Archives de catégorie : Espionnage Spy

ChatGPT accusé à Moscou de transmettre des données au Pentagone

OpenAI est accusée par un responsable russe de partager automatiquement avec les agences américaines les requêtes en russe envoyées via ChatGPT.

Selon le site Caliber, Alexander Asafov, premier vice-président de la commission de la Chambre publique de Moscou sur la société civile, affirme que les demandes en langue russe soumises à ChatGPT seraient transférées « proactivement et automatiquement » au FBI et au Pentagone. Il ajoute que des dirigeants d’entreprises d’intelligence artificielle auraient reçu cette année « des grades au Pentagone ». Aucune preuve n’a été apportée pour étayer ces accusations.

Une rhétorique géopolitique

Cette déclaration s’inscrit dans une série de prises de position russes qui présentent les grands acteurs occidentaux du numérique comme des instruments d’ingérence. En ciblant OpenAI, Moscou met l’accent sur l’usage de l’IA générative en Russie et sur les risques supposés d’espionnage. L’accusation d’un transfert automatique au FBI et au Pentagone relève davantage d’un discours politique que d’une information vérifiée.

L’angle cyber et renseignement

La Russie multiplie les alertes autour de la collecte de données par les plateformes étrangères, qu’elle considère comme un levier de surveillance occidentale. La référence à un lien direct entre OpenAI et le Pentagone illustre une stratégie classique : associer les outils numériques à une infrastructure de renseignement militaire. Cette rhétorique vise autant l’opinion publique russe que les utilisateurs potentiels de l’IA dans la région.

Ni OpenAI ni les autorités américaines n’ont réagi à cette déclaration au moment de la publication. La formulation employée par Asafov — « automatiquement » et « initiative » d’OpenAI — ne repose sur aucune documentation technique accessible. À ce stade, il s’agit d’une accusation politique relayée par la presse locale, sans élément de corroboration indépendant.

La question centrale reste donc : cette accusation relève-t-elle d’une alerte fondée sur des renseignements techniques, ou d’une construction géopolitique destinée à encadrer l’usage de l’IA en Russie ?

Amazon déjoue une attaque sophistiquée d’APT29

Amazon a bloqué une opération de watering-hole d’APT29, visant à subtiliser des identifiants Microsoft grâce à des sites compromis, du JavaScript obfusqué et des redirections sélectives.

Amazon a neutralisé une campagne d’APT29, groupe lié au renseignement russe, qui exploitait des sites web compromis pour piéger des connexions Microsoft. Les assaillants utilisaient du JavaScript obfusqué et des mécanismes de redirection conditionnelle afin de tromper une partie des visiteurs. Près de 10 % du trafic était renvoyé vers des domaines contrôlés par l’attaquant, imitant Cloudflare pour capter les identifiants via le flux d’authentification par code d’appareil de Microsoft. Amazon a isolé les instances malveillantes et collaboré avec Microsoft et Cloudflare pour interrompre les infrastructures frauduleuses. Aucun système AWS n’a été compromis. Cette opération illustre le raffinement technique d’APT29 et la réponse coordonnée nécessaire pour contrer ces campagnes.

Attaque sur des sites légitimes

En août, plusieurs sites web authentiques ont été piégés par l’ajout d’un script JavaScript malveillant. Ce code, fortement obfusqué, recourait à l’encodage base64 pour masquer ses fonctions et compliquer l’analyse. Sa mission : déterminer si l’utilisateur devait être redirigé vers une infrastructure contrôlée par APT29. Seule une minorité de visiteurs, environ 10 %, était ciblée, réduisant le risque de détection. Les victimes aboutissaient sur un domaine imitant une vérification Cloudflare, notamment findcloudflare[.]com. Cette fausse étape permettait d’exploiter le flux d’authentification par code de périphérique de Microsoft et d’intercepter les tentatives de connexion.

L’activité a été repérée sur des instances EC2 utilisées à des fins malveillantes. Amazon a immédiatement isolé ces serveurs, bloqué leurs communications et engagé une coopération avec Cloudflare et Microsoft. Ensemble, ils ont procédé à la désactivation rapide des domaines frauduleux. Chaque fois qu’APT29 tentait de rétablir son infrastructure avec de nouveaux serveurs ou domaines, l’alliance technique permettait une coupure immédiate. Amazon a assuré qu’aucun système interne n’avait été touché par la campagne.

Tactiques techniques et sophistication

Les techniques employées confirment le niveau avancé d’APT29. Le JavaScript obfusqué rendait son contenu difficile à déchiffrer, dissimulant les instructions de redirection. Des redirections côté serveur permettaient d’alterner les comportements selon l’adresse IP, l’agent utilisateur ou le fuseau horaire du visiteur. L’usage de cookies servait à limiter la fréquence des redirections, empêchant un analyste de reproduire facilement le scénario d’attaque. Cette approche réduisait fortement les traces visibles et rendait l’infection plus persistante. Enfin, la rotation d’infrastructures, avec migration rapide entre domaines et serveurs compromis, ajoutait une résilience opérationnelle. Ces choix tactiques révèlent un objectif clair : espionner durablement sans attirer l’attention des défenses automatisées.

APT29, affilié au SVR russe, multiplie les campagnes contre les cibles stratégiques. Après des tentatives de phishing imitant AWS en 2024 et une campagne contre chercheurs et universitaires en 2025, le groupe renforce ses méthodes. Le recours à l’obfuscation avancée et aux redirections sélectives montre une stratégie d’ingénierie discrète, adaptée aux environnements cloud et aux services massivement utilisés. L’objectif reste constant : collecter des identifiants pour pénétrer des réseaux sensibles.

Les autorités américaines ont saisi deux domaines utilisés par le service de renseignement russe SVR (APT29/Cozy Bear) dans une vaste campagne de piratage. En mai 2021, les attaquants ont compromis un compte de l’USAID sur Constant Contact pour envoyer près de 3 000 e-mails piégés à plus de 150 organisations dans 24 pays. Les liens redirigeaient vers theyardservice[.]com, qui distribuait un malware installant Cobalt Strike. Les communications passaient aussi par worldhomeoutlet[.]com. Déjà en mai 2018, les États-Unis avaient saisi des domaines liés au botnet VPNFilter d’APT28. Microsoft a mené des actions similaires en 2018 et 2021.

L’affaire démontre la capacité d’APT29 à développer des outils furtifs et l’importance d’une veille proactive pour détecter l’obfuscation et les redirections conditionnelles. Jusqu’où ces techniques d’évasion, à la frontière entre espionnage discret et attaques massives, peuvent-elles encore progresser face aux systèmes de défense automatisés ?

WhatsApp exploité sans clic : faille critique sur iOS et macOS

Une vulnérabilité critique de WhatsApp a permis des attaques sans interaction utilisateur. Meta confirme l’exploitation, Amnesty alerte : journalistes et ONG ciblés.

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

Retour de la cyber attaque sans clic de souris ! Une vulnérabilité critique de WhatsApp pour iOS et macOS, identifiée comme CVE‑2025‑55177, a été activement exploitée en conjonction avec une faille d’iOS (CVE‑2025‑43300) pour mener des attaques zero‑click. Meta a confirmé des cyberattaques réelles. Amnesty International signale plusieurs alertes envoyées à des cibles potentielles, notamment des journalistes et des membres de la société civile. L’exploitation permettait de forcer WhatsApp à charger des données à partir d’URL arbitraires sur l’appareil, sans interaction. Les failles ont été corrigées fin juillet et début août 2025. Les experts recommandent la réinitialisation des appareils et une mise à jour immédiate. Une fois de plus, le logiciel espion gouvernemental est dans le viseur, sans attribution claire à ce jour.

Un scénario invisible : la vulnérabilité zero-click

Le 28 juillet 2025, WhatsApp publiait discrètement une mise à jour de sécurité pour ses utilisateurs iOS. Derrière ce correctif, une vulnérabilité critique dormait dans les lignes de code. CVE‑2025‑55177 permettait à un attaquant distant de manipuler WhatsApp afin qu’il charge du contenu depuis une URL arbitraire stockée sur l’appareil de la cible. Le danger en soi était déjà notable. Mais combinée à une autre faille (CVE‑2025‑43300) propre à iOS, la menace s’est transformée en une attaque sans clic : aucune interaction de l’utilisateur n’était nécessaire pour que le malware s’active.

La combinaison des deux failles a permis une exploitation silencieuse. Une simple ouverture automatique, un processus en arrière‑plan, suffisait à compromettre un appareil. Aucun lien à cliquer, aucun fichier à ouvrir. Les attaques de ce type, dites zero‑click, sont parmi les plus redoutées : elles sont invisibles, instantanées, souvent indétectables.

 

⏳ Jusqu’où tolérerez-vous d’être piraté ?

CTI ZATAZ – Scannez les menaces vous concernant avant qu’il ne soit trop tard.

✅ Scanner mes risques

Confidentiel. Instantané. Sécurisé. Zéro intermédiaire. 100 % Made in France.

Des cibles bien choisies, une attribution floue

Meta, maison‑mère de WhatsApp, a confirmé que la vulnérabilité avait été utilisée lors d’attaques réelles. L’entreprise a envoyé des notifications à certains utilisateurs ciblés, comme le prévoit sa politique de transparence. Amnesty International, qui suit régulièrement l’usage des logiciels espions contre les acteurs de la société civile, a confirmé avoir identifié plusieurs victimes potentielles. Parmi elles, des journalistes, des chercheurs et des membres d’organisations non gouvernementales.

La nature des cibles laisse peu de doute : il s’agit d’une campagne de surveillance avancée. Et bien que l’origine exacte de l’attaque n’ait pas encore été révélée, les analystes convergent vers une piste familière : l’usage de spyware commercial, probablement d’origine étatique. Ces outils, souvent vendus à des gouvernements sous couvert de sécurité nationale, sont régulièrement détournés à des fins de surveillance illégitime.

Les campagnes précédentes ont montré que les logiciels espion comme Pegasus ou Predator utilisent exactement ce type de vulnérabilités : zero‑click, multi‑plateformes, orientées interception. Rien ne permet d’affirmer que l’un de ces noms est impliqué ici, mais la logique, elle, ne change pas.

Correctifs déployés, mais la prudence reste de mise

WhatsApp a rapidement comblé la faille. La version 2.25.21.73 pour iOS, déployée le 28 juillet, intègre le correctif principal. WhatsApp Business, quant à lui, a reçu une mise à jour le 4 août (version 2.25.21.78), tout comme l’application macOS. Ces correctifs sont essentiels, mais ne suffisent pas à effacer les conséquences d’une compromission.

Les experts en sécurité recommandent aux utilisateurs concernés — ou suspectant avoir été ciblés — d’effectuer une réinitialisation complète de leur appareil aux paramètres d’usine. Cette mesure radicale est souvent la seule capable de déloger un spyware implanté profondément dans le système.

La vulnérabilité n’a été exploitée qu’en conjonction avec des versions spécifiques d’iOS, et les appareils mis à jour seraient désormais protégés. Mais l’incident rappelle la complexité croissante de la menace : ce ne sont plus des failles isolées, mais des chaînes de vulnérabilités interconnectées, conçues pour frapper vite et rester invisibles. Et surtout, la question fondamentale demeure : quelle structure est derrière cette attaque ciblée ? Et combien d’autres failles attendent, silencieusement, dans le code ?

L’exploitation de CVE‑2025‑55177 n’est pas qu’une alerte technique. C’est une démonstration de force. Elle prouve que, même dans les applications les plus surveillées, des failles critiques subsistent. Et qu’elles sont activement exploitées par des entités capables, organisées, et patientes.

Si les correctifs sont essentiels, ils n’empêchent pas les dégâts. La confiance dans la technologie repose sur un équilibre fragile, que chaque vulnérabilité zero‑click érode un peu plus. Et pendant que les patchs se diffusent, les attaquants, eux, peaufinent déjà leur prochaine méthode.

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

Snake : un faux document militaire pour piéger l’aérospatiale

Un keylogger avancé se cache dans un faux fichier officiel turc. La Turquie, et son industrie de défense, sont visées. Snake frappe sans alerter l’utilisateur.

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

 

Une campagne de phishing ciblé, sophistiquée et discrète, frappe les entreprises turques de l’aérospatiale et de la défense. Déguisé en document Excel légitime de Turkish Aerospace Industries, le fichier malveillant déploie Snake, un keylogger furtif qui échappe à Windows Defender, collecte des données sensibles depuis les navigateurs et les clients mail, et exfiltre le tout via un serveur SMTP frauduleux. La charge secondaire “Remington”, injectée en mémoire, est déployée par l’outil Chiron. La Turquie répond par une signature YARA spécifique et une mobilisation coordonnée de l’équipe USOM. L’incident illustre le niveau de sophistication croissant des outils d’espionnage numérique dans un secteur où chaque frappe peut coûter cher.

Une attaque invisible dans un faux costume officiel

C’est un fichier anodin qui arrive dans une boîte mail. Une pièce jointe au format .xlsx.exe, déguisée en document commercial de Turkish Aerospace Industries. Rien d’alarmant au premier regard. Mais dès son ouverture, le piège se referme. Snake, un keylogger furtif (il intercepte les frappes clavier), s’installe dans le système, modifie les paramètres de sécurité de Windows Defender via PowerShell, et se dissimule dans une tâche planifiée exécutée à chaque démarrage.

Le stratagème repose sur une ingénierie sociale soignée. L’attaque cible uniquement des profils liés à l’industrie turque de la défense et de l’aérospatiale. Chaque message semble personnalisé, chaque expéditeur crédible. Le malware Snake s’installe silencieusement et donne l’impression d’être un utilitaire inoffensif, comme une calculatrice de température. En réalité, c’est un outil d’espionnage de nouvelle génération, chargé en mémoire de manière dynamique, sans laisser de traces classiques sur le disque.

Snake et Remington : un duo d’intrusion redoutable

Une fois en place, Snake commence son travail de collecte. Il cible les navigateurs les plus courants — Chrome, Firefox, Edge, Brave — et siphonne logins, cookies, données de formulaire, historiques, informations de cartes bancaires. Mais il ne s’arrête pas là. Snake explore également les clients de messagerie, déchiffrant les identifiants d’Outlook, Thunderbird ou Fox Mail grâce à l’analyse du registre Windows et des fichiers de stockage locaux.

La deuxième phase de l’attaque est tout aussi discrète. Baptisée Remington, cette charge complémentaire est injectée via l’outil Chiron, souvent utilisé pour encapsuler des fichiers .NET protégés. Elle agit en mémoire, sans être écrite sur le disque, évitant ainsi les antivirus traditionnels. L’ensemble de l’opération repose sur une architecture offensive modulaire, où chaque brique est conçue pour rester invisible.

 

⏳ Jusqu’où tolérerez-vous d’être piraté ?

CTI ZATAZ – Scannez les menaces vous concernant avant qu’il ne soit trop tard.

✅ Scanner mes risques

Confidentiel. Instantané. Sécurisé. Zéro intermédiaire. 100 % Made in France.

L’exfiltration des données se fait par SMTP, un choix inhabituel qui permet d’éviter certains pare-feu ou proxies. Le domaine utilisé (htcp.homes) se présente comme anodin, mais les identifiants de connexion au serveur sont intégrés dans le binaire, chiffrés à l’aide de l’algorithme DES. Une méthode ancienne mais suffisante pour dissuader les analyses automatisées.

La Turquie riposte, mais la menace persiste

Face à la menace, les autorités turques réagissent vite. L’équipe nationale USOM (équivalent turc du CERT) coordonne la réponse technique. Une règle YARA est diffusée pour identifier les fichiers .NET contenant les signatures spécifiques à Snake. Cette détection repose sur des caractéristiques uniques : noms de classes, flux d’injection mémoire, chaînes d’encodage base64 internes.

Mais au-delà de la réponse immédiate, c’est la stratégie défensive des secteurs sensibles qui est questionnée. Le niveau de sophistication de cette campagne montre que les attaquants disposent de moyens significatifs, d’un ciblage précis et d’un savoir-faire avancé dans la furtivité. Le fichier malveillant ne visait pas la masse, mais des postes clés, probablement techniques ou décisionnels.

Ce type d’attaque pourrait être une étape d’une opération plus large : infiltration, reconnaissance, préparation d’une compromission durable ou d’un vol massif de données stratégiques. Dans un contexte de tensions régionales et d’accélération de la compétition technologique, chaque fuite peut faire pencher l’équilibre d’un marché ou d’un programme militaire.

L’attaque menée par Snake n’a rien de classique. Elle est chirurgicale, modulaire, silencieuse. Elle témoigne d’une évolution préoccupante des malwares d’espionnage dans les secteurs de haute valeur technologique. Ce que révèle cette campagne, ce n’est pas seulement la vulnérabilité d’une infrastructure, mais celle d’un écosystème humain, où le faux sentiment de légitimité d’un document peut suffire à compromettre un projet entier.

La question reste ouverte : combien de fichiers de ce type circulent actuellement, en sommeil dans les messageries, attendant l’ouverture d’un clic trop confiant ?

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

Pékin accuse Nvidia : soupçons de backdoors dans les puces IA H20

Nvidia dans le viseur de la Chine : Pékin suspecte ses puces IA H20 d’abriter des backdoors, ravivant la guerre technologique sur fond de cybersurveillance mondiale.

 

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

 

La Chine vient d’interpeller Nvidia, géant américain des semi-conducteurs, au sujet de présumés backdoors dans ses puces H20 destinées à l’intelligence artificielle locale. Pékin s’appuie sur de nouvelles lois sur la cybersécurité pour exiger transparence et garanties techniques, tandis que Washington impose, de son côté, des restrictions et des mécanismes de contrôle dans les puces exportées. Cet épisode cristallise la montée en puissance des tensions entre les deux superpuissances numériques, où la sécurité, la souveraineté et la capacité de renseignement s’entremêlent. Retour sur les dessous d’un affrontement qui redéfinit les équilibres du cyberespace mondial.

L’ombre du renseignement : Pékