future spécialisée sur les cybermenaces, explique à WIRED que « si ces données sont authentiques et à jour, elles constituent une source de renseignement d’une valeur exceptionnelle pour quiconque cherche à infiltrer le DHS. »

« [La] valeur [de ces données] augmente considérablement lorsqu’elles sont croisées avec des informations déjà compromises, des données commerciales et d’autres renseignements. Un adversaire pourrait passer des mois à exploiter ces liens pour repérer des personnels vulnérables, préparer des usurpations d’identité convaincantes ou compromettre des enquêtes en cours. »

Cette fuite rappelle celle du FBI orchestrée en septembre dernier par les pirates de ShinyHunters. Ils n’ont cependant jamais publié les données subtilisées. La situation ici est donc différente, puisque les informations du DHS sont disponibles en ligne. Le réseau social Bluesky a d’ailleurs bloqué les liens vers l’archive.

Une nouvelle escroquerie assez bien ficelée qui risque d’en tromper plus d’un.