Advertise on podcast: RadioCSIRT - Edition Française

Nous ouvrons cette édition avec une analyse publiée par KrebsOnSecurity sur le groupe d’extorsion Scattered Lapsus ShinyHunters. Les chercheurs décrivent un acteur cybercriminel instable combinant vol de données, social engineering et campagnes de harcèlement ciblant directement dirigeants et familles. Contrairement aux groupes de ransomware structurés, SLSH abuse de canaux Telegram, de menaces physiques, de swatting, de DDoS et de pression médiatique, sans garantie de suppression des données volées. L’article met en lumière des intrusions récentes basées sur du voice phishing MFA et l’enrôlement frauduleux de devices, selon des observations confirmées par Mandiant et Unit 221B. L’actualité se poursuit en Europe, où la Commission européenne annonce que TikTok s’expose à une sanction majeure pour non-respect du Digital Services Act. Bruxelles estime que des mécanismes d’addictive design — infinite scroll, autoplay, push notifications et personalized recommendation systems — favorisent des usages compulsifs, notamment chez les mineurs. En cas de confirmation, l’amende pourrait atteindre 6 % du chiffre d’affaires mondial de la plateforme, dans un contexte de sanctions européennes répétées. En Allemagne, les autorités de sécurité intérieure alertent sur des campagnes de compromission de comptes Signal visant des profils sensibles. Selon le BfV et le BSI, des attaquants, soupçonnés d’être étatiques, exploitent exclusivement du social engineering et des fonctionnalités légitimes comme le linked-device pairing par QR code, sans malware ni exploitation de vulnérabilités, afin d’accéder aux conversations et contact lists de responsables politiques, militaires et journalistes. Enfin, la CISA annonce l’ajout de deux vulnérabilités activement exploitées à son Known Exploited Vulnerabilities Catalog. Sont concernées CVE-2025-11953, une OS Command Injection dans React Native Community CLI, et CVE-2026-24423, une faille de Missing Authentication for Critical Function affectant SmarterTools SmarterMail. Ces failles sont considérées comme des vecteurs d’attaque à haut risque pour les environnements institutionnels. Sources CISA – Known Exploited Vulnerabilities Catalog : https://www.cisa.gov/news-events/alerts/2026/02/05/cisa-adds-two-known-exploited-vulnerabilities-catalogBleepingComputer – Signal account hijacking : https://www.bleepingcomputer.com/news/security/germany-warns-of-signal-account-hijacking-targeting-senior-figures/BleepingComputer – TikTok et le Digital Services Act : https://www.bleepingcomputer.com/news/security/european-commission-says-tiktok-facing-fine-over-addictive-design/KrebsOnSecurity – Scattered Lapsus ShinyHunters : https://krebsonsecurity.com/2026/02/please-dont-feed-the-scattered-lapsus-shiny-hunters/On ne réfléchit pas, on patch ! Vos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web : www.radiocsirt.orgNewsletter Hebdo : https://radiocsirt.substack.com

Nous ouvrons cette édition avec une enquête de Palo Alto Networks Unit 42 révélant une campagne d'espionnage massive orchestrée par un Threat Actor étatique asiatique, identifié comme TGR-STA-1030. Les chercheurs rapportent la compromission de réseaux critiques dans 37 pays, ciblant ministères et infrastructures de télécommunications pour de l'exfiltration de données sensibles. L'arsenal du groupe inclut un nouveau Linux kernel rootkit nommé ShadowGuard, exploitant la technologie eBPF pour une furtivité accrue, ainsi qu'un malware loader spécifique baptisé DiaoYu. L'actualité se poursuit aux États-Unis, où la CISA publie une directive opérationnelle imposant aux agences fédérales le retrait de tous les équipements End-of-Life sous 12 mois. Cette décision fait suite à l'observation de campagnes persistantes exploitant des périphériques Edge non supportés — tels que les firewalls, load balancers et routeurs — comme points d'entrée vers les réseaux internes. L'agence exige un inventaire complet sous trois mois et la mise en place d'un processus continu de découverte des actifs obsolètes. Côté menaces, le Botnet AISURU/Kimwolf établit un nouveau record mondial avec une attaque DDoS atteignant un pic de 31,4 Tbps, selon un rapport de Cloudflare. Cette offensive Hyper-volumetric s'appuie sur plus de 2 millions de terminaux Android compromis, principalement des Android TVs, enrôlés via des réseaux de Residential Proxies comme IPIDEA. Cloudflare note une augmentation alarmante de 121 % du volume global des attaques DDoS observées en 2025. Le CERT-FR publie aujourd'hui trois avis de sécurité majeurs. Le premier signale de multiples vulnérabilités critiques dans les produits F5, affectant BIG-IP et l'écosystème NGINX, avec des risques d'atteinte à l'intégrité et de déni de service. Le second concerne les solutions de collaboration Cisco, notamment Meeting Management et RoomOS, exposées à des failles de Remote Code Execution (RCE) et d'élévation de privilèges. Le dernier avis cible la plateforme d'orchestration Splunk SOAR, dont toutes les versions antérieures à la 7.1.0 doivent être mises à jour pour corriger dix CVE distinctes. Enfin, Datadog Security Labs détaille une campagne de détournement de trafic ciblant les serveurs NGINX, particulièrement en Asie. Contrairement aux exploits classiques, les attaquants ne visent pas une vulnérabilité logicielle mais injectent des configurations malveillantes via des blocs location et la directive proxy_pass. Cette technique permet de rediriger le trafic utilisateur vers une infrastructure attaquante de manière transparente, tout en préservant les en-têtes légitimes pour échapper à la détection. Sources The Register – Campagne d'espionnage TGR-STA-1030 : https://www.theregister.com/2026/02/05/asia_government_spies_hacked_37_critical_networks/The Record – Directive CISA sur les équipements End-of-Life : https://therecord.media/cisa-gives-federal-agencies-one-year-end-of-life-devicesThe Hacker News – Record DDoS du Botnet AISURU : https://thehackernews.com/2026/02/aisurukimwolf-botnet-launches-record.htmlCERT-FR – Vulnérabilités F5 (CERTFR-2026-AVI-0120) : https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0120/CERT-FR – Vulnérabilités Cisco (CERTFR-2026-AVI-0119) : https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0119/CERT-FR – Vulnérabilités Splunk (CERTFR-2026-AVI-0118) : https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0118/Bleeping Computer – Détournement de trafic NGINX : https://www.bleepingcomputer.com/news/security/hackers-compromise-nginx-servers-to-redirect-user-traffic/On ne réfléchit pas, on patch ! Vos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web : www.radiocsirt.orgNewsletter Hebdo : https://radiocsirt.substack.com

