logiciel malveillant rançongiciel

Publié le 8 janvier 2026. L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté deux vulnérabilités récemment exploitées, affectant Microsoft Office et Hewlett Packard Enterprise (HPE) OneView, à son catalogue de vulnérabilités exploitées connues (KEV). Cette décision fait suite à la confirmation d’une exploitation active de ces failles de sécurité.

• La CISA a ajouté une vulnérabilité critique (score CVSS : 10,0) dans HPE OneView, permettant l’exécution de code à distance par un utilisateur non authentifié.
• Une vulnérabilité d’injection de code dans Microsoft Office PowerPoint (CVE-2009-0556, score CVSS : 8,8) a également été ajoutée au catalogue KEV.
• Les agences fédérales américaines sont tenues d’appliquer les correctifs nécessaires d’ici le 28 janvier 2026.

La CISA met en garde contre l’exploitation active de ces vulnérabilités, soulignant la disponibilité d’un exploit de preuve de concept (PoC) pour la faille HPE OneView. Cette vulnérabilité, affectant toutes les versions antérieures à la version 11.00 de OneView, a été révélée le mois dernier par HPE, qui a rapidement publié des correctifs pour les versions 5.20 à 10.

Selon eSentire, la publication du PoC augmente considérablement le risque pour les organisations utilisant les versions vulnérables du logiciel.

« La disponibilité publique du code d’exploitation PoC augmente considérablement le risque pour les organisations exécutant les versions concernées de l’application. »

eSentire

L’entreprise recommande vivement d’appliquer les mises à jour nécessaires pour atténuer le risque d’exploitation.

La vulnérabilité dans Microsoft Office PowerPoint (CVE-2009-0556) est une faille d’injection de code qui permet à un attaquant distant d’exécuter du code arbitraire en corrompant la mémoire. Bien que plus ancienne, elle reste une menace potentielle.

Conformément à la Directive opérationnelle contraignante (DBO) 22-01, les agences du Pouvoir exécutif civil fédéral (FCEB) doivent impérativement appliquer les correctifs avant le 28 janvier 2026 afin de protéger leurs réseaux contre ces menaces actives. La portée et la source des attaques ciblant ces vulnérabilités ne sont pas encore clairement établies, mais la CISA suit de près la situation.

Publié le 31 décembre 2026. Le Trésor américain a retiré de sa liste noire trois individus liés au Consortium Intellexa, société à l’origine du logiciel espion Predator, une décision qui soulève des questions sur la surveillance des technologies intrusives et leurs conséquences potentielles.

• Le Bureau de contrôle des avoirs étrangers (OFAC) du Département du Trésor américain a supprimé de sa liste de personnes sanctionnées Mérom Harpaz, Andrea Nicola ConstantinoHermès Gambazzi et Sara Alexandra Fayssal Hamou.
• Cette décision intervient après que ces individus aient affirmé avoir rompu leurs liens avec le Consortium Intellexa.
• L’affaire relance le débat sur la prolifération des logiciels espions commerciaux et les risques qu’ils représentent pour la sécurité et les libertés individuelles.

Hamou avait été sanctionnée par l’OFAC en mars 2024, tandis que Harpaz et Gambazzi avaient été visés en septembre 2024 pour leur rôle dans le développement, l’exploitation et la distribution de Predator. Le communiqué du Trésor ne précisait initialement pas les raisons de ce retrait de la liste.

Cependant, selon une déclaration relayée par Reuters, le retrait s’inscrit dans une procédure administrative normale, consécutive à une demande de réexamen. Le ministère a ajouté que les individus en question avaient « pris des mesures pour se séparer du Consortium Intellexa ».

Harpaz occupait le poste de directeur chez Intellexa SA, tandis que Gambazzi était identifié comme propriétaire de Thalestris Limited et d’Intellexa Limited. Thalestris, selon le Département du Trésor, détenait les droits de distribution du logiciel espion et gérait les transactions pour le compte d’autres entités du Consortium Intellexa. Elle est également la société mère d’Intellexa SA.

