Archives de catégorie : backdoor

backdoor, Cybersécurité, Espionnage Spy, Securite informatique, Smartphone, Social engineering

Nouveau malware Android vole les codes SMS bancaires

Un nouveau cheval de Troie Android circule via messageries sous forme d’une fausse galerie photo. L’application malveillante intercepte les SMS, notamment les codes d’authentification bancaire, afin de faciliter des fraudes financières.

Un fichier APK récemment identifié par des spécialistes en cybersécurité révèle une nouvelle évolution de la famille de malwares Pulsar SMS Stealer. Diffusée sous le nom trompeur Photos_2920, cette application Android se présente comme une simple galerie d’images. En réalité, elle agit comme un outil d’espionnage capable d’intercepter les messages SMS de l’utilisateur. Les chercheurs indiquent qu’au 10 mars 2026, ce programme malveillant échappe encore aux détections antivirus connues. La diffusion repose sur l’ingénierie sociale via des messageries mobiles. L’objectif consiste à récupérer les codes OTP et 2FA utilisés pour sécuriser l’accès aux comptes bancaires et services en ligne.

Une galerie photo qui espionne les SMS

Les attaquants envoient directement le fichier APK aux victimes par messagerie. La méthode exploite un réflexe courant : ouvrir une image reçue d’un contact ou d’un interlocuteur inconnu. Une fois installé, le logiciel malveillant adopte l’apparence d’une galerie photo anodine.

En arrière-plan, l’application réclame une série d’autorisations sensibles. Ces droits lui permettent d’intercepter, lire, envoyer et supprimer des SMS. Le programme accède également à plusieurs identifiants de l’appareil, dont l’IMEI, le numéro de téléphone et les informations de l’opérateur mobile.

Les analyses montrent aussi que le malware récupère les numéros associés aux deux cartes SIM lorsque l’appareil en possède deux. Il peut démarrer automatiquement après redémarrage du téléphone et rester actif en continu. L’ensemble des messages SMS stockés sur l’appareil est ensuite transmis vers un serveur de commande et de contrôle, souvent abrégé C2.

Ce type d’attaque mobile inquiète les spécialistes depuis plusieurs années. Les codes à usage unique envoyés par SMS servent fréquemment à valider des opérations bancaires ou à confirmer une connexion. Lorsqu’un cybercriminel intercepte ces messages, il peut contourner une grande partie des protections de sécurité.

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes, chaque vendredi midi.

YouTube
WhatsApp
Google News
Autres

S’abonner à la NewsLetter

Une architecture technique sophistiquée

Les chercheurs d’Advanced Monitoring ont examiné l’échantillon malveillant et identifié une architecture en plusieurs étapes. Le fichier classes.dex externe agit comme un chargeur fortement obfusqué. Son rôle consiste à extraire une charge utile DEX dissimulée dans le répertoire assets sous le nom NwyavbTt.csz.

Ce module est ensuite chargé dynamiquement grâce à une injection ClassLoader. Cette technique complique l’analyse par les outils de sécurité et retarde la détection automatique.

La seconde étape active la logique principale du malware. Elle gère la communication avec le serveur C2, l’interception des SMS et l’identification détaillée de l’appareil infecté. Des mécanismes de persistance assurent le maintien du logiciel sur le téléphone même après un redémarrage.

Les documents techniques publiés décrivent également un masquage important du trafic réseau. Les paquets de communication, appelés pulsations, transmettent régulièrement au serveur l’état complet de l’appareil compromis. Les informations incluent l’état de l’écran, le niveau de batterie, les autorisations SMS accordées et la configuration du mode Doze d’Android, qui limite l’activité en arrière-plan.

Une configuration initiale permet de récupérer des paramètres supplémentaires depuis un point de terminaison identifié sous la forme /m/{build_id}. Les données renvoyées adoptent une structure de type PEM et sont chiffrées avec l’algorithme AES-256-GCM.

Alexander Rudzik, spécialiste principal de la recherche sur les cybermenaces chez Perspektivny Monitoring, explique que dissimuler des malwares dans des applications liées aux médias devient une stratégie courante. Selon lui, une approche comparable existait déjà dans la famille Mamont. L’échantillon actuel présente toutefois des caractéristiques techniques inédites.

Les chercheurs signalent que l’obfuscation multi-étapes et le camouflage avancé du trafic rendent l’analyse particulièrement complexe. L’absence de ce fichier sur les plateformes publiques de partage de malwares suggère également que la campagne reste à un stade précoce. Les premiers indices indiquent un ciblage d’utilisateurs situés en Russie.

Pour les analystes du renseignement cyber, ce type d’attaque illustre une tendance durable : les opérations financières frauduleuses s’appuient désormais sur l’exploitation directe des mécanismes d’authentification mobile.

Apple, backdoor, Cybersécurité, Entreprise, Espionnage Spy, ID, Identité numérique, ios, Smartphone, Vie privée, VPN

Chantage au faux VPN : comment l’iPhone se retrouve piégé

Une appli VPN gratuite, installée en quelques minutes, puis un message qui tombe comme une menace, payez ou votre iPhone sera bloqué. En coulisses, tout se joue ailleurs, sur l’identifiant Apple.

Une escroquerie prend appui sur des applications VPN gratuites téléchargées depuis l’App Store, avant de basculer en chantage. Les victimes reçoivent un message réclamant un transfert d’argent, souvent autour de 10 000 €, sous peine de rendre l’iPhone inutilable. Un VPN ne peut pourtant pas bloquer un iPhone à distance. Le mécanisme réel vise l’identifiant Apple, récupéré par pression, ou via la manipulation qui pousse l’utilisateur à se connecter à un autre compte. Parfois, l’attaque passe aussi par l’installation d’un profil de gestion d’appareil déguisé. Une fois l’accès obtenu, le mode Perdu est activé via Localiser et le verrouillage d’activation se déclenche.

Ce que le VPN ne peut pas faire, et ce que les escrocs exploitent

Tout commence comme une routine numérique. Une personne télécharge un VPN gratuit « pratique » depuis l’App Store, l’utilise tranquillement, puis reçoit un message qui change l’ambiance : transférez de l’argent ou l’iPhone sera bloqué. La somme exigée vise à couper le souffle, souvent autour de 10 000 €. Le scénario laisse croire à un pouvoir direct de l’application sur le téléphone.

Cette idée est trompeuse. Un VPN ne dispose pas d’un bouton secret capable de rendre un iPhone inutilisable à distance. Il ne peut pas, seul, déclencher un verrouillage système. La bascule se produit ailleurs : dans l’identité numérique attachée à l’appareil. Le point crucial est l’accès au compte Apple, obtenu par compromission ou par une manœuvre qui pousse la victime à se connecter à un autre identifiant dans les réglages.

Le VPN sert alors surtout de prétexte et de mise en scène. Il crédibilise un discours d’assistance improvisée, de « restriction » à lever, de configuration à finaliser. L’attaque ne repose pas sur une magie technique, mais sur une capture d’autorisations, par précipitation et par pression, jusqu’à faire entrer l’utilisateur dans un couloir où il donne lui-même la clé.