Nous ouvrons cette édition avec une analyse du National Cyber Security Centre consacrée au Cloud Security Posture Management. Le NCSC revient sur le rôle des outils CSPM dans la sécurisation des environnements cloud complexes, marqués par la multiplication des workspaces, des services et des régions. Le rapport détaille les capacités attendues en matière de visibilité des ressources, de détection des misconfigurations, de priorisation des risques et de remédiation, tout en rappelant que le CSPM n’est pas une solution miracle mais un composant d’un écosystème de sécurité cloud plus large. L’actualité se poursuit avec la publication par le CERT-FR du rapport CERTFR-2026-CTI-001 sur l’utilisation de l’intelligence artificielle générative dans les attaques informatiques. Le document décrit comment les modèles d’IA générative sont exploités à différentes étapes de la kill chain, notamment pour l’ingénierie sociale, le développement de malware ou le profiling de cibles. Le CERT-FR souligne également que ces technologies deviennent elles-mêmes des cibles, exposées à des attaques de model poisoning, de compromission de supply chain et d’exfiltration de données. Côté vulnérabilités, le CERT-FR publie deux avis distincts. Le premier concerne une vulnérabilité d’élévation de privilèges affectant les terminaux Google Pixel ne disposant pas du correctif de sécurité de février 2026, référencée CVE-2026-0106. Le second alerte sur de multiples vulnérabilités dans Google Chrome, affectant les versions antérieures à 144.0.7559.132 pour Linux et 144.0.7559.132 ou .133 pour Windows et macOS, avec les CVE-2026-1861 et CVE-2026-1862. Au niveau international, la CISA annonce l’ajout de quatre vulnérabilités activement exploitées à son catalogue Known Exploited Vulnerabilities. Sont concernées des failles dans Sangoma FreePBX, GitLab, et SolarWinds Web Help Desk, confirmant leur exploitation dans des attaques en conditions réelles. Enfin, Microsoft dévoile un scanner capable de détecter des backdoors dans des open-weight Large Language Models. L’outil repose sur l’analyse de signaux comportementaux spécifiques liés aux triggers, à la mémorisation des données d’empoisonnement et aux fuzzy triggers, et vise à renforcer la détection du model poisoning dans les environnements IA. Sources NCSC – CSPM et sécurité cloud : https://www.ncsc.gov.uk/blog-post/cspm-silver-bullet-or-another-piece-in-the-cloud-puzzleCERT-FR – IA générative et attaques informatiques (CERTFR-2026-CTI-001) : https://www.cert.ssi.gouv.fr/cti/CERTFR-2026-CTI-001/ CERT-FR – Vulnérabilité Google Pixel (CERTFR-2026-AVI-0113) : https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0113/CERT-FR – Vulnérabilités Google Chrome (CERTFR-2026-AVI-0114) : https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0114/CISA – Ajout de vulnérabilités exploitées au catalogue KEV : https://www.cisa.gov/news-events/alerts/2026/02/03/cisa-adds-four-known-exploited-vulnerabilities-catalogThe Hacker News – Scanner Microsoft pour backdoors dans les LLM : https://thehackernews.com/2026/02/microsoft-develops-scanner-to-detect.htmlOn ne réfléchit pas, on patch ! Vos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web : www.radiocsirt.orgNewsletter Hebdo : https://radiocsirt.substack.com

Nous ouvrons cette édition avec une alerte concernant la distribution du malware bancaire Anatsa via le Google Play Store. L'application malveillante "Document Reader - File Manager", publiée par le développeur ISTOQMAH, a été téléchargée plus de 50 000 fois avant son retrait. Le malware, également connu sous les noms TeaBot et Toddler, cible plus de 831 institutions financières mondiales via des techniques d'overlay et d'interception des codes d'authentification à deux facteurs. La campagne utilise une méthode de déploiement en deux temps, avec une application initialement légitime recevant une mise à jour malveillante environ six semaines après publication. L'actualité se poursuit avec le Centre canadien pour la cybersécurité, qui publie le bulletin AV26-078 concernant des vulnérabilités dans Kubernetes ingress-nginx. Les versions affectées sont les versions antérieures à v1.13.7 et les versions antérieures à v1.14.3. Les utilisateurs et administrateurs sont invités à consulter l'avis de sécurité Kubernetes et à appliquer les mises à jour nécessaires. Enfin sur  le volet de la protection des données, l'Electronic Frontier Foundation lance la campagne "Encrypt It Already" pour encourager l'adoption du chiffrement de bout en bout. Les demandes incluent l'extension du chiffrement aux messages de groupe sur Facebook Messenger, l'implémentation du chiffrement interopérable RCS entre Apple et Google, l'activation par défaut du chiffrement sur Telegram, le chiffrement des sauvegardes WhatsApp et Google Authenticator, ainsi que des permissions par application pour contrôler l'accès des systèmes d'intelligence artificielle aux applications de messagerie sécurisée. Sources Zscaler ThreatLabz – Anatsa malware Google Play : https://www.zscaler.com/blogs/security-research/technical-analysis-anatsa-campaigns-android-banking-malware-active-googleCentre canadien pour la cybersécurité – Bulletin Kubernetes AV26-078 : https://www.cyber.gc.ca/fr/alertes-avis/bulletin-securite-kubernetes-av26-078Electronic Frontier Foundation – Campagne Encrypt It Already : https://www.encryptitalready.org/On ne réfléchit pas, on patch ! Vos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web : www.radiocsirt.orgNewsletter Hebdo : https://radiocsirt.substack.com

Nous ouvrons cette édition avec une alerte critique concernant l’exploitation active d’un Zero-Day Microsoft Office, référencé CVE-2026-21509. Selon CERT-UA, le groupe russe APT28, également connu sous le nom Fancy Bear, a intégré cette vulnérabilité dans des campagnes de phishing ciblant des administrations ukrainiennes et plusieurs organisations au sein de l’Union européenne, avec une chaîne d’infection reposant sur WebDAV, COM hijacking et le framework post-exploitation COVENANT. L’actualité se poursuit avec Mozilla, qui annonce un changement stratégique dans Firefox. À partir de la version 148, les utilisateurs disposeront d’un contrôle centralisé permettant de bloquer ou de gérer finement l’ensemble des fonctionnalités reposant sur la Generative AI, incluant la traduction, les résumés de liens et l’accès aux chatbots intégrés. Sur le volet correctif, VMware publie le bulletin de sécurité AV26-075, couvrant de multiples vulnérabilités affectant l’écosystème Tanzu, incluant Platform Services, Buildpacks, Stemcells Linux et Windows, ainsi que Tanzu Hub, dans des environnements cloud-native à grande échelle. Une activité de reconnaissance automatisée est également observée par le SANS Internet Storm Center, avec des scans ciblant des endpoints exposés de l’API Anthropic, suggérant des tentatives d’identification de modèles AI auto-hébergés accessibles publiquement. Enfin, un incident majeur touche la supply chain logicielle : le mécanisme officiel de mise à jour de Notepad++ a été détourné via une compromission de l’infrastructure d’hébergement. L’opération, attribuée à l’acteur étatique chinois Violet Typhoon (APT31), a permis la distribution ciblée de malwares à des organisations des secteurs télécoms et financiers en Asie de l’Est. Sources The Register – APT28 Microsoft Office Zero-Day :https://www.theregister.com/2026/02/02/russialinked_apt28_microsoft_office_bug/BleepingComputer – Firefox AI controls :https://www.bleepingcomputer.com/news/software/mozilla-will-let-you-turn-off-all-firefox-ai-features/Centre pour la cybersécurité du Canada – Bulletin VMware AV26-075 : https://www.cyber.gc.ca/fr/alertes-avis/bulletin-securite-vmware-av26-075SANS Internet Storm Center – Anthropic API scanning : https://isc.sans.edu/diary/rss/32674The Hacker News – Notepad++ update mechanism hijacked :https://thehackernews.com/2026/02/notepad-official-update-mechanism.htmlOn ne réfléchit pas, on patch ! Vos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web : www.radiocsirt.orgNewsletter Hebdo : https://radiocsirt.substack.com

Nous ouvrons cette édition avec plusieurs avis publiés par le CERT-FR concernant des vulnérabilités affectant des composants largement déployés en environnement professionnel. Splunk Enterprise est concerné par une faille référencée CVE-2025-14847 impactant plusieurs branches majeures, tandis que Node.js est affecté par des vulnérabilités liées à l’intégration d’OpenSSL sur les versions v20 à v25. Une alerte distincte vise également Qnap QTS, avec un risque de contournement de la politique de sécurité sur un large périmètre de versions. L’analyse de la menace informationnelle se poursuit avec le dernier bulletin du Threat Analysis Group de Google. Le rapport Q4 2025 détaille le démantèlement de vastes opérations d’influence coordonnées impliquant plusieurs milliers de YouTube channels, des domaines et des comptes publicitaires, attribués notamment à des acteurs russes, chinois et indonésiens, ciblant des narratifs géopolitiques à l’échelle mondiale. Sur le volet cybercriminel, Mandiant documente des attaques de data theft menées par le groupe d’extorsion ShinyHunters. Ces campagnes reposent sur des opérations de voice phishing ciblées, l’abus du Single Sign-On et la compromission de mécanismes MFA, permettant un accès massif aux environnements SaaS et aux données cloud. Enfin, une campagne de cyber espionnage attribuée à un acteur iranien, suivie sous le nom RedKitten, cible des ONG et des militants des droits humains via des documents Excel piégés, des implants modulaires et une infrastructure de command-and-control reposant sur GitHub, Google Drive et Telegram, avec des indices d’usage de large language models dans la génération des outils malveillants. Sources Google Threat Analysis Group – TAG Bulletin Q4 2025 : https://blog.google/threat-analysis-group/tag-bulletin-q4-2025/CERT-FR – Splunk Enterprise : https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0102/CERT-FR – Node.js : https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0103/CERT-FR – Qnap QTS : https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0104/BleepingComputer – ShinyHunters SSO abuse : https://www.bleepingcomputer.com/news/security/mandiant-details-how-shinyhunters-abuse-sso-to-steal-cloud-data/The Hacker News – RedKitten campaign : https://thehackernews.com/2026/01/iran-linked-redkitten-cyber-campaign.htmlOn ne réfléchit pas, on patch ! Vos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web : www.radiocsirt.orgNewsletter Hebdo : https://radiocsirt.substack.com

Nous ouvrons cet épisode avec la stratégie numérique française rapportée par Clubic. Une réunion à Bercy a confirmé l'identification de soixante-trois sites destinés à accueillir de nouveaux Data Centers, renforçant la souveraineté Cloud et IA nationale. Sur le front judiciaire, The Record signale un coup majeur contre le piratage : le département de la justice américain a saisi trois domaines majeurs opérés depuis la Bulgarie, neutralisant une source massive de contenus illégaux. L'analyse de la menace se tourne vers les Jeux Olympiques d'hiver 2026. Unit 42 anticipe des opérations de sabotage ciblées sur les infrastructures critiques de la part d'acteurs étatiques russes, marquant un basculement vers la disruption physique. Côté vulnérabilités, une alerte critique concerne la plateforme Grafana avec la CVE-2026-21720, une faille de type Denial of Service affectant la gestion des avatars et nécessitant une mitigation immédiate. Nous terminons avec une technique de Phishing ingénieuse repérée par le SANS Internet Storm Center : des attaquants abusent de la fonction de publication publique de Google Slides pour masquer les avertissements de sécurité et déployer des pages de Login frauduleuses. Sources  Clubic – Data Centers France : https://www.clubic.com/actualite-598390-data-centers-ce-que-revele-la-premiere-reunion-a-bercy-sur-les-projets-en-cours-et-a-venir-en-france.htmlThe Record – Saisie domaines pirates : https://therecord.media/bulgaria-piracy-sites-streaming-gaming-seized-usUnit 42 – Menace JO 2026 : https://unit42.paloaltonetworks.com/russian-cyberthreat-2026-winter-olympics/CERT Santé – Grafana CVE-2026-21720 : https://cyberveille.esante.gouv.fr/alertes/grafana-cve-2026-21720-2026-01-29SANS ISC – Google Slides Phishing : https://isc.sans.edu/diary/rss/32668On ne réfléchit pas, on patch ! Vos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web : www.radiocsirt.orgNewsletter Hebdo : https://radiocsirt.substack.com

Nous ouvrons cet épisode avec une avancée technique majeure du côté de Linux. Le Linux Journal détaille l'implémentation du Linux Kernel Runtime Guard (LKRG), une nouvelle couche de protection surveillant l'intégrité du noyau en temps réel pour bloquer les modifications non autorisées. En matière de gestion des vulnérabilités, la CISA a mis à jour ce 29 janvier son catalogue des failles exploitées (KEV). L'ajout d'une nouvelle vulnérabilité activement utilisée impose une obligation de correction immédiate pour les agences fédérales américaines. Une alerte critique touche également les infrastructures réseau utilisant WatchGuard. L'éditeur a publié l'avis WGSA-2026-00001 signalant une faille sévère sur ses appliances, nécessitant une mise à jour urgente des firmwares. Sur le plan de la menace, le groupe UAT-8099, lié à la Chine, cible spécifiquement les serveurs Microsoft IIS en y implantant des extensions malveillantes pour assurer leur persistance. Nous terminons avec l'aspect juridique et la menace interne rapportés par Help Net Security : un ancien ingénieur de Google est poursuivi pour espionnage industriel après avoir exfiltré des secrets commerciaux, rappelant l'importance critique de la surveillance des accès privilégiés. Sources Linux Journal – Analyse LKRG : https://www.linuxjournal.com/content/inside-linux-kernel-runtime-guard-lkrg-new-layer-kernel-integrity-protectionCISA – Mise à jour KEV : https://www.cisa.gov/news-events/alerts/2026/01/29/cisa-adds-one-known-exploited-vulnerability-catalogWatchGuard – Avis WGSA-2026-00001 : https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2026-00001The Hacker News – Campagne UAT-8099 : https://thehackernews.com/2026/01/china-linked-uat-8099-targets-iis.htmlHelp Net Security – Espionnage Google : https://www.helpnetsecurity.com/2026/01/30/ex-google-engineer-espionage/On ne réfléchit pas, on patch ! Vos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web : www.radiocsirt.orgNewsletter Hebdo : https://radiocsirt.substack.com

Nous ouvrons cet épisode avec une double actualité pour l'écosystème Mozilla. D'une part, l'éditeur propose désormais des paquets RPM natifs pour Firefox, facilitant l'intégration sur les distributions de type Fedora et Red Hat.  D'autre part, le CERT-FR a publié l'avis CERTFR-2026-AVI-0095 signalant de multiples vulnérabilités dans Firefox et Thunderbird, pouvant mener à des contournements de politique de sécurité. Une vague de correctifs critiques touche l'infrastructure et les bibliothèques cryptographiques. Le CERT-FR a émis l'avis CERTFR-2026-AVI-0096 concernant OpenSSL. Des failles affectant les branches 1.0.2 à 3.6 permettent l'exécution de code arbitraire et le déni de service.  En parallèle, HPE Aruba Networking (AVI-0094) et Tenable Network Monitor (AVI-0093) font l'objet d'alertes pour des risques similaires d'exécution de code à distance et d'atteinte à la confidentialité. Google a également corrigé une faille non spécifiée dans Chrome (AVI-0092). Nous terminons avec l'incident de sécurité opérationnelle révélé par Ars Technica : le directeur par intérim de la CISA a involontairement exfiltré des documents classifiés en utilisant une instance standard de ChatGPT, soulevant la question de la gestion du "Shadow AI" au niveau gouvernemental. Sources Linux Journal – Firefox RPM : https://www.linuxjournal.com/content/official-firefox-rpm-package-now-available-fedora-style-linux-distributionsCERT-FR – Avis OpenSSL : https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0096/CERT-FR – Avis Mozilla : https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0095/CERT-FR – Avis HPE Aruba : http://cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0094/CERT-FR – Avis Tenable : https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0093/CERT-FR – Avis Google Chrome : https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0092/Ars Technica – CISA AI Leak : https://arstechnica.com/tech-policy/2026/01/us-cyber-defense-chief-accidentally-uploaded-secret-government-info-to-chatgpt/ On ne réfléchit pas, on patch ! Vos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web :www.radiocsirt.orgNewsletter Hebdo :https://radiocsirt.substack.com

Nous revenons dans cet épisode sur le déploiement par la France de sa plateforme de visioconférence souveraine Visio dans l'ensemble des services gouvernementaux d'ici 2027. Cette initiative remplace Microsoft Teams et Zoom au sein de l'administration publique française et s'inscrit dans le plan Suite Numérique visant à garantir la souveraineté numérique. La plateforme Visio intègre des fonctionnalités d'intelligence artificielle développées par Pyannote et est hébergée sur l'infrastructure cloud souveraine Outscale de Dassault Systèmes. La CISA a ajouté le 27 janvier 2026 la CVE-2026-24858 à son catalogue KEV. Cette vulnérabilité de contournement d'authentification affecte plusieurs produits Fortinet incluant FortiAnalyzer, FortiManager, FortiOS et FortiProxy. L'exploitation permet à un attaquant disposant d'un compte FortiCloud et d'un appareil enregistré de se connecter à d'autres appareils enregistrés sur d'autres comptes lorsque l'authentification SSO FortiCloud est activée. Les organisations doivent suivre les directives de Fortinet pour évaluer leur exposition et appliquer les correctifs disponibles. Le CERT-FR a publié l'avis CERTFR-2026-AVI-0088 concernant la CVE-2026-21968 dans MariaDB. Cette vulnérabilité permet un déni de service à distance et affecte les versions 10.11.x antérieures à 10.11.16, 11.4.x antérieures à 11.4.10, 11.8.x antérieures à 11.8.6 et 12.2.x antérieures à 12.2.2. Les administrateurs doivent appliquer les correctifs fournis par MariaDB dans le bulletin de sécurité du 26 janvier 2026. Nous terminons avec SolarWinds qui a publié un avis de sécurité concernant six vulnérabilités dans Web Help Desk dont quatre critiques. Les CVE-2025-40551 et CVE-2025-40553 permettent l'exécution de code à distance non authentifiée via désérialisation de données. Les CVE-2025-40552 et CVE-2025-40554 constituent des contournements d'authentification avec un impact équivalent. Les versions 12.8.8 Hotfix 1 et antérieures sont affectées. La mise à jour vers Web Help Desk 2026.1 corrige l'ensemble de ces vulnérabilités. Sources Euronews – France Visio souverain : https://www.euronews.com/next/2026/01/27/france-to-ditch-us-platforms-microsoft-teams-zoom-for-sovereign-platform-amid-security-conCISA – CVE-2026-24858 Fortinet KEV : https://www.cisa.gov/news-events/alerts/2026/01/27/cisa-adds-one-known-exploited-vulnerability-catalogCERT-FR – Avis MariaDB : https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0088/BleepingComputer – SolarWinds Web Help Desk : https://www.bleepingcomputer.com/news/security/solarwinds-warns-of-critical-web-help-desk-rce-auth-bypass-flaws/On ne réfléchit pas, on patch ! Vos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web : www.radiocsirt.orgNewsletter Hebdo : https://radiocsirt.substack.com

Nous revenons dans cet épisode sur la CVE-2026-21509, une vulnérabilité zero-day de contournement de fonctionnalité de sécurité affectant la suite Microsoft Office. Microsoft a publié un avis de sécurité le 26 janvier indiquant une exploitation active dans la nature. La CISA a ajouté cette CVE à son catalogue KEV le même jour, confirmant le niveau de menace critique. Cette vulnérabilité fait partie des cinq nouvelles entrées KEV incluant également CVE-2025-52691 et CVE-2026-23760 affectant SmarterTools SmarterMail, La CVE-2026-24061 pour GNU InetUtils et CVE-2018-14634 pour le noyau Linux. Les opérateurs de Kimwolf, botnet perturbateur ayant infecté plus de 2 millions d'appareils, ont partagé une capture d'écran indiquant qu'ils auraient compromis le panneau de contrôle de Badbox 2.0. Badbox 2.0 constitue un vaste botnet basé en Chine alimenté par des logiciels malveillants préinstallés sur de nombreux boîtiers de streaming Android TV. Cette interconnexion potentielle donnerait aux opérateurs de Kimwolf un contrôle sur plusieurs millions d'appareils Android supplémentaires, illustrant une consolidation préoccupante des infrastructures malveillantes. Plus de 6000 serveurs SmarterTools SmarterMail à travers le monde restent exposés à une vulnérabilité critique d'exécution de code à distance actuellement exploitée. Cette situation concerne directement les CVE-2025-52691 et CVE-2026-23760 ajoutées au catalogue KEV. La compromission de ces serveurs de messagerie d'entreprise pourrait donner accès à des communications sensibles et servir de point d'entrée pour des mouvements latéraux dans les réseaux. Nous terminons avec Stanley, nouveau service de malware-as-a-service proposant des extensions Chrome malveillantes garantissant leur publication sur le Chrome Web Store officiel. Ce service contourne le processus de révision de Google et cible les activités de phishing. Le modèle as-a-service abaisse significativement la barrière d'entrée pour les cybercriminels, leur permettant d'accéder à des capacités techniques sophistiquées sans expertise préalable. Sources Krebs on Security – Badbox 2.0 Botnet : https://krebsonsecurity.com/2026/01/who-operates-the-badbox-2-0-botnet/Cyberpress – SmarterMail RCE : https://cyberpress.org/6000-smartermail-servers-exposed-to-actively-exploited-rce-vulnerability/BleepingComputer – Stanley MaaS Chrome : https://www.bleepingcomputer.com/news/security/new-malware-service-guarantees-phishing-extensions-on-chrome-web-store/CISA – Catalogue KEV : https://www.cisa.gov/news-events/alerts/2026/01/26/cisa-adds-five-known-exploited-vulnerabilities-catalogOn ne réfléchit pas, on patch ! Vos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web : www.radiocsirt.orgNewsletter Hebdo : https://radiocsirt.substack.com

Nous revenons dans cet épisode sur la CVE-2026-24061, vulnérabilité critique vieille de onze ans affectant le serveur telnetd de GNU InetUtils versions 1.9.3 à 2.7. Cette faille permet un contournement d'authentification donnant un accès root en définissant USER sur -f root. GreyNoise détecte des exploitations actives depuis le 21 janvier par 18 adresses IP. Shadowserver recense près de 800000 serveurs Telnet exposés globalement. Le correctif est disponible dans GNU InetUtils version 2.8 publiée le 20 janvier. L'Irlande propose le Communications Interception and Lawful Access Bill pour remplacer la législation de 1993. Le projet autorise l'interception de toutes communications incluant IoT, email et messageries chiffrées, sans préciser la méthode technique. Il établit une base légale pour l'utilisation de spywares avec approbation judiciaire et l'usage d'IMSI catchers. Le Recording Devices Bill de décembre 2025 ajoute la reconnaissance faciale en temps réel. L'Irish Council for Civil Liberties exprime de sérieuses préoccupations sur la normalisation des mesures exceptionnelles. Une étude Stanford révèle une chute de 20% des postes d'ingénieurs logiciels juniors entre 2022 et 2025 aux États-Unis. Cinq dirigeants identifient les compétences clés face à l'IA : traduction de la valeur tech en enjeux business, hybridation des profils, esprit critique, curiosité et désapprentissage constant. Diana Schildhouse de Colgate-Palmolive souligne que l'IA accélère l'accès à l'information mais ne fournit pas de stratégie. Nous terminons avec Microsoft qui stocke les clés de chiffrement BitLocker sans protection sur ses serveurs et les transmet au FBI sur demande judiciaire. Matt Green de Johns Hopkins University précise que contrairement à Apple et Google, Microsoft ne chiffre pas les clés de récupération côté client, annulant la protection du chiffrement de disque. Sources BleepingComputer – CVE-2026-24061 Telnet GNU InetUtils : https://www.bleepingcomputer.com/news/security/nearly-800-000-telnet-servers-exposed-to-remote-attacks/The Register – Communications Interception Bill Irlande : https://www.theregister.com/2026/01/21/ireland_wants_to_give_police/ZDNet – Compétences IT face à l'IA : https://www.zdnet.fr/pratique/emploi-it-voici-les-5-competences-cles-pour-rester-indispensable-face-a-lia-selon-5-patrons-du-secteur-488843.htmOSnews – Microsoft BitLocker clés FBI : https://www.osnews.com/story/144265/microsoft-gave-fbi-bitlocker-keys-to-unlock-encrypted-data-because-of-course-they-did/On ne réfléchit pas, on patch ! Vos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web : www.radiocsirt.orgNewsletter Hebdo : https://radiocsirt.substack.com

Nous ouvrons cet épisode avec cette information de Clubic sur l'alerte de la CISA américaine qui à ajoutée la CVE-2024-37079 à son catalogue KEV. Cette vulnérabilité critique de VMware vCenter Server obtient un score CVSS de 9.8 et affecte l'implémentation du protocole DCERPC. Broadcom avait publié le correctif en juin 2024. VulnCheck confirme l'exploitation active par trois groupes APT chinois : Fire Ant, Warp Panda et UNC3886. Les agences fédérales américaines disposent jusqu'au 13 février pour déployer le patch. (Complément par rapport à l'épisode 558 de RadioCSIRT) Microsoft publie une mise à jour d'urgence hors-bande KB5078127 le 24 janvier pour corriger les blocages d'Outlook Classic. Le Patch Tuesday KB5074109 du 13 janvier provoquait des freezes pour les profils POP et les fichiers PST stockés sur OneDrive et Dropbox. Les symptômes incluent l'impossibilité de rouvrir Outlook sans terminer le processus et le retéléchargement des emails. Il s'agit de la deuxième mise à jour d'urgence Microsoft en une semaine. ESET révèle DynoWiper, nouveau malware wiper utilisé par Sandworm dans une tentative d'attaque contre le secteur énergétique polonais les 29 et 30 décembre 2025. Les cibles incluent deux centrales de cogénération et un système de gestion d'électricité renouvelable. L'attaque a échoué. Elle coïncide avec le dixième anniversaire de la cyberattaque de décembre 2015 contre le réseau électrique ukrainien ayant déployé BlackEnergy et KillDisk. Nous terminons avec Symantec et Carbon Black qui identifient Osiris, nouveau ransomware déployé en novembre 2025 contre un opérateur de restauration en Asie du Sud-Est. Le malware utilise la technique BYOVD avec le driver POORTRY pour neutraliser les solutions de sécurité. Le ransomware utilise un chiffrement hybride ECC et AES-128-CTR, ajoute l'extension .Osiris et présente des similitudes avec INC ransomware. Sources Clubic – CVE-2024-37079 VMware vCenter Server : https://www.clubic.com/actualite-596959-piratage-d-etat-quand-la-chine-et-la-russie-s-engouffrent-dans-les-serveurs-vmware-non-mis-a-jour.htmlBleepingComputer – Microsoft KB5078127 Outlook : https://www.bleepingcomputer.com/news/microsoft/microsoft-releases-emergency-oob-update-to-fix-outlook-freezes/The Hacker News – DynoWiper Sandworm Pologne : https://thehackernews.com/2026/01/new-dynowiper-malware-used-in-attempted.htmlSecurity Affairs – Osiris ransomware BYOVD : https://securityaffairs.com/187279/security/osiris-ransomware-emerges-leveraging-byovd-technique-to-kill-security-tools.html On ne réfléchit pas, on patch ! Vos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web :www.radiocsirt.orgNewsletter Hebdo :https://radiocsirt.substack.com

Nous ouvrons cet épisode avec Oracle, qui publie son Critical Patch Update trimestriel de janvier 2026. CVE-2026-21962 affecte Oracle HTTP Server, WebLogic Server Proxy Plug-in et Fusion Middleware, permettant l'accès non autorisé à distance. Un proof of concept a été publié dès le lendemain, réduisant drastiquement la fenêtre de remédiation pour les organisations. La CISA ajoute CVE-2024-37079 au catalogue Known Exploited Vulnerabilities suite à des preuves d'exploitation active. Cette faille Out-of-bounds Write dans Broadcom VMware vCenter Server permet l'exécution de code à distance via des paquets DCERPC spécialement conçus. Les agences fédérales américaines ont jusqu'au 13 février 2026 pour appliquer les correctifs. ISC publie un bulletin pour CVE-2025-13878 affectant BIND 9 versions 9.18.40 à 9.21.16. Les enregistrements BRID ou HHIT malformés provoquent l'arrêt inattendu du daemon named, créant une condition de denial of service pour les infrastructures DNS critiques reposant sur BIND comme serveur authoritative ou récursif. Patchstack divulgue CVE-2026-24572, une SQL Injection de type Blind dans le plugin WordPress Nelio Content versions jusqu'à 4.1.0. Avec un score CVSS de 8.8 HIGH, la faille est exploitable à distance par un attaquant authentifié avec privilèges low, permettant la compromission complète de la base de données WordPress. Fortinet FortiGuard Labs documente une campagne phishing multi-stage ciblant la Russie avec Amnesia RAT et ransomware. L'infrastructure abuse de GitHub pour les scripts et Dropbox pour les payloads binaires, utilise defendnot pour désactiver Microsoft Defender, et déploie un ransomware dérivé de Hakuna Matata avec capacités de clipboard hijacking pour rediriger les transactions cryptocurrency. Nous terminons avec le botnet Kimwolf, qui infecte plus de 2 millions de dispositifs IoT. Infoblox révèle que 25 pourcent de ses clients corporate ont interrogé des domaines Kimwolf depuis octobre 2025. Synthient identifie 33000 adresses dans les universités et 8000 proxies IPIDEA dans les réseaux gouvernementaux, avec présence significative au département de la Défense américain. Sources Cyber.gc.ca – Oracle CPU janvier 2026 (AV26-042) : https://www.cyber.gc.ca/fr/alertes-avis/bulletin-securite-oracle-correctif-cumulatif-trimestriel-janvier-2026-av26-042CISA – KEV CVE-2024-37079 VMware vCenter : https://www.cisa.gov/news-events/alerts/2026/01/23/cisa-adds-one-known-exploited-vulnerability-catalogCyber.gc.ca – ISC BIND CVE-2025-13878 (AV26-049) : https://www.cyber.gc.ca/fr/alertes-avis/bulletin-securite-isc-bind-av26-049CVEFeed.io – CVE-2026-24572 WordPress Nelio Content : https://cvefeed.io/vuln/detail/CVE-2026-24572The Hacker News – Multi-stage phishing Russie Amnesia RAT : https://thehackernews.com/2026/01/multi-stage-phishing-campaign-targets.htmlKrebs on Security – Kimwolf botnet réseaux corporate : https://krebsonsecurity.com/2026/01/kimwolf-botnet-lurking-in-corporate-govt-networks/On ne réfléchit pas, on patch ! Vos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web : www.radiocsirt.orgNewsletter Hebdo : https://radiocsirt.substack.com

Nous ouvrons cet épisode avec Under Armour, qui confirme une compromission majeure impliquant 72 millions de clients. Le groupe Everest ransomware publie un dataset de 343 gigaoctets contenant noms, emails, téléphones, localisations et historiques d'achat après l'échec des négociations. L'ensemble des données a été dupliqué sur les forums underground, représentant un risque élevé de phishing ciblé et d'attaques par ingénierie sociale. Unit 42 de Palo Alto Networks documente une technique d'attaque exploitant les Large Language Models pour générer du JavaScript malveillant directement dans le navigateur. Le proof of concept utilise des API publiques comme DeepSeek et Gemini pour assembler dynamiquement des payloads de phishing via prompt engineering, contournant les guardrails LLM et l'analyse réseau. Le polymorphisme élevé et l'exécution runtime compliquent significativement la détection. Le SANS ISC publie une analyse de sécurité sur du code Python généré à 99 pourcent par intelligence artificielle. Le scan Bandit révèle 14 vulnérabilités incluant parsing XML non sécurisé, appels subprocess sans validation, et générateurs pseudo-aléatoires inadaptés. L'étude souligne l'importance d'inclure des exigences de sécurité explicites dans les prompts IA pour éviter eval, exec, command injection et path traversal. Le National Cyber Security Centre britannique émet une alerte ciblant les autorités locales et infrastructures critiques face aux hacktivistes pro-russes. Le groupe NoName057(16) se distingue par sa persistance, ciblant les mêmes organisations pendant plusieurs jours avec des attaques DDoS techniquement simples mais financièrement coûteuses. Le NCSC recommande l'adoption de services tiers de mitigation DDoS et l'utilisation de Content Delivery Networks. Nous terminons avec le Centre canadien pour la cybersécurité, qui publie son guide ITSAP.00.009 détaillant les mesures critiques suivant la détection d'une compromission. Le document insiste sur le maintien des systèmes en marche pour préserver les preuves forensics éphémères résidant en mémoire vive, l'isolation réseau immédiate, et le respect du cadre légal canadien imposant notification au commissaire à la protection de la vie privée.   Sources Malwarebytes – Under Armour / Everest / 72M : https://www.malwarebytes.com/blog/news/2026/01/under-armour-ransomware-breach-data-of-72-million-customers-appears-on-the-dark-webHave I Been Pwned – Under Armour breach : https://haveibeenpwned.com/Breach/UnderArmourUnit 42 – Runtime assembly + LLM phishing JS (22 Jan 2026) : https://unit42.paloaltonetworks.com/real-time-malicious-javascript-through-llms/SANS ISC – Diary 32648 : https://isc.sans.edu/diary/rss/32648NCSC UK – Pro-Russia hacktivist activity : https://www.ncsc.gov.uk/news/pro-russia-hacktivist-activity-continues-to-target-uk-organisationsCyber.gc.ca – ITSAP.00.009 : https://www.cyber.gc.ca/fr/orientation/que-faire-cas-compromission-cyberattaque-itsap00009On ne réfléchit pas, on patch ! Vos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web : www.radiocsirt.orgNewsletter Hebdo : https://radiocsirt.substack.com