Hamou était répertoriée comme l’un des principaux facilitateurs du Consortium Intellexa, spécialisée dans la délocalisation d’entreprises et chargée de fournir des services de gestion, notamment la location de bureaux en Grèce pour le compte d’Intellexa SA. On ignore si ces personnes occupent toujours les mêmes fonctions.

L’OFAC avait alors souligné que la prolifération des logiciels espions commerciaux constituait un risque croissant pour la sécurité des États-Unis et de leurs citoyens, appelant à la mise en place de garde-fous pour garantir un développement et une utilisation responsables de ces technologies, tout en préservant les droits de l’homme et les libertés civiles.

« Toute décision hâtive visant à lever les sanctions contre les individus impliqués dans des attaques contre des personnes et des intérêts américains risque de signaler aux mauvais acteurs que ce comportement peut avoir peu de conséquences tant que vous payez suffisamment d’argent pour des lobbyistes sophistiqués. »

Natalia Krapiva, conseillère juridique principale en technologie chez Access Now

Cette évolution intervient quelques semaines après la publication d’un rapport d’Amnesty International révélant qu’un avocat spécialisé dans les droits humains de la province pakistanaise du Baloutchistan avait été la cible d’une tentative d’attaque par Predator via un message WhatsApp.

Actif depuis au moins 2019, Predator est conçu pour être discret, laissant peu ou pas de traces de compromission, tout en collectant des données sensibles sur les appareils infectés. Il est généralement diffusé via des vecteurs d’attaque en un clic ou sans clic.

À l’instar de Pegasus, développé par le groupe NSO, cet outil est officiellement commercialisé pour la lutte contre le terrorisme et les forces de l’ordre. Toutefois, des enquêtes ont révélé une tendance à son utilisation contre des personnalités de la société civile, notamment des journalistes, des militants et des hommes politiques.

Une analyse récente de Recorded Future, publiée ce mois-ci, a révélé une utilisation continue de Predator malgré l’augmentation des rapports publics et les mesures internationales. La société, appartenant à Mastercard, souligne que :

« Plusieurs tendances clés façonnent l’écosystème des logiciels espions, notamment une balkanisation croissante à mesure que les entreprises se divisent selon des lignes géopolitiques, certaines entités sanctionnées cherchant une légitimité renouvelée par le biais d’acquisitions tandis que d’autres se tournent vers des régions où la surveillance est plus faible. »

Recorded Future

« En outre, la concurrence croissante et le secret entourant les technologies d’exploitation de grande valeur augmentent les risques de corruption, de fuites internes et d’attaques contre les fournisseurs de logiciels espions eux-mêmes. »

(Cet article a été mis à jour après sa publication pour inclure des informations supplémentaires provenant de Reuters.)

Publié le 24 décembre 2025 à 16h23. Une nouvelle variante du voleur d’informations macOS, baptisée MacSync, se propage via une application de messagerie frauduleuse signée numériquement, contournant ainsi les protections de sécurité d’Apple. Cette évolution témoigne d’une sophistication croissante des attaques ciblant les utilisateurs de Mac.

• Des chercheurs en cybersécurité ont identifié une nouvelle version de MacSync, un logiciel malveillant conçu pour voler des informations personnelles sur les ordinateurs Apple.
• Cette version se distingue par son utilisation d’une application Swift légitimement signée et notariée, ce qui lui permet de contourner les mécanismes de sécurité de macOS, notamment Gatekeeper.
• Les experts notent une évolution des tactiques utilisées par les attaquants, qui cherchent à rendre leurs logiciels malveillants plus discrets et difficiles à détecter.

Contrairement aux versions précédentes de MacSync Stealer, qui reposaient sur des méthodes plus directes comme le glisser-déposer de fichiers vers le terminal ou des attaques de type « cliquez pour réparer » (attaques de phishing ClickFix), cet échantillon adopte une approche plus subtile et moins intrusive, selon Thijs Xhaflaire, chercheur chez Jamf.

