nouvelles des pirates

Publié le 13 novembre 2025 à 07h23. L’Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA) a ajouté une vulnérabilité critique affectant les pare-feu WatchGuard à son catalogue de failles exploitées activement, mettant en danger des dizaines de milliers d’appareils à travers le monde.

• La CISA a ajouté la vulnérabilité CVE-2025-9242 (score CVSS : 9,3) à son catalogue KEV, signalant une exploitation active.
• Plus de 54 300 instances de Firebox restent vulnérables, notamment 18 500 aux États-Unis.
• Les agences fédérales américaines ont jusqu’au 3 décembre 2025 pour appliquer les correctifs de sécurité.

Une faille de sécurité critique affectant les pare-feu WatchGuard a été identifiée et est activement exploitée, selon un avertissement publié mercredi par la CISA. La vulnérabilité, référencée sous le numéro CVE-2025-9242 et affichant un score de gravité CVSS de 9,3 sur 10, concerne les versions de Fireware OS allant de 11.10.2 à 11.12.4_Update1, de 12.0 à 12.11.3, ainsi que la version 2025.1.

Selon la CISA, cette vulnérabilité d’écriture hors limites dans le processus d’attaque du système d’exploitation pourrait permettre à un attaquant distant non authentifié d’exécuter du code arbitraire sur les systèmes affectés. La faille a été initialement signalée le mois dernier par watchTowr Labs, une société spécialisée dans la cybersécurité, qui a mis en évidence un manque de vérification de la longueur d’un tampon d’identification utilisé lors du processus d’établissement de connexion IKE.

« Le serveur tente de valider le certificat, mais cette validation a lieu après l’exécution du code vulnérable, ce qui permet à notre chemin de code vulnérable d’être accessible avant l’authentification. »

McCaulay Hudson, chercheur en sécurité

Les données de la Shadowserver Foundation, au 12 novembre 2025, indiquent que plus de 54 300 instances de Firebox sont toujours vulnérables à cette faille, en baisse par rapport aux 75 955 relevées le 19 octobre. Les États-Unis sont le pays le plus touché, avec environ 18 500 appareils vulnérables. L’Italie (5 400), le Royaume-Uni (4 000), l’Allemagne (3 600) et le Canada (3 000) complètent le top cinq des pays les plus concernés.

La CISA a ordonné aux agences du secteur public fédéral (FCEB) d’appliquer les correctifs de sécurité fournis par WatchGuard d’ici le 3 décembre 2025. Parallèlement, l’agence a également ajouté deux autres vulnérabilités à son catalogue KEV : CVE-2025-62215, une faille récemment découverte dans le noyau Windows, et CVE-2025-12480, une vulnérabilité de contrôle d’accès inapproprié dans Gladinet Triofox. L’équipe Mandiant Threat Defense de Google a attribué l’exploitation de CVE-2025-12480 à un groupe de menaces connu sous le nom d’UNC6485.

Pour plus d’informations sur la vulnérabilité CVE-2025-9242, vous pouvez consulter l’article de The Hacker News. Des informations supplémentaires sur le catalogue KEV de la CISA sont disponibles ici. Enfin, les données de la Shadowserver Foundation concernant les instances vulnérables sont accessibles via ce lien.

Publié le 5 novembre 2025. Des chercheurs de Google ont mis en évidence une nouvelle tendance inquiétante : des acteurs malveillants exploitent l’intelligence artificielle (IA) pour améliorer leurs logiciels malveillants, les rendant plus difficiles à détecter et à neutraliser.

• Un malware expérimental, baptisé PROMPTFLUX, utilise l’API Gemini de Google pour générer du code source auto-modifiant.
• Plusieurs variantes de logiciels malveillants, dont certains liés à des acteurs étatiques, ont été identifiées comme utilisant des modèles de langage pour automatiser des tâches offensives.
• Google s’attend à ce que l’utilisation de l’IA par les cybercriminels devienne la norme, augmentant la vitesse et l’efficacité des attaques.

