Sécurité du réseau

Publié le 8 janvier 2026. L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté deux vulnérabilités récemment exploitées, affectant Microsoft Office et Hewlett Packard Enterprise (HPE) OneView, à son catalogue de vulnérabilités exploitées connues (KEV). Cette décision fait suite à la confirmation d’une exploitation active de ces failles de sécurité.

• La CISA a ajouté une vulnérabilité critique (score CVSS : 10,0) dans HPE OneView, permettant l’exécution de code à distance par un utilisateur non authentifié.
• Une vulnérabilité d’injection de code dans Microsoft Office PowerPoint (CVE-2009-0556, score CVSS : 8,8) a également été ajoutée au catalogue KEV.
• Les agences fédérales américaines sont tenues d’appliquer les correctifs nécessaires d’ici le 28 janvier 2026.

La CISA met en garde contre l’exploitation active de ces vulnérabilités, soulignant la disponibilité d’un exploit de preuve de concept (PoC) pour la faille HPE OneView. Cette vulnérabilité, affectant toutes les versions antérieures à la version 11.00 de OneView, a été révélée le mois dernier par HPE, qui a rapidement publié des correctifs pour les versions 5.20 à 10.

Selon eSentire, la publication du PoC augmente considérablement le risque pour les organisations utilisant les versions vulnérables du logiciel.

« La disponibilité publique du code d’exploitation PoC augmente considérablement le risque pour les organisations exécutant les versions concernées de l’application. »

eSentire

L’entreprise recommande vivement d’appliquer les mises à jour nécessaires pour atténuer le risque d’exploitation.

La vulnérabilité dans Microsoft Office PowerPoint (CVE-2009-0556) est une faille d’injection de code qui permet à un attaquant distant d’exécuter du code arbitraire en corrompant la mémoire. Bien que plus ancienne, elle reste une menace potentielle.

Conformément à la Directive opérationnelle contraignante (DBO) 22-01, les agences du Pouvoir exécutif civil fédéral (FCEB) doivent impérativement appliquer les correctifs avant le 28 janvier 2026 afin de protéger leurs réseaux contre ces menaces actives. La portée et la source des attaques ciblant ces vulnérabilités ne sont pas encore clairement établies, mais la CISA suit de près la situation.

Publié le 31 décembre 2026. Le Trésor américain a retiré de sa liste noire trois individus liés au Consortium Intellexa, société à l’origine du logiciel espion Predator, une décision qui soulève des questions sur la surveillance des technologies intrusives et leurs conséquences potentielles.

• Le Bureau de contrôle des avoirs étrangers (OFAC) du Département du Trésor américain a supprimé de sa liste de personnes sanctionnées Mérom Harpaz, Andrea Nicola ConstantinoHermès Gambazzi et Sara Alexandra Fayssal Hamou.
• Cette décision intervient après que ces individus aient affirmé avoir rompu leurs liens avec le Consortium Intellexa.
• L’affaire relance le débat sur la prolifération des logiciels espions commerciaux et les risques qu’ils représentent pour la sécurité et les libertés individuelles.

Hamou avait été sanctionnée par l’OFAC en mars 2024, tandis que Harpaz et Gambazzi avaient été visés en septembre 2024 pour leur rôle dans le développement, l’exploitation et la distribution de Predator. Le communiqué du Trésor ne précisait initialement pas les raisons de ce retrait de la liste.

Cependant, selon une déclaration relayée par Reuters, le retrait s’inscrit dans une procédure administrative normale, consécutive à une demande de réexamen. Le ministère a ajouté que les individus en question avaient « pris des mesures pour se séparer du Consortium Intellexa ».

Harpaz occupait le poste de directeur chez Intellexa SA, tandis que Gambazzi était identifié comme propriétaire de Thalestris Limited et d’Intellexa Limited. Thalestris, selon le Département du Trésor, détenait les droits de distribution du logiciel espion et gérait les transactions pour le compte d’autres entités du Consortium Intellexa. Elle est également la société mère d’Intellexa SA.

Hamou était répertoriée comme l’un des principaux facilitateurs du Consortium Intellexa, spécialisée dans la délocalisation d’entreprises et chargée de fournir des services de gestion, notamment la location de bureaux en Grèce pour le compte d’Intellexa SA. On ignore si ces personnes occupent toujours les mêmes fonctions.

L’OFAC avait alors souligné que la prolifération des logiciels espions commerciaux constituait un risque croissant pour la sécurité des États-Unis et de leurs citoyens, appelant à la mise en place de garde-fous pour garantir un développement et une utilisation responsables de ces technologies, tout en préservant les droits de l’homme et les libertés civiles.

« Toute décision hâtive visant à lever les sanctions contre les individus impliqués dans des attaques contre des personnes et des intérêts américains risque de signaler aux mauvais acteurs que ce comportement peut avoir peu de conséquences tant que vous payez suffisamment d’argent pour des lobbyistes sophistiqués. »

Natalia Krapiva, conseillère juridique principale en technologie chez Access Now

Cette évolution intervient quelques semaines après la publication d’un rapport d’Amnesty International révélant qu’un avocat spécialisé dans les droits humains de la province pakistanaise du Baloutchistan avait été la cible d’une tentative d’attaque par Predator via un message WhatsApp.

Actif depuis au moins 2019, Predator est conçu pour être discret, laissant peu ou pas de traces de compromission, tout en collectant des données sensibles sur les appareils infectés. Il est généralement diffusé via des vecteurs d’attaque en un clic ou sans clic.

À l’instar de Pegasus, développé par le groupe NSO, cet outil est officiellement commercialisé pour la lutte contre le terrorisme et les forces de l’ordre. Toutefois, des enquêtes ont révélé une tendance à son utilisation contre des personnalités de la société civile, notamment des journalistes, des militants et des hommes politiques.

Une analyse récente de Recorded Future, publiée ce mois-ci, a révélé une utilisation continue de Predator malgré l’augmentation des rapports publics et les mesures internationales. La société, appartenant à Mastercard, souligne que :

« Plusieurs tendances clés façonnent l’écosystème des logiciels espions, notamment une balkanisation croissante à mesure que les entreprises se divisent selon des lignes géopolitiques, certaines entités sanctionnées cherchant une légitimité renouvelée par le biais d’acquisitions tandis que d’autres se tournent vers des régions où la surveillance est plus faible. »

Recorded Future

« En outre, la concurrence croissante et le secret entourant les technologies d’exploitation de grande valeur augmentent les risques de corruption, de fuites internes et d’attaques contre les fournisseurs de logiciels espions eux-mêmes. »

(Cet article a été mis à jour après sa publication pour inclure des informations supplémentaires provenant de Reuters.)

Publié le 24 décembre 2025 à 16h23. Une nouvelle variante du voleur d’informations macOS, baptisée MacSync, se propage via une application de messagerie frauduleuse signée numériquement, contournant ainsi les protections de sécurité d’Apple. Cette évolution témoigne d’une sophistication croissante des attaques ciblant les utilisateurs de Mac.

• Des chercheurs en cybersécurité ont identifié une nouvelle version de MacSync, un logiciel malveillant conçu pour voler des informations personnelles sur les ordinateurs Apple.
• Cette version se distingue par son utilisation d’une application Swift légitimement signée et notariée, ce qui lui permet de contourner les mécanismes de sécurité de macOS, notamment Gatekeeper.
• Les experts notent une évolution des tactiques utilisées par les attaquants, qui cherchent à rendre leurs logiciels malveillants plus discrets et difficiles à détecter.

Contrairement aux versions précédentes de MacSync Stealer, qui reposaient sur des méthodes plus directes comme le glisser-déposer de fichiers vers le terminal ou des attaques de type « cliquez pour réparer » (attaques de phishing ClickFix), cet échantillon adopte une approche plus subtile et moins intrusive, selon Thijs Xhaflaire, chercheur chez Jamf.

La nouvelle version est diffusée sous la forme d’une application Swift signée et notariée, emballée dans un fichier image disque (DMG) nommé « zk-call-messenger-installer-3.9.2-lts.dmg ». Ce fichier est hébergé sur le site « zkcall.[.]net/téléchargement ». La signature et la notarisation permettent à l’application de s’exécuter sans être bloquée par les contrôles de sécurité intégrés d’Apple, tels que Gatekeeper ou XProtect. Cependant, l’installateur invite toujours les utilisateurs à effectuer un clic droit et à ouvrir l’application, une tactique courante pour contourner ces protections. Apple a depuis révoqué le certificat de signature de code utilisé.

Une fois lancée, l’application Swift effectue une série de vérifications avant de télécharger et d’exécuter un script codé via un composant d’assistance. Ces vérifications incluent la connectivité Internet, l’application d’un intervalle d’exécution minimum d’environ 3 600 secondes (une heure) pour limiter le nombre de tentatives, la suppression des attributs de quarantaine et la validation du fichier avant son exécution.

Les chercheurs ont également observé des changements dans la commande curl utilisée pour récupérer la charge utile malveillante. Au lieu d’utiliser la combinaison courante d’options -fsSL, les attaquants ont divisé les indicateurs en -fL et -sS, et ajouté des options supplémentaires telles que –noproxy. Selon Thijs Xhaflaire,

« Ces changements, ainsi que l’utilisation de variables remplies dynamiquement, indiquent un changement délibéré dans la façon dont la charge utile est récupérée et validée, probablement visant à améliorer la fiabilité ou à échapper à la détection. »

Pour rendre l’attaque plus difficile à détecter, les attaquants ont également utilisé un fichier DMG inhabituellement volumineux, atteignant 25,5 Mo, en y incorporant des documents PDF sans rapport.

La charge utile décodée correspond à MacSync, une version renommée de Mac.c, un voleur d’informations apparu pour la première fois en avril 2025. Selon Moonlock Lab de MacPaw, MacSync est livré avec un agent Go complet qui permet non seulement le vol de données, mais aussi des capacités de commande et de contrôle à distance.

Il est important de noter que des fichiers DMG malveillants signés par code imitant Google Meet ont également été observés dans des attaques ciblant d’autres voleurs d’informations macOS, tels que Odyssée. Cependant, les attaquants continuent également d’utiliser des images disques non signées pour diffuser leurs attaques, comme le DigitStealer, diffusé le mois dernier.

Jamf souligne que

« Ce changement de distribution reflète une tendance plus large dans le paysage des logiciels malveillants macOS, où les attaquants tentent de plus en plus d’introduire leurs logiciels malveillants dans des exécutables signés et notariés, leur permettant de ressembler davantage à des applications légitimes. »