La nouvelle version est diffusée sous la forme d’une application Swift signée et notariée, emballée dans un fichier image disque (DMG) nommé « zk-call-messenger-installer-3.9.2-lts.dmg ». Ce fichier est hébergé sur le site « zkcall.[.]net/téléchargement ». La signature et la notarisation permettent à l’application de s’exécuter sans être bloquée par les contrôles de sécurité intégrés d’Apple, tels que Gatekeeper ou XProtect. Cependant, l’installateur invite toujours les utilisateurs à effectuer un clic droit et à ouvrir l’application, une tactique courante pour contourner ces protections. Apple a depuis révoqué le certificat de signature de code utilisé.

Une fois lancée, l’application Swift effectue une série de vérifications avant de télécharger et d’exécuter un script codé via un composant d’assistance. Ces vérifications incluent la connectivité Internet, l’application d’un intervalle d’exécution minimum d’environ 3 600 secondes (une heure) pour limiter le nombre de tentatives, la suppression des attributs de quarantaine et la validation du fichier avant son exécution.

Les chercheurs ont également observé des changements dans la commande curl utilisée pour récupérer la charge utile malveillante. Au lieu d’utiliser la combinaison courante d’options -fsSL, les attaquants ont divisé les indicateurs en -fL et -sS, et ajouté des options supplémentaires telles que –noproxy. Selon Thijs Xhaflaire,

« Ces changements, ainsi que l’utilisation de variables remplies dynamiquement, indiquent un changement délibéré dans la façon dont la charge utile est récupérée et validée, probablement visant à améliorer la fiabilité ou à échapper à la détection. »

Pour rendre l’attaque plus difficile à détecter, les attaquants ont également utilisé un fichier DMG inhabituellement volumineux, atteignant 25,5 Mo, en y incorporant des documents PDF sans rapport.

La charge utile décodée correspond à MacSync, une version renommée de Mac.c, un voleur d’informations apparu pour la première fois en avril 2025. Selon Moonlock Lab de MacPaw, MacSync est livré avec un agent Go complet qui permet non seulement le vol de données, mais aussi des capacités de commande et de contrôle à distance.

Il est important de noter que des fichiers DMG malveillants signés par code imitant Google Meet ont également été observés dans des attaques ciblant d’autres voleurs d’informations macOS, tels que Odyssée. Cependant, les attaquants continuent également d’utiliser des images disques non signées pour diffuser leurs attaques, comme le DigitStealer, diffusé le mois dernier.

Jamf souligne que

« Ce changement de distribution reflète une tendance plus large dans le paysage des logiciels malveillants macOS, où les attaquants tentent de plus en plus d’introduire leurs logiciels malveillants dans des exécutables signés et notariés, leur permettant de ressembler davantage à des applications légitimes. »

Publié le 24 décembre 2025 à 11h16. L’autorité antitrust italienne a infligé une amende de près de 100 millions d’euros à Apple, estimant que sa politique de confidentialité App Tracking Transparency (ATT) entrave la concurrence sur l’App Store en désavantageant les développeurs tiers.

• Apple a été condamnée à une amende de 98,6 millions d’euros (116 millions de dollars américains) par l’Autorité italienne de la concurrence (AGCM).
• L’AGCM estime que les exigences de consentement imposées par ATT sont excessives pour les développeurs tiers et disproportionnées par rapport aux objectifs de protection de la vie privée.
• Apple prévoit de faire appel de cette décision et réaffirme son engagement en faveur de la confidentialité des utilisateurs.

L’Autorité italienne de la concurrence a conclu qu’Apple, grâce à sa position dominante dans la distribution d’applications, impose unilatéralement les règles d’ATT aux développeurs sans concertation préalable. L’enquête avait été lancée en mai 2023. L’AGCM ne conteste pas en soi les mesures de protection de la vie privée mises en place par Apple pour les utilisateurs d’iOS, mais s’oppose à la manière dont ces mesures sont appliquées.

En substance, ATT oblige les développeurs d’applications à solliciter un consentement spécifique des utilisateurs de l’Union européenne avant de collecter et d’utiliser leurs données à des fins publicitaires. Or, les applications et services propres à Apple peuvent obtenir cette autorisation avec un simple clic. L’AGCM souligne que cette double demande de consentement est inutile et complique le processus pour les développeurs.