La mécanique du chantage : compte Apple, profils iOS, verrouillage

Le schéma le plus fréquent repose sur des messages qui promettent un contournement rapide, puis exigent le mot de passe de l’identifiant Apple au nom d’une « vérification », d’une « activation », d’une « synchronisation » ou d’une « configuration ». L’objectif est simple : prendre le contrôle du compte, pas du VPN. Parfois, les escrocs vont jusqu’à convaincre l’utilisateur de saisir l’identifiant Apple d’une autre personne dans les réglages de l’iPhone. Une fois ce pas franchi, l’appareil est lié à une identité qui n’est plus celle du propriétaire.

Dans d’autres histoires, une étape additionnelle aggrave le risque : l’installation d’un profil de gestion d’appareil. Ce type de profil modifie les règles de sécurité de l’iPhone et donne à l’administrateur le pouvoir d’imposer des politiques, y compris un blocage. Les escrocs le camouflent derrière des intitulés rassurants, « configuration réseau » ou « certificat de service ». Là encore, le ressort n’est pas un tour de passe-passe : c’est une autorisation accordée volontairement, souvent sous contrainte psychologique.

Une fois l’accès au compte Apple acquis, le verrou se referme. Les attaquants activent le mode Perdu via Localiser mon iPhone. Le verrouillage d’activation se déclenche alors : l’appareil exige des identifiants, mais ceux-ci restent entre les mains des escrocs. Côté victime, la sensation est celle d’un blocage soudain et inexplicable, alors que la cause est presque toujours la même : un identifiant Apple compromis, ou un appareil rattaché à un compte qui n’est plus maîtrisé.

La protection tient pourtant à quelques réflexes simples. Ne partagez jamais le mot de passe de votre identifiant Apple, y compris avec un « support » par chat ou un prétendu configurateur VPN. Saisissez votre identifiant Apple uniquement dans les réglages système, et uniquement le vôtre. Avant d’installer un profil iOS, il est conseillé de vérifier qui vous le demande et pour quel motif. En cas de doute, fermez la page et n’installez rien.

Si des escrocs ont déjà accédé à votre compte Apple, il faut agir vite. Changez le mot de passe de l’identifiant Apple, contrôlez la liste des appareils associés, activez l’authentification à deux facteurs et supprimez les appareils inconnus. Si l’iPhone est bloqué par le verrouillage d’activation, la voie de sortie consiste à rétablir l’accès au compte Apple ou à contacter l’assistance officielle en fournissant une preuve de propriété. Le transfert d’argent ne permet généralement pas de reprendre le contrôle et ouvre souvent la porte à de nouvelles demandes.

Dans cette affaire, le signal cyber à retenir est net : l’attaque vise d’abord l’identité et les permissions, puis transforme l’écosystème en levier d’extorsion.

backdoor, Cybersécurité, Entreprise, IOT, loi, Téléphonie

L’UE durcit la 5G face aux fournisseurs à haut risque

Bruxelles remet la chaîne d’approvisionnement au centre du jeu. Une loi cybersécurité révisée vise les télécoms et 17 secteurs, avec la Chine en ligne de mire.

Depuis janvier 2026, la Commission européenne pousse un paquet cybersécurité pour muscler la résilience de l’UE face aux menaces cyber et hybrides. Le cœur du texte, une loi révisée sur la cybersécurité, étend la logique de la boîte à outils 5G à 18 secteurs critiques, dont les télécommunications. L’objectif est de réduire les dépendances jugées à haut risque dans les chaînes d’approvisionnement TIC, notamment vis-à-vis de fournisseurs de pays tiers. Le périmètre annoncé couvre les 27 États membres, l’EEE (Islande, Liechtenstein, Norvège) et la Suisse. Les opérateurs auraient moins de cinq ans, adoption comprise, pour remplacer des équipements sensibles, avec un coût estimé autour de 7 € par abonné mobile.

Une loi pensée pour la menace hybride

Le texte proposé s’inscrit dans une décennie de crispations, où la cybersécurité n’est plus traitée comme un sujet technique isolé. La Commission place désormais les attaques numériques, la coercition économique et la pression géopolitique dans un même tableau, avec des acteurs étatiques étrangers régulièrement cités, dont ceux associés à la Chine. En arrière-plan, la guerre d’agression de la Russie contre l’Ukraine, entrée dans sa quatrième année, a durci la lecture du risque, en particulier l’idée d’actions coordonnées ou convergentes entre Moscou et Pékin.

Le projet vise la chaîne d’approvisionnement des technologies de l’information et de la communication. Il cherche à empêcher des dépendances considérées comme dangereuses, en imposant une sélection plus stricte des technologies et des fournisseurs critiques. La proposition couvre 18 secteurs, calés sur NIS 2, répartis entre 11 domaines à haute criticité, énergie, transports, banque, infrastructures de marché financier, santé, eau potable, eaux usées, infrastructure numérique, administration publique, spatial et télécommunications, et 7 autres secteurs critiques, services postaux et messagerie, déchets, chimie, agroalimentaire, industrie manufacturière, fournisseurs de services numériques et recherche.

Strand Consult, très présent dans le débat depuis 2018, explique avoir vu venir l’extension du sujet au-delà de la 5G. Le cabinet rappelle l’effet d’entraînement de la boîte à outils 5G lancée en 2020, d’abord centrée sur les réseaux mobiles, puis appelée à toucher le fixe, le satellite, et, désormais, d’autres industries. La proposition, volumineuse, environ 270 pages, prévoit une procédure accélérée pour les réseaux mobiles, fixes et satellitaires, car les télécoms sont déjà encadrés par la 5G Toolbox. Les 17 autres secteurs entreraient, eux, dans un schéma d’évaluation comparable, incluant le risque supply chain et des applications sectorielles.

Le calendrier donne la mesure de la tension. L’adoption pourrait prendre un an à un an et demi. Ensuite, les opérateurs disposeraient de trois ans pour appliquer les règles sur les infrastructures critiques. Ceux qui utilisent encore des fournisseurs à haut risque auraient donc moins de cinq ans pour sortir des équipements concernés, souvent déjà en milieu ou fin de vie. C’est là que le cyber devient renseignement, une dépendance matérielle se transforme en variable stratégique.

Le vrai coût du remplacement et la carte des dépendances

L’argument le plus répété, ces dernières années, affirme que restreindre Huawei ou ZTE ralentit la 5G et renchérit le déploiement. Strand Consult conteste cette narration, en décrivant trois familles d’opérateurs : ceux qui ont basculé vers des fournisseurs chinois en migrerant de la 4G vers la 5G, ceux qui ont corrigé tôt leur trajectoire, ou opèrent dans des pays appliquant la 5G Toolbox, et ceux qui continuent à s’appuyer sur des fournisseurs chinois là où la boîte à outils est absente ou partielle. Le cabinet insiste sur un point, de nombreux opérateurs ont choisi des fournisseurs jugés fiables sans explosion des coûts, ni retard visible.