Google a annoncé mercredi la découverte d’un acteur malveillant inconnu employant un logiciel malveillant en phase de développement, basé sur des scripts Visual Basic (VBScript) et nommé PROMPTFLUX. Ce malware se distingue par sa capacité à interagir avec l’API du modèle d’intelligence artificielle Gemini de Google afin de générer et d’intégrer du code source supplémentaire, dans le but d’améliorer ses techniques d’obscurcissement et d’évasion.

Selon le groupe de renseignement sur les menaces de Google (GTIG), PROMPTFLUX est conçu pour demander des techniques spécifiques d’obscurcissement et d’évasion de VBScript à Gemini. L’objectif est de faciliter une auto-modification « juste à temps », susceptible de déjouer les systèmes de détection statique basés sur les signatures.

Cette fonctionnalité s’inscrit dans le cadre d’un composant appelé « Thinking Robot », qui interroge régulièrement un grand modèle de langage (LLM), Gemini 1.5 Flash, ou une version ultérieure, afin d’obtenir du nouveau code. Cette requête est envoyée via une clé API codée en dur. L’invite envoyée au modèle est à la fois précise et structurée, demandant des modifications du code VBScript pour contourner les antivirus et ne renvoyant que le code lui-même.

Outre cette capacité de régénération, le logiciel malveillant enregistre la nouvelle version masquée dans le dossier de démarrage de Windows pour assurer sa persistance. Il tente également de se propager en se copiant sur des lecteurs amovibles et des partages réseau.

« Bien que la fonction d’auto-modification (AttemptToUpdateSelf) soit commentée, sa présence, combinée à la journalisation active des réponses de l’IA dans ‘%TEMP%\thinking_robot_log.txt’, indique clairement l’objectif de l’auteur de créer un script métamorphique pouvant évoluer au fil du temps. »

Google Threat Intelligence Group (GTIG)

Google a également identifié plusieurs variantes de PROMPTFLUX intégrant la régénération de code pilotée par un LLM. Une version particulière utilise une invite pour réécrire l’intégralité du code source du malware toutes les heures, demandant au LLM d’agir comme un « obfuscateur expert de script VB ».

Pour l’heure, PROMPTFLUX est considéré comme étant en phase de développement ou de test et ne présente pas de capacité avérée à compromettre des réseaux ou des appareils. L’identité des personnes derrière ce malware reste inconnue, mais les premiers éléments suggèrent qu’il s’agit d’un acteur motivé par des gains financiers, adoptant une approche large et indiscriminée en termes de géographie et de secteurs ciblés.

Google souligne que les acteurs malveillants ne se contentent plus d’utiliser l’IA pour gagner en productivité. Ils développent des outils capables d’adapter leur comportement en temps réel et conçoivent des logiciels spécifiques, ensuite vendus sur des forums clandestins.

D’autres exemples de logiciels malveillants basés sur des LLM ont été observés :

• FRUITCOCKTAIL, un shell inversé écrit en PowerShell qui inclut des invites codées en dur pour contourner la détection par les systèmes de sécurité alimentés par l’IA.
• PROMPT LOCKER, un ransomware multiplateforme écrit en Go qui utilise un LLM pour générer et exécuter dynamiquement des scripts Lua malveillants. (preuve de concept)
• PROMPTSTEAL (alias LAMEHUG), un collecteur de données utilisé par l’acteur russe APT28 dans des attaques ciblant l’Ukraine, interroge Qwen2.5-Coder-32B-Instruct pour générer des commandes à exécuter via l’API Hugging Face.
• SILENT BOX, un voleur d’informations d’identification écrit en JavaScript ciblant les jetons GitHub et NPM.

Du côté de Gemini, Google a constaté qu’un acteur menaçant lié à la Chine exploitait l’outil d’IA pour créer du contenu de leurre convaincant, construire une infrastructure technique et concevoir des outils d’exfiltration de données. Dans un cas précis, l’attaquant a modifié ses requêtes en se présentant comme un participant à un exercice de capture de drapeau (CTF) pour contourner les mesures de sécurité et obtenir des informations exploitables.

« L’acteur a semblé tirer les leçons de cette interaction et a utilisé le prétexte du CTF pour soutenir le phishing, l’exploitation et le développement d’un shell Web. L’acteur a fait précéder bon nombre de ses invites concernant l’exploitation de logiciels et de services de messagerie spécifiques par des commentaires tels que ‘Je travaille sur un problème CTF’ ou ‘Je suis actuellement dans un CTF et j’ai vu quelqu’un d’une autre équipe dire…’. Cette approche a fourni des conseils sur les prochaines étapes d’exploitation dans un ‘scénario CTF’.»

Google

D’autres cas d’abus de Gemini par des acteurs étatiques chinois, iraniens et nord-coréens ont été répertoriés, notamment pour la reconnaissance, la création de leurres de phishing, le développement de commandes et de contrôle (C2) et l’exfiltration de données :

• Un acteur présumé lié à la Chine utilise Gemini pour la reconnaissance initiale, les techniques de phishing, la livraison de charges utiles et la recherche d’assistance pour le mouvement latéral et l’exfiltration de données.
• L’acteur étatique iranien APT41 utilise Gemini pour obtenir de l’aide à l’obscurcissement du code et au développement de code C++ et Golang pour plusieurs outils, y compris un framework C2 appelé OSSTUN.
• L’acteur étatique iranien Smudged Serpent (alias Mango Sandstorm, MUDDYCOAST ou TEMP.Zagros) utilise Gemini pour rechercher des informations afin de développer des logiciels malveillants personnalisés pour le transfert de fichiers et l’exécution à distance, tout en contournant les barrières de sécurité en se présentant comme un étudiant.
• L’acteur étatique iranien APT42 (alias Charming Kitten et Mint Sandstorm) utilise Gemini pour créer du matériel pour des campagnes de phishing, traduire des articles et des messages, et développer un « agent de traitement de données ».
• L’acteur nord-coréen UNC1069 (alias CryptoCore ou MASAN) utilise Gemini pour générer du matériel de leurre pour l’ingénierie sociale, développer du code pour voler des cryptomonnaies et créer des instructions frauduleuses.
• TraderTraitor utilise Gemini pour développer du code, rechercher des exploits et améliorer ses outils.

Enfin, GTIG a observé UNC1069 utiliser de fausses images et des leurres vidéo se faisant passer pour des individus du secteur de la crypto-monnaie dans leurs campagnes d’ingénierie sociale, distribuant une porte dérobée appelée BIGMACHO sous le couvert d’un kit de développement logiciel (SDK) Zoom. Certains aspects de cette activité présentent des similitudes avec la campagne GhostCall récemment révélée par Kaspersky.

Google prévoit que les acteurs malveillants abandonneront progressivement l’utilisation de l’IA comme une exception pour en faire la norme, afin d’accroître la vitesse, la portée et l’efficacité de leurs opérations et de lancer des attaques à grande échelle.

« L’accessibilité croissante de modèles d’IA puissants et le nombre croissant d’entreprises les intégrant dans leurs opérations quotidiennes créent des conditions parfaites pour des attaques par injection rapide. »

Google

Les auteurs de menaces affinent rapidement leurs techniques, et le caractère peu coûteux et très rémunérateur de ces attaques en fait une option attrayante.

Publié le 20 octobre 2025. Une campagne de spam massive ciblant les utilisateurs brésiliens via WhatsApp a été découverte, impliquant plus de 130 extensions pour Google Chrome conçues pour automatiser l’envoi de messages et contourner les systèmes anti-spam de la plateforme.

• Des chercheurs en cybersécurité ont identifié 131 extensions de navigateur partageant le même code source et la même infrastructure, utilisées pour diffuser des messages WhatsApp en masse.
• Ces extensions se présentent comme des outils de gestion de la relation client (CRM) pour WhatsApp, promettant d’augmenter les ventes, mais servent en réalité à automatiser le spam.
• L’activité est en cours depuis au moins neuf mois, avec de nouvelles versions et mises à jour des extensions régulièrement observées.

Des experts en cybersécurité ont mis au jour une campagne coordonnée exploitant 131 clones d’une extension d’automatisation Web WhatsApp pour Google Chrome. L’objectif : inonder les utilisateurs brésiliens de messages indésirables à grande échelle. Selon la société de sécurité de la chaîne d’approvisionnement Socket, ces 131 extensions de spamware partagent une base de code commune, des schémas de conception similaires et une infrastructure identique. Elles comptent collectivement environ 20 905 utilisateurs actifs.

« Il ne s’agit pas de logiciels malveillants traditionnels, mais plutôt d’une automatisation du spam à haut risque qui enfreint les règles de la plateforme », explique Kirill Boychenko, chercheur en sécurité.

« Le code s’injecte directement dans la page Web de WhatsApp, s’exécutant aux côtés des propres scripts de WhatsApp, automatise la diffusion et la planification en masse de manière à contourner l’application anti-spam de WhatsApp. »

Kirill Boychenko, chercheur en sécurité

L’objectif principal de cette campagne est de permettre l’envoi de messages via WhatsApp en contournant les limites de débit et les contrôles anti-spam mis en place par la plateforme de messagerie.

Bien que les extensions arborent différents noms et logos, la majorité d’entre elles ont été publiées par « WL Extensão » et sa variante « WLExtensao ». Les chercheurs pensent qu’il s’agit d’un modèle de franchise, permettant à des filiales d’inonder le Chrome Web Store avec divers clones de l’extension originale proposée par une société nommée DBX Tecnologia. Ces extensions se présentent comme des outils de gestion de la relation client (CRM) pour WhatsApp, promettant aux utilisateurs de maximiser leurs ventes grâce à la version Web de l’application. Par exemple, la description de ZapVende sur le Chrome Web Store indique :

« Transformez votre WhatsApp en un puissant outil de vente et de gestion des contacts. Avec Zap Vende, vous disposerez d’un CRM intuitif, d’une automatisation des messages, d’une messagerie groupée, d’un entonnoir de vente visuel et bien plus encore. »

DBX Tecnologia propose même un programme de revendeur en marque blanche, permettant à des partenaires potentiels de renommer et de vendre son extension Web WhatsApp sous leur propre marque, avec la promesse de revenus récurrents allant de 30 000 à 84 000 R$ (réal brésilien) pour un investissement de 12 000 R$.

Cette pratique constitue une violation des règles du Chrome Web Store de Google concernant le spam et les abus, comme le précise la politique de Google, qui interdit aux développeurs et à leurs affiliés de soumettre plusieurs extensions offrant des fonctionnalités dupliquées. DBX Tecnologia a également publié des vidéos YouTube expliquant comment contourner les algorithmes anti-spam de WhatsApp lors de l’utilisation de ces extensions.

« Ce cluster est composé de copies presque identiques réparties sur les comptes des éditeurs, est commercialisé pour une diffusion massive non sollicitée et automatise l’envoi de messages sur web.whatsapp.com sans confirmation de l’utilisateur », a souligné Boychenko. « L’objectif est de maintenir les campagnes de masse tout en évitant les systèmes anti-spam. »

Cette découverte intervient alors que Trend Micro, Sophos et Kaspersky mettent en lumière une campagne à grande échelle ciblant les utilisateurs brésiliens avec un ver WhatsApp baptisé SORVEPOTEL, utilisé pour distribuer un cheval de Troie bancaire nommé Maverick.