« Les développeurs d’applications tierces sont tenus d’obtenir un consentement spécifique pour la collecte et la liaison de données à des fins publicitaires via l’invite ATT d’Apple. Cependant, une telle invite ne répond pas aux exigences de la législation sur la protection de la vie privée, obligeant les développeurs à doubler la demande de consentement dans le même but. »

Autorité italienne de la concurrence (AGCM)

L’autorité estime qu’Apple aurait pu garantir un niveau de protection équivalent de la vie privée en permettant aux développeurs d’obtenir le consentement des utilisateurs via une seule demande d’autorisation de « Publicité personnalisée ». Selon l’AGCM, l’ATT nuit aux développeurs tiers qui dépendent de la publicité pour monétiser leurs applications.

Apple a annoncé son intention de contester la décision de l’AGCM, réaffirmant son engagement en faveur de la protection de la vie privée. Dans un communiqué relayé par Reuters, l’entreprise a déclaré que les règles s’appliquaient de manière uniforme à tous les développeurs, y compris à elle-même.

Introduite en 2021, ATT permet aux applications mobiles de demander explicitement le consentement des utilisateurs avant d’accéder à l’identifiant publicitaire unique de leur appareil, utilisé pour le suivi à des fins de publicité ciblée.

Ce n’est pas la première fois que le cadre de protection de la vie privée d’Apple suscite des critiques des autorités de la concurrence. En mars 2025, l’entreprise avait déjà écopé d’une amende de 150 millions d’euros (162 millions de dollars américains) de la part de l’autorité française de la concurrence pour avoir potentiellement abusé de sa position dominante sur le marché de la publicité mobile grâce à ATT. Plus d’informations ici.

Apple fait également l’objet d’enquêtes similaires en Pologne et en Roumanie. Au début du mois de décembre 2025, l’autorité antitrust allemande a indiqué qu’elle examinait les modifications proposées par Apple à ATT, notamment des ajustements au texte et au format de la demande de consentement, tout en conservant les avantages pour les utilisateurs.

Apple aurait accepté d’introduire des demandes de consentement neutres pour ses propres services et les applications tierces, et de simplifier le processus de consentement afin de garantir sa conformité avec la législation sur la protection des données.

Publié le 17 décembre 2025. Des pirates informatiques ciblent les utilisateurs d’Amazon Web Services (AWS) en exploitant des identifiants de sécurité compromis pour détourner des ressources de calcul et les utiliser pour miner des cryptomonnaies, une campagne qui se distingue par ses techniques de persistance sophistiquées.

• Une campagne de minage de cryptomonnaies cible les clients d’AWS ayant des informations d’identification IAM compromises.
• Les attaquants utilisent des techniques de persistance inédites pour entraver la réponse aux incidents et maintenir leur accès.
• Ils exploitent des vulnérabilités dans la gestion des identités et des accès pour déployer des ressources de minage sur ECS et EC2.

Amazon a détecté une campagne active visant ses clients, exploitant des failles dans la gestion des identités et des accès (IAM) pour activer le minage de cryptomonnaies. L’activité malveillante, initialement repérée le 2 novembre 2025 par le service de détection des menaces GuardDuty d’Amazon et ses systèmes de surveillance automatisés, se caractérise par des techniques de persistance particulièrement avancées, rendant la réponse aux incidents plus complexe.

Selon un rapport publié par le géant technologique, les attaquants opèrent à partir d’un fournisseur d’hébergement tiers et procèdent rapidement à l’énumération des ressources et des autorisations avant de déployer des infrastructures de minage de cryptomonnaies sur les services Elastic Container Service (ECS) et EC2. Amazon précise que, dans les dix minutes suivant l’accès initial, les programmes de minage sont opérationnels.

La chaîne d’attaque se déroule en plusieurs étapes. Les pirates exploitent d’abord les identifiants IAM compromis, dotés de privilèges administratifs, pour lancer une phase de reconnaissance. Cette phase vise à sonder l’environnement afin de déterminer les quotas de service EC2 et à tester les autorisations en utilisant l’ API RunInstances avec l’option “DryRun” activée.

L’activation de l’indicateur “DryRun” est une manœuvre cruciale et intentionnelle. Elle permet aux attaquants de valider leurs autorisations IAM sans réellement lancer d’instances, évitant ainsi des coûts et minimisant les traces de leur activité. L’objectif principal de cette étape est de déterminer si l’infrastructure cible est adaptée au déploiement du logiciel de minage.

L’infection progresse ensuite avec l’appel aux fonctions CreateServiceLinkedRole et CreateRole, permettant la création de rôles IAM pour les groupes de mise à l’échelle automatique et AWS Lambda. Une fois ces rôles créés, la stratégie “AWSLambdaBasicExecutionRole” est associée au rôle Lambda.

Jusqu’à présent, les attaquants auraient créé des dizaines de clusters ECS dans les environnements compromis, dépassant parfois les 50 clusters par attaque. Ils ont ensuite utilisé la commande RegisterTaskDefinition avec une image DockerHub malveillante, yenik65958/secret:user. En utilisant la même méthode que pour la création des clusters, ils ont ensuite créé un service, exploitant la définition de tâche pour lancer le minage de cryptomonnaies sur les nœuds ECS Fargate.

L’image DockerHub, désormais supprimée, est conçue pour exécuter un script shell dès son déploiement, lançant ainsi le minage de cryptomonnaies à l’aide de l’ algorithme de minage RandomVIREL. De plus, les attaquants ont été observés en train de créer des groupes de mise à l’échelle automatique configurés pour évoluer de 20 à 999 instances, dans le but d’exploiter les quotas de service EC2 et de maximiser la consommation de ressources.

L’activité malveillante a ciblé à la fois les instances de GPU et d’apprentissage automatique haute performance, ainsi que les instances de calcul, de mémoire et à usage général.

Ce qui distingue cette campagne est l’utilisation de la fonction ModifyInstanceAttribute avec le paramètre “disableApiTermination” défini sur “True”. Cette action empêche la résiliation d’une instance via la console Amazon EC2, l’interface de ligne de commande ou l’API, obligeant les victimes à réactiver la terminaison de l’API avant de pouvoir supprimer les ressources concernées.

« La protection contre la résiliation d’instance peut altérer les capacités de réponse aux incidents et perturber les contrôles de remédiation automatisés. »

Amazon

Cette technique n’est pas nouvelle. En avril 2024, le chercheur en sécurité Harsha Koushik avait déjà démontré qu’il était possible d’abuser de cette fonction pour prendre le contrôle d’instances, exfiltrer les informations d’identification du rôle d’instance et même prendre le contrôle complet d’un compte AWS.

En outre, les attaques entraînent la création d’une fonction Lambda qui peut être invoquée par n’importe quel mandataire et un utilisateur IAM “user-x1x2x3x4” auquel la stratégie gérée par AWS “AmazonSESFullAccess” est attachée, accordant ainsi aux attaquants un accès complet à Amazon Simple Email Service (SES) et leur permettant potentiellement de mener des attaques de phishing.

Pour se protéger contre cette menace, Amazon recommande à ses clients de :

• Mettre en œuvre des contrôles stricts de gestion des identités et des accès.
• Utiliser des informations d’identification temporaires plutôt que des clés d’accès à long terme.
• Activer l’authentification multifacteur (MFA) pour tous les utilisateurs.
• Appliquer le principe du moindre privilège (PoLP) aux mandataires IAM pour restreindre l’accès.
• Ajouter des contrôles de sécurité des conteneurs pour détecter les images suspectes.
• Surveiller les demandes d’allocation de CPU inhabituelles dans les définitions de tâches ECS.
• Utiliser AWS CloudTrail pour enregistrer les événements sur les services AWS.
• S’assurer qu’AWS GuardDuty est activé pour faciliter les flux de travail de réponse automatisés.

« L’utilisation par l’acteur malveillant de plusieurs services de calcul, combinée aux techniques de persistance émergentes, représente une avancée significative dans les méthodologies d’attaque de minage de cryptomonnaies. »

Amazon