Le Danemark sert d’exemple narratif. Deux réseaux mobiles 4G sur trois y avaient été construits avec Huawei, mais la bascule vers la 5G s’est faite avec des fournisseurs reconnus. Le pays a lancé la 5G très tôt et affiche aujourd’hui, selon Strand Consult, la meilleure couverture 5G de l’UE. Copenhague applique une approche fondée sur le risque, via une loi imposant le retrait des équipements de fournisseurs à haut risque. En 2023, TDC a reçu l’ordre de remplacer son réseau WDM Huawei avant 2027, dans un cadre où l’évaluation est portée par l’Agence danoise de la résilience.

À l’échelle européenne, Strand Consult décrit une photographie contrastée. Sur environ cent réseaux mobiles dans l’UE, une soixantaine seraient déjà assurés comme « réseaux propres ». Sur les quarante restants, une dizaine auraient une exposition limitée, entre 10 et 30 %, et ne seraient pas forcément ciblés par l’analyse de connectivité des fournisseurs. Reste une trentaine d’opérateurs, avec un RAN composé à 35 % jusqu’à 100 % de composants issus de fournisseurs à haut risque, surtout dans des pays où la 5G Toolbox n’est pas pleinement appliquée. Au début de 2026, l’estimation avancée est claire, environ 30 % des équipements installés dans l’UE, l’EEE et la Suisse proviendraient de fournisseurs à haut risque.

La géographie du remplacement concentre le risque, et donc la bataille politique. L’Allemagne, l’Italie et l’Espagne compteraient, à elles trois, plus de 55 % des équipements à remplacer sur cinq ans. Vodafone et Deutsche Telekom apparaissent comme nœuds critiques. DT serait fournie par Huawei à 58 % en Allemagne, et à 100 % en Grèce, Autriche et République tchèque, avec des niveaux élevés en Croatie et Pologne, tandis que sa filiale T-Systems revend des solutions cloud conçues et opérées par Huawei. Vodafone, de son côté, dépendrait entièrement de Huawei en République tchèque, Grèce, Hongrie et Roumanie, avec 67 % en Espagne et 53 % en Allemagne. Le sujet bascule alors du régulateur vers la défense, les forces armées européennes utiliseront la 5G des opérateurs, et l’exposition à des équipements chinois devient un paramètre de résilience collective.

Reste la facture, nerf de la guerre et angle d’influence. Strand Consult rappelait qu’en 2020, avec 86 % de la population européenne abonnée au mobile, le remplacement des équipements évolutifs représentait 3,5 milliards d’euros, soit 7,40 € par abonné, en investissement unique. La Commission, sur la base de données de l’Observatoire 5G et d’une transition de trois ans, estime 3,4 à 4,3 milliards d’euros pour les équipements non évolutifs, et un maximum de 6,5 à 8,3 € par abonné si la charge est répercutée. La Commission affirme aussi que la simplification des obligations pourrait générer jusqu’à 15,3 milliards d’euros d’économies sur cinq ans, de quoi neutraliser une partie du choc initial.

Dans le récit de Strand Consult, les opérateurs les plus exposés pourraient tenter d’amplifier les coûts, comme au Royaume-Uni en 2019, mais les échanges investisseurs cités contredisent l’idée d’un blocage automatique. BT évoquait 100 millions de livres sterling par an pendant cinq ans, et Vodafone parlait d’environ 200 millions d’euros pour une trajectoire de retrait du cœur de réseau, en alertant surtout sur le risque d’accélérations irréalistes. Au final, la proposition européenne impose une question de renseignement économique autant que de cyber, qui paie, le contribuable ou l’actionnaire, quand une dépendance technique devient un risque stratégique.

La bataille se jouera sur un terrain discret, cartographie des dépendances, arbitrages d’investissement, et capacité des États à traduire le risque cyber en décisions industrielles.

backdoor, Chiffrement, Cybersécurité, Entreprise, Mise à jour, Patch, Securite informatique

Rançongiciel en Roumanie, 1 000 systèmes d’eau chiffrés

Une attaque par rançongiciel a paralysé environ 1 000 systèmes informatiques de l’autorité roumaine des eaux. Les barrages et l’exploitation hydraulique ont tenu, grâce à des procédures manuelles.

La Direction nationale roumaine pour la cybersécurité (DNSC) a annoncé qu’une attaque par rançongiciel, survenue en décembre 2025, a compromis près de 1 000 systèmes IT de l’Administrația Națională Apele Române, l’autorité nationale de l’eau. Dix des onze administrations régionales de bassins, dont Oradea, Cluj, Iași, Siret et Buzău, ont été touchées. Les assaillants ont détourné BitLocker, un mécanisme légitime de chiffrement Windows, pour verrouiller les fichiers et déposer une note exigeant un contact sous sept jours.

Un choc IT, une continuité opérationnelle sous contrainte

La scène se joue d’abord côté bureaux et serveurs. La DNSC indique qu’une attaque de type rançongiciel a frappé l’infrastructure informatique de l’Administrația Națională Apele Române, avec environ 1 000 systèmes compromis. L’impact territorial est massif : dix administrations régionales de bassins sur onze seraient concernées, avec des sites cités comme Oradea, Cluj, Iași, Siret et Buzău. La liste, à elle seule, raconte la difficulté logistique : quand l’IT tombe en panne à cette échelle, la gestion de crise devient une affaire de synchronisation et de priorités, pas seulement de remédiation technique.

Le périmètre atteint, détaillé par les autorités, couvre des briques critiques du quotidien numérique. Sont mentionnés des serveurs applicatifs SIG (GIS), des serveurs de bases de données, des postes Windows, des environnements Windows Server, mais aussi des serveurs de messagerie et web, ainsi que des serveurs DNS. Autrement dit, de quoi casser la cartographie opérationnelle, gêner la circulation d’information, perturber la résolution de noms et compliquer toute orchestration de reprise.

Pourtant, l’essentiel, au sens hydrotechnique, n’a pas cédé. L’autorité de l’eau affirme que les technologies opérationnelles (OT) n’ont pas été touchées. Elle précise que l’exploitation des ouvrages hydrotechniques repose sur des centres de dispatching et des communications vocales. Les constructions hydrotechniques resteraient « sécurisées », opérées localement par du personnel spécialisé, coordonné par ces centres. La conséquence immédiate est un basculement vers une conduite dégradée : moins de confort numérique, plus de procédures, de réflexes et de voix au téléphone.

Ce choix d’architecture de crise n’est pas anodin. L’organisation insiste sur la continuité de fonctions sensibles, contrôle de barrages, gestion des crues, distribution d’eau, assurée via supervision manuelle et protocoles vocaux conçus pour ce type de contingence. C’est la logique classique de résilience : si l’IT est frappée, l’OT doit tenir, et si l’OT dépend de l’IT, alors des modes alternatifs doivent déjà exister. Ici, la narration officielle vise à rassurer sur ce point précis : la disponibilité opérationnelle n’a pas été brisée.

 

SERVICE DE VEILLE ZATAZ

Nous retrouvons vos données volées/perdues avant qu’elles ne se retournent contre vous.

Fuites de données, Veille web & dark web, alertes et priorisation des risques.

  
DÉCOUVRIR LA VEILLE

Dédiée aux entreprises, institutions et particuliers.

A PARTIR DE 0,06€ PAR JOUR

BitLocker détourné, et un angle mort de protection nationale

Le détail technique central tient en un mot connu des administrateurs Windows : BitLocker. Selon une première évaluation, les attaquants ont utilisé ce mécanisme légitime de chiffrement pour produire un blocage par chiffrement sur les systèmes touchés. Le signal est fort sur le plan du renseignement de menace : au lieu d’introduire un malware « exotique », l’adversaire exploite un outil natif, déjà présent et souvent autorisé. Cela complique l’attribution technique, brouille les détections basées sur la présence d’un binaire malveillant, et déplace la bataille vers les droits, la gouvernance et l’audit des usages.

Les assaillants ont aussi déposé une note de rançon exigeant une prise de contact sous sept jours. La DNSC réitère sa doctrine : ne pas contacter ni négocier avec les cybercriminels, pour éviter d’alimenter leur économie. Dans cette logique, la variable critique devient le temps. Sept jours, c’est une pression psychologique, mais c’est aussi une fenêtre de reprise, de reconstitution d’inventaires, d’assainissement et de restauration. Quand des serveurs DNS, mail et web sont cités, la tentation de « raccourcir » la crise est forte. La recommandation publique vise à cadrer cette tension.

Un autre élément, plus politique, ressort de l’enquête : l’infrastructure de l’autorité des eaux n’était pas protégée par le système national de protection des infrastructures IT d’importance critique pour la sécurité nationale. Ce point ouvre un débat de surface, mais surtout un chantier immédiat. Des procédures ont été lancées pour intégrer ce périmètre aux dispositifs développés par le Centre national de cyber-renseignement, au sein du service de renseignement roumain, afin d’assurer la protection d’infrastructures publiques, et privées jugées critiques, via des technologies de cyber-intelligence. Le vocabulaire est important : on passe d’une défense locale à une logique de protection mutualisée, pilotée, et nourrie par le renseignement.

 

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes.
S’abonner à la NewsLetter ZATAZ

Chaque samedi matin, le meilleur moyen de ne rater aucune info cyber.

YouTube
Whatsapp
GNews
Autres
backdoor, cyberattaque, Cybersécurité

Fausses invitations de concert, espionnage contre l’armée russe

Une pièce jointe Excel, déguisée en invitation de Nouvel An, aurait servi d’appât contre des militaires russes. Intezer décrit une campagne discrète, mais révélatrice, portée par le groupe Goffee.

Des chercheurs d’Intezer affirment qu’un groupe d’espionnage peu documenté cible des militaires russes et l’industrie de défense via des leurres en russe. La campagne, repérée en octobre 2025 après la découverte d’un fichier XLL malveillant sur VirusTotal, déclenche automatiquement du code dans Excel. À l’ouverture, le fichier installe une porte dérobée inédite, EchoGather, capable de profiler la machine, exécuter des commandes et transférer des fichiers. Les données partent vers un serveur de commande et contrôle camouflé en site de livraison de nourriture. Les appâts incluent une fausse invitation à un concert réservé à des officiers supérieurs, truffée d’indices de génération artificielle, et une lettre usurpant un adjoint du ministère russe de l’Industrie.

Une entrée par Excel, une sortie par un faux site de livraison

Le point de départ est presque banal : un fichier destiné à être ouvert dans Excel. Le signal apparaît début octobre, quand un fichier XLL est téléversé sur VirusTotal, d’abord depuis l’Ukraine, puis depuis la Russie. Son titre, « enemy’s planned targets« , donne le ton, à la fois martial et calibré pour piquer la curiosité d’un public lié au militaire. L’astuce technique tient au format : un XLL n’est pas une simple feuille de calcul, c’est un add-in capable de lancer du code. Dans ce cas, l’exécution est automatique à l’ouverture, sans passer par la chorégraphie classique des macros qui réclament l’activation.

Une fois déclenché, le fichier télécharge un implant jusqu’alors non documenté, baptisé EchoGather. La description fournie par les chercheurs correspond à une porte dérobée orientée collecte et pilotage : inventaire du système, exécution de commandes à distance, exfiltration de fichiers. Un infostealer. Le volet « renseignement » est ici central, car ces fonctions servent moins à faire tomber un réseau qu’à y rester, y lire, et y prendre ce qui a de la valeur.

Le canal de sortie, lui, joue la dissimulation. Les informations volées sont envoyées vers un serveur de commande et contrôle présenté comme un site de livraison de nourriture. Ce camouflage n’est pas qu’esthétique : il permet de se fondre dans un trafic web ordinaire, en empruntant des apparences rassurantes. Dans des environnements surveillés, l’attaquant ne cherche pas seulement à chiffrer ou à détruire, il cherche surtout à ne pas être remarqué.

Soulignons un contexte plus large : les campagnes visant des organisations russes sont moins souvent documentées par des chercheurs occidentaux, faute de visibilité sur les réseaux russes. Cette rareté donne à la découverte un relief particulier. Elle n’implique pas que l’activité soit exceptionnelle, mais plutôt qu’elle est rarement observée depuis l’extérieur, ce qui laisse davantage de zones grises sur la portée réelle de l’opération.

Invitations de Nouvel An et faux courrier officiel : l’appât avant la collecte

Pour approcher la cible, le groupe mise sur l’ingénierie sociale. Les leurres sont rédigés en russe et cherchent à coller au rythme d’une administration ou d’une structure de défense. L’exemple le plus frappant est une fausse invitation à un concert destiné à des officiers supérieurs, une accroche taillée pour l’ego, la routine protocolaire et l’envie d’accéder à une information « réservée ». Sauf que le document trahit sa fabrication : erreurs linguistiques, et surtout une imitation déformée de l’aigle bicéphale russe, plus proche d’un oiseau générique que du symbole national. Ce détail est précieux : il signale un effort d’imitation, mais aussi une méconnaissance de codes visuels que la cible, elle, identifie au premier coup d’œil.

Un second appât usurpe une lettre émanant d’un adjoint au ministère russe de l’Industrie et du Commerce. Le texte réclame des justificatifs de prix liés à des contrats de défense étatiques. Le choix du thème est cohérent : il vise des entreprises de défense et des acteurs high-tech, exactement les profils que les chercheurs estiment ciblés. La demande de « documents de justification » est aussi une clé psychologique : elle crée une urgence administrative, et légitime l’ouverture de pièces jointes dans un cadre supposé officiel.

Malgré ces éléments, un point demeure opaque : on ne sait pas si la campagne a réellement réussi, ni quelles informations précises étaient recherchées. L’incertitude fait partie de la dynamique du renseignement : l’attaquant collecte large, puis trie, et le défenseur découvre souvent l’intention après coup, quand les traces sont déjà refroidies. (Interzer)

backdoor, Cybersécurité, Espionnae, Espionnage Spy, ID, Identité numérique, Securite informatique, Smartphone, Social engineering, Téléphonie

GhostPairing, l’arnaque qui contourne votre vigilance

Sans casser le chiffrement, sans voler de mot de passe, sans SIM swapping, des cybercriminels peuvent désormais accéder à WhatsApp. Une attaque qui pousse l’utilisateur à autoriser lui-même l’intrusion.

Des chercheurs en cybersécurité de Gen alertent sur une nouvelle méthode, baptisée GhostPairing, permettant de prendre le contrôle d’un compte WhatsApp sans dérober de mot de passe, sans attaquer le chiffrement et sans détourner la carte SIM. Le scénario repose sur la confiance : un message d’un contact proche, du type « Salut, j’ai trouvé ta photo« , entraîne la victime vers une fausse page imitant Facebook. Sous couvert de vérification d’identité, l’utilisateur saisit un code d’appairage WhatsApp authentique, ce qui ajoute, à son insu, le navigateur de l’attaquant comme appareil connecté. Le téléphone reste normal, l’espionnage devient discret et durable.

Le piège : une fausse photo, un vrai appairage

L’attaque ne commence pas par une faille technique spectaculaire. Elle démarre par un réflexe humain, la curiosité, et par un ressort social, la confiance. Un message arrive d’un contact connu :  » Salut, j’ai trouvé ta photo » ; « Hello, c’est toi sur la vidéo ?« . Ce type de phrase fonctionne précisément parce qu’elle semble banale, presque intime. Elle abaisse la méfiance, surtout quand elle vient d’une personne proche, et elle donne envie de cliquer sans trop réfléchir. Une approche qui n’est pas nouvelle, mais prend une nouvelle tournure.

Le lien conduit ensuite vers une page frauduleuse qui copie l’apparence de Facebook. Là encore, l’attaquant joue sur un automatisme. Les internautes ont intégré l’idée qu’un site peut demander une « vérification » avant d’afficher un contenu. Cette étape est le cœur du piège. Ce qui ressemble à un contrôle d’identité n’est pas un écran de sécurité, c’est le processus de connexion d’un appareil WhatsApp.

La victime se retrouve à saisir un code d’appairage parfaitement légitime. Le détail est crucial : il ne s’agit pas d’un code inventé ou d’un contournement du chiffrement. C’est un mécanisme normal de la plateforme, prévu pour relier un nouvel appareil à un compte existant. En entrant ce code, l’utilisateur ajoute involontairement le navigateur du cybercriminel dans la liste des appareils connectés. L’accès s’installe sans bruit, sans alerte évidente, et surtout sans que le compte principal ne soit « déconnecté ».

 

SERVICE DE VEILLE ZATAZ

Nous retrouvons vos données volées/perdues avant qu’elles ne se retournent contre vous.

Fuites de données, Veille web & dark web, alertes et priorisation des risques.

  
DÉCOUVRIR LA VEILLE

Dédiée aux entreprises, institutions et particuliers.

A PARTIR DE 0,06€ PAR JOUR

Pourquoi c’est inquiétant : l’accès est invisible, la confiance devient vecteur

Plusieurs raisons de s’inquiéter, et elles ont un point commun : GhostPairing s’appuie sur le fonctionnement prévu de WhatsApp. Aucun mot de passe n’est nécessaire, ce qui réduit les signaux classiques d’attaque. Il n’y a pas non plus de SIM swapping, donc pas de coupure de ligne ou de perte de réseau qui pourrait alerter la victime. Et le chiffrement n’est pas « cassé », la manœuvre se déroule avant tout au niveau de l’autorisation d’accès.

La conséquence opérationnelle est claire : le téléphone continue de fonctionner normalement. L’utilisateur envoie et reçoit ses messages comme d’habitude, pendant qu’un second appareil lit, copie et observe. Dans une logique de renseignement, c’est précisément le scénario recherché : accès continu, discret, et à fort contenu informationnel. Les messages, les photos, les contacts, mais aussi les échanges privés qui révèlent des habitudes, des relations, des trajets, des fragilités, deviennent accessibles.

Le risque de propagation est aussi central. L’arnaque se diffuse via des comptes déjà compromis, qui écrivent ensuite à des proches, à des groupes familiaux ou à des cercles professionnels. L’effet boule de neige est alors mécanique : la confiance circule plus vite que les mises en garde. Une fois à l’intérieur d’un réseau social de proximité, l’attaquant gagne un avantage psychologique sur chaque nouvelle cible.

Insistons sur l’escalade possible. Avec un accès aux conversations, l’attaquant peut préparer des fraudes plus lourdes : usurpation d’identité, escroqueries ciblées, chantage. Les contenus vocaux, les photos et les échanges privés servent de matière première. Ce n’est pas seulement une atteinte à la vie privée, c’est un levier d’action contre la victime et son entourage.

Ce qui change : l’attaque ne casse rien, elle fait accepter

GhostPairing illustre une évolution majeure : au lieu de forcer la porte, l’attaquant obtient les clés en demandant poliment. Il ne s’agit pas d’un exploit complexe, mais d’une mise en scène qui amène l’utilisateur à valider lui-même l’accès. Les mécanismes de connexion rapides, QR codes, appairage, confirmations “en un geste”, sont conçus pour faciliter la vie. Ils deviennent aussi des surfaces d’abus, car ils réduisent la visibilité de ce qui est réellement accordé.

Le signal dépasse WhatsApp. DataSecuritybreach.fr y voit un avertissement pour toutes les plateformes où les connexions entre appareils se font vite, avec peu de friction et peu d’explications. Dans un monde où l’authentification se fluidifie, l’attaquant investit la persuasion. Il ne cherche pas seulement une faille, il cherche un réflexe.

Face à ce type d’attaque, la première défense consiste à regarder ce qui est déjà autorisé. Data Security Breach recommande de contrôler la liste des appareils liés au compte WhatsApp via les paramètres puis la section des appareils connectés, et de retirer tout appareil inconnu. Ensuite, il faut traiter comme suspect tout site qui demande de scanner un QR code WhatsApp ou d’entrer un code d’appairage pour accéder à une photo ou à un contenu. Cette demande est un signal d’alarme, car elle mélange deux univers, un prétexte « photo » et une action « connexion ».

Enfin, l’activation de la vérification en deux étapes est présentée comme une mesure utile, mais l’élément décisif reste la sensibilisation de l’entourage. Comme l’arnaque exploite les relations, prévenir famille, collègues et groupes devient une mesure de protection collective. La sécurité se joue alors autant dans la technique que dans la culture du doute.

Avec GhostPairing, voici une prise de contrôle qui ne ressemble pas à un piratage classique : elle s’installe par consentement trompé, sans bruit, et transforme un mécanisme d’appairage en porte d’entrée. Dans un écosystème où les connexions « sans friction » se multiplient, la question cyber et renseignement est directe : comment rendre visibles, compréhensibles et contestables ces autorisations, avant qu’elles ne deviennent l’arme favorite des escrocs ?

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes.
S’abonner à notre NewsLetter

Chaque samedi matin, le meilleur moyen de ne rater aucune info cyber.

YouTube
Whatsapp
GNews
Autres
Android, backdoor, Cybersécurité, Espionnage Spy, Smartphone

Smartphone : un technique d’espionnage des Galaxy découverte

Un logiciel espion Android nommé Landfall a infecté discrètement des Galaxy depuis juillet 2024 via une faille zero-click. Samsung a corrigé la vulnérabilité en avril 2025.

Unit 42 de Palo Alto Networks a analysé Landfall, un implant Android capable d’infecter des Samsung Galaxy sans interaction utilisateur, en exploitant la CVE-2025-21042. Les attaques, actives depuis juillet 2024 et colmatées par Samsung en avril 2025, ciblent des individus précis plutôt qu’un déploiement massif. Landfall exfiltre photos, messages, contacts et appels, peut activer le micro et suivre la géolocalisation. Des échantillons soumis à VirusTotal proviennent du Maroc, d’Iran, d’Irak et de Turquie. L’infrastructure présente des similarités avec le projet Stealth Falcon, sans preuve d’attribution formelle. Les modèles S22, S23, S24 et certains Z sont explicitement référencés; Android 13 à 15 sont concernés potentiellement.

Une attaque zero-click et des victimes ciblées

Unit 42 décrit Landfall comme un implant exploiting une vulnérabilité zero-day dans le composant Galaxy, identifié sous la référence CVE-2025-21042. L’exploit repose sur l’envoi d’une image spécialement conçue. La victime n’a pas besoin d’ouvrir le fichier ni de cliquer sur un lien. L’exécution se produit de manière silencieuse à la réception du contenu. Selon les éléments partagés, Samsung n’avait pas conscience de cette exploitation avant d’appliquer un correctif en avril 2025. Les traces d’opérations remontent à juillet 2024, ce qui indique une fenêtre d’exploitation prolongée. Itai Cohen, chercheur cité par Unit 42, précise que la campagne semble axée sur des objectifs particuliers. Le mode opératoire, la sélection restreinte des cibles et la dispersion géographique des échantillons laissent penser à une logique de cyber-reconnaissance plutôt qu’à une opération de masse.

Landfall, à l’instar d’autres outils d’espionnage gouvernementaux, offre un large accès aux données du terminal. Les capacités rapportées comprennent la collecte de photos, de messages, de contacts et d’historique d’appels. L’implant peut également activer le microphone pour écouter l’environnement et suivre la position GPS. Ces fonctionnalités autorisent une observation prolongée et discrète d’une cible et la collecte de preuves audio, photo et de trafic téléphonique. Unit 42 précise que le code contient des références explicites à cinq modèles Galaxy, incluant les gammes S22, S23, S24 et certains modèles Z. Les versions d’Android mentionnées comme potentiellement affectées s’échelonnent d’Android 13 à Android 15, ce qui élargit la population de terminaux vulnérables avant la correction.

Pistes d’infrastructure et rapprochements opérationnels

L’analyse de l’infrastructure utilisée par les opérateurs révèle des recoupements notables. Certains éléments d’architecture et des patterns de déploiement présentent des similarités avec Stealth Falcon, un projet d’espionnage connu pour cibler journalistes et militants aux Émirats arabes unis. Toutefois, Unit 42 souligne l’absence de preuve formelle reliant Landfall à cet acteur spécifique. Des échantillons de l’implant ont été envoyés à VirusTotal par des utilisateurs situés au Maroc, en Iran, en Irak et en Turquie. L’équipe d’intervention turque USOM a identifié une adresse IP associée à Landfall comme malveillante, corroborant des infections probables en Turquie. Ces éléments géographiques et techniques permettent d’établir des hypothèses de ciblage régional mais n’autorisent pas une attribution définitive sans davantage de preuves opérationnelles et d’améliorations de la traçabilité des infrastructures.

Landfall illustre la menace majeure que représentent les exploits zero-click sur mobiles. L’absence d’action de l’utilisateur comme condition d’infection abaisse significativement la barrière d’entrée pour un espionnage discret et durable. Les caractéristiques de ciblage rapportées orientent l’analyse vers des opérations de renseignement numérique plutôt que vers du cybercrime opportuniste. Samsung a corrigé la faille en avril 2025 ; néanmoins, la fenêtre d’exploitation entre juillet 2024 et la mise à jour souligne l’importance d’une détection proactive, d’un durcissement des composants sensibles et d’une réponse coordonnée entre fabricants, CERT et communautés de chercheurs. À noter, selon les éléments fournis, aucune déclaration publique officielle de Samsung sur ces résultats n’a été rapportée au moment de la rédaction.

Une histoire diffusée sur Zataz signale qu’une faille zero-click dans WhatsApp a été exploitée pour installer un autre spyware appelé Graphite. Cette autre affaire illustre une tendance : l’exploitation de vecteurs zero-click dans des applications et composants de masse pour implanter des outils d’espionnage. La cooccurrence de vulnérabilités zero-click ciblant à la fois la couche système (Galaxy) et des applications de messagerie montre que les acteurs malveillants privilégient des vecteurs silencieux et à fort potentiel d’accès aux données. Cette convergence justifie une vigilance accrue autour des correctifs, des mécanismes de détection et de la sensibilisation des opérateurs nationaux de réponse aux incidents.

La persistance de campagnes zero-click soulève une question cruciale : comment renforcer, au-delà des correctifs ponctuels, la résilience des écosystèmes mobiles face à des implantations invisibles et ciblées ?

Android, backdoor, Banque, Cybersécurité, Securite informatique, Smartphone

Les applications Android exploitent le NFC pour voler des données bancaires

Des centaines d’applications malveillantes utilisent la technologie NFC et l’émulation de carte hôte pour intercepter des paiements et dérober des identifiants financiers sur Android.

Les experts de Zimperium Labs alertent sur une hausse massive de la fraude par relais NFC depuis avril 2024. Plus de 760 applications Android exploitent la communication en champ proche (NFC) et l’émulation de carte hôte (HCE) pour intercepter des données EMV, usurper des institutions financières et relayer des transactions bancaires frauduleuses. Ces campagnes illustrent la sophistication croissante des attaques contre les paiements sans contact.

NE MANQUEZ PAS NOTRE NEWS LETTER (CHAQUE SAMEDI). INSCRIPTION

Des campagnes coordonnées de vol de données

Les chercheurs ont observé que ces applications ciblent des banques, services de paiement et portails gouvernementaux dans le monde entier, avec un accent particulier sur les institutions russes, européennes (PKO, ČSOB, NBS), brésiliennes et sur Google Pay. Elles se font passer pour des applications officielles, incitant les victimes à les définir comme gestionnaires de paiement NFC par défaut. Une fois installées, elles interceptent les échanges APDU entre le terminal et l’appareil, exfiltrant les données EMV, les numéros de carte et les dates d’expiration vers des chaînes Telegram contrôlées par les opérateurs.

Certaines variantes fonctionnent comme des couples d’outils : un « scanner/piéger » chargé d’intercepter les transactions et un collecteur autonome pour exfiltrer les informations. Ces applications communiquent avec un serveur de commande et de contrôle (C2) capable d’enregistrer les appareils, relayer les requêtes de terminal, vérifier l’état du bot, envoyer des mises à jour ou des alertes Telegram, et exécuter des transactions à distance. L’automatisation et la modularité rendent la détection complexe.

Une infrastructure mondiale de commande et de contrôle

Zimperium a identifié plus de 70 serveurs C2 et plusieurs dizaines de bots Telegram actifs dans cette campagne. Ces infrastructures pilotent à distance les applications infectées, enregistrant en continu les appareils compromis et adaptant les commandes selon la réponse du terminal. Les opérateurs peuvent ainsi simuler des paiements sans contact réels, sans nécessiter l’intervention directe de l’utilisateur.

Les échanges APDU, cœur du protocole de communication entre carte et lecteur, sont intégralement interceptés, analysés puis répliqués. Les fraudeurs peuvent rejouer des transactions à partir des données volées, utilisant les identifiants des appareils pour personnaliser les sessions et contourner les vérifications comportementales des banques.

Cette architecture distribuée repose sur des serveurs hébergés dans plusieurs juridictions, compliquant le démantèlement. Les flux de commandes dynamiques et l’enregistrement continu des terminaux rendent l’analyse forensique difficile et retardent les réponses de sécurité.

Une menace liée à l’essor du sans contact

Le rapport de Zimperium souligne que la croissance des paiements NFC a ouvert de nouvelles opportunités aux cybercriminels. « Avec la croissance rapide des transactions sans contact, la technologie NFC est devenue une cible de plus en plus prisée », indiquent les chercheurs. Android autorise les applications à gérer les paiements NFC via l’émulation de carte hôte, fonction que les pirates détournent pour capturer les données avant qu’elles ne soient chiffrées ou transmises au processeur de paiement.

L’exploitation de ces autorisations légitimes rend les attaques particulièrement efficaces. En usurpant l’identité d’applications de confiance et en exploitant des interfaces natives, les malwares évitent les alertes de sécurité traditionnelles. Les auteurs diffusent leurs applications via des magasins non officiels ou des liens directs dans des messages Telegram et des forums de piratage.

Les chercheurs estiment que ces attaques reposent sur une combinaison d’ingénierie sociale et d’abus de fonctions système. Elles ciblent principalement les utilisateurs de terminaux Android ne disposant pas de correctifs récents ou utilisant des versions fragmentées du système d’exploitation.

VEILLE ZATAZ : NOUS RECHERCHONS VOS DONNÉES PIRATÉES. DÉCOUVRIR

Une réponse encore limitée

Zimperium recommande aux institutions financières et aux utilisateurs de considérer comme à haut risque toute application demandant l’autorisation de paiement NFC sans justification claire. Les experts préconisent également une surveillance renforcée des flux APDU et des connexions sortantes vers Telegram et d’autres messageries chiffrées.

L’écosystème Android reste vulnérable à ce type d’abus structurel, car la gestion des autorisations NFC repose sur la confiance de l’utilisateur final. Tant que les systèmes de vérification d’identité des applications ne seront pas centralisés, les campagnes de fraude par relais devraient continuer à croître.

Cette multiplication d’applications malveillantes utilisant le NFC et le HCE illustre un basculement des menaces : les cybercriminels délaissent le phishing traditionnel pour des attaques logicielles sophistiquées ciblant l’infrastructure même des paiements mobiles.

L’exploitation frauduleuse du NFC par des centaines d’applications Android démontre la vulnérabilité des paiements mobiles face à la manipulation logicielle. La question centrale reste ouverte : les éditeurs et autorités financières parviendront-ils à sécuriser le protocole NFC avant qu’il ne devienne le principal vecteur de vol de données bancaires ?

backdoor, Cybersécurité, Entreprise, Espionnage Spy, Securite informatique

Alerte maximale : CISA redoute une exploitation massive du code source volé de F5

Une cyberattaque d’ampleur contre F5 a conduit l’agence américaine CISA à ordonner en urgence la mise à jour de tous les systèmes fédéraux vulnérables.

L’agence de cybersécurité américaine (CISA) alerte sur une menace majeure visant les réseaux fédéraux après le vol du code source et de failles non divulguées de F5 par un acteur étatique. Le gouvernement a publié une directive d’urgence obligeant toutes les agences civiles à mettre à jour leurs produits F5 d’ici le 22 octobre, afin de prévenir tout risque de compromission systémique.

Un vol stratégique du cœur technologique de F5

Le 9 août, F5 a découvert une intrusion prolongée et discrète dans ses environnements de développement, selon un rapport déposé à la SEC. L’entreprise, épaulée par CrowdStrike, Mandiant et les autorités fédérales, a confirmé que l’assaillant avait accédé au code source de sa suite BIG-IP — technologie clé utilisée pour le routage, la sécurité applicative et la gestion des accès dans les infrastructures critiques. Des informations sur des vulnérabilités encore non corrigées ont également été exfiltrées.
CISA estime que cet accès offre à l’attaquant un avantage technique majeur, lui permettant d’analyser en profondeur le code, d’identifier de nouvelles failles et de créer des exploits ciblés. L’agence craint que ces outils ne servent à s’infiltrer dans les réseaux fédéraux, voler des données sensibles et maintenir un accès persistant.

Une directive d’urgence face à un risque systémique

L’ordre fédéral impose la mise à jour immédiate de tous les équipements et logiciels F5 — physiques ou virtuels — avant le 22 octobre, et un rapport d’audit complet avant le 29. Les produits concernés incluent BIG-IP, F5OS, BIG-IP Next for Kubernetes, BIG-IQ et les clients APM.

Nick Andersen, directeur exécutif adjoint de la cybersécurité à CISA, a précisé qu’aucune compromission confirmée n’a été détectée dans les agences fédérales à ce jour, mais que des milliers d’appareils F5 sont déployés sur les réseaux gouvernementaux. L’agence prévoit des réunions d’information avec les entités locales, étatiques et privées.
Madhu Gottumukkala, directeur par intérim de CISA, a averti que la simplicité d’exploitation des failles volées « impose une action immédiate et décisive ». L’agence recommande également au secteur privé d’appliquer sans délai les correctifs, évoquant un risque de compromission « catastrophique » pour les systèmes critiques.

Une brèche surveillée, mais un adversaire inconnu

F5 affirme avoir évincé les intrus, réinitialisé ses identifiants et renforcé la supervision de ses environnements. Aucun signe de modification du code source ni de la chaîne d’approvisionnement logicielle n’a été observé, selon les validations indépendantes de NCC Group et IOActive.

L’entreprise indique ne pas connaître l’identité de l’acteur étatique responsable, mais plusieurs experts pointent des précédents impliquant des groupes affiliés à la Chine. En 2023, Mandiant avait déjà révélé que des sous-traitants du ministère chinois de la Sécurité d’État exploitaient une faille critique (CVE-2023-46747) affectant BIG-IP.

F5 a également confirmé que certains fichiers volés contenaient des informations techniques relatives à un faible pourcentage de clients. L’entreprise s’engage à notifier directement les clients concernés et à offrir à tous ses utilisateurs un abonnement gratuit au logiciel de détection Falcon EDR de CrowdStrike.

Cette attaque contre F5 illustre la vulnérabilité croissante des chaînes logicielles stratégiques. Si le vol de code source devient un levier d’espionnage à long terme, quelles contre-mesures structurelles peuvent encore garantir l’intégrité des systèmes fédéraux et industriels ?

Sources

backdoor, Cybersécurité, Mise à jour, Patch, Securite informatique

Vulnérabilités 7-Zip : sortie du répertoire et exécution à distance

Deux failles critiques de 7-Zip permettent l’évasion du répertoire de travail via des symlinks dans des ZIP malveillants. Mettez à jour ou désactivez l’extraction automatique.

Deux vulnérabilités désignées CVE-2025-11001 et CVE-2025-11002, cotées 7,0 CVSS, exposent 7-Zip à des attaques par archives ZIP contenant des liens symboliques malformés. En ouvrant l’archive, la victime risque la corruption ou la substitution de fichiers système, y compris la substitution de DLL utilisées par des services privilégiés, autorisant potentiellement l’exécution de code à distance. Les correctifs sont inclus dans la build 25.00. Les utilisateurs doivent installer la mise à jour immédiatement ou au minimum interdire l’extraction automatique d’archives. Des vulnérabilités moins graves, publiées l’été précédent, permettaient des DoS via écriture hors bornes et déréférencement null.

Manipulation de symlinks et dépassement du répertoire

Les deux vulnérabilités exploitent la même mécanique : une gestion incorrecte des liens symboliques intégrés dans des archives ZIP. 7-Zip, lors de l’extraction, peut suivre ou recréer des symlinks sans vérifier qu’ils restent confinés au répertoire de travail. Un ZIP conçu pour pointer en dehors de l’arborescence cible permet d’écrire ou de remplacer des fichiers situés arbitrairement sur le système. Dans ce scénario l’attaque n’exige pas d’élévation préalable ; elle réclame uniquement que la victime ouvre l’archive dans l’outil vulnérable. Le risque opérationnel est double : disparition ou altération de fichiers applicatifs et substitution de DLL chargées par des services disposant de privilèges supérieurs. La combinaison du vecteur d’infection trivial — double-clic ou extraction automatique — et de l’impact potentiel sur des composants privilégiés transforme une vulnérabilité de chemin en vecteur d’escalade et d’exécution à distance.

Portée technique et conséquences pratiques

Techniquement, ces failles permettent l’écriture arbitraire de fichiers en dehors du dossier prévu par l’utilisateur. Concrètement, un ZIP malveillant peut contenir des entrées dont le nom est un symlink ciblant des chemins sensibles du système. Lors de l’extraction, 7-Zip reconstitue le lien ou suit la cible sans vérification stricte, puis écrit les données de l’archive sur la cible. Résultat possible : remplacement d’un exécutable, altération d’un binaire ou substitution d’une DLL. Si la DLL remplacée est ensuite chargée par un service s’exécutant avec des droits élevés, l’attaquant obtient une exécution de code en contexte privilégié. L’attaque repose sur l’appâtage de l’utilisateur, mais pas sur une technique sophistiquée côté serveur. Elle est donc aisée à déployer à grande échelle par phishing, pièces jointes ou contenus téléchargés.

Correctifs et mesures immédiates recommandées

Les correctifs sont inclus dans la build 25.00 de 7-Zip. L’éditeur a modifié le comportement d’extraction pour valider les symlinks et empêcher l’évasion du répertoire de destination. Les administrateurs doivent déployer cette build sur tous les postes et serveurs où 7-Zip est présent. En attendant la mise à jour, il est impératif d’interdire l’extraction automatique d’archives par tout mécanisme intégré au poste de travail ou au client de messagerie. Les équipes doivent également sensibiliser les utilisateurs aux risques des archives reçues par courriel et privilégier l’analyse en bac à sable des fichiers ZIP suspects. Dans les environnements sensibles, limitez les permissions d’écriture sur les chemins critiques et surveillez les modifications de DLL via intégrité fichier (HIPS, solutions EDR).

L’été précédent, deux autres problèmes ont été révélés pour 7-Zip : une écriture hors bornes et un déréférencement de pointeur nul. Ces derniers permettaient d’induire des états de déni de service (DoS) mais étaient classés comme moins critiques car ils n’autorisaient pas directement l’exécution arbitraire de code. Les nouvelles failles CVE-2025-11001 et CVE-2025-11002, malgré une note CVSS égale à 7,0, présentent un profil d’exploitation plus dangereux en raison de la possibilité de corruption ou substitution de DLL. La différenciation entre crashs non persistants et corruption délibérée d’artefacts système explique l’écart d’impact opérationnel.

 

Rejoignez nous sur les réseaux :

Newsletter
WhatsApp
Twitter/X
LinkedIn
YouTube
Google News
Aucun spam – Désinscription en un clic – Vie privée respectée

 

Attaque exploit typique et vecteurs de diffusion

Un exploit plausible commence par une archive ZIP contenant des fichiers dont certains sont des symlinks calculés pour pointer vers des emplacements système. L’archive est livrée à la cible via phishing, téléchargement piégé ou pièce jointe. Si la victime double-clic sur l’archive ou si un processus d’extraction automatique la décompresse, 7-Zip traite la structure et réalise l’écriture vers la cible. L’attaquant peut alors remplacer une DLL utilisée par un service démarré, provoquer un chargement ultérieur de la DLL malveillante et obtenir un exécutable furtif sous les droits du service. Ce scénario est particulièrement critique sur des serveurs exposés, sur des postes administrateurs ou sur des machines où des services système chargent dynamiquement des bibliothèques depuis des chemins modifiables.

Détecter une exploitation requiert de surveiller les modifications de fichiers système habituellement immuables, les créations ou modifications de DLL dans des répertoires système et les écritures inhabituelles initiées par processus utilisateur non privilégiés. Les solutions EDR doivent alerter sur les opérations d’écriture vers les répertoires Windows\System32, Program Files ou tout autre emplacement abritant des composants partagés. L’analyse des journaux d’antivirus et l’examen des actions d’extraction réalisées par 7-Zip peuvent révéler des tentatives d’exploitation. Enfin, la corrélation entre réception d’un ZIP externe et modifications de fichiers sensibles constitue un indicateur fort d’exploitation.

Bonnes pratiques post-correction

Outre l’installation immédiate de la build 25.00, standardisez la gestion des archives dans l’entreprise. Centralisez l’extraction via des bastions ou des environnements isolés. Restreignez les droits d’écriture sur les répertoires où des DLL sont chargées automatiquement. Activez la validation d’intégrité pour les DLL critiques et déployez des règles d’application des DLL signées. Mettez en place un flux de gestion des pièces jointes qui isole et analyse automatiquement les ZIP avant mise à disposition des utilisateurs. Enfin, documentez toute remise en état après incident, car une DLL compromise peut cacher une présence malveillante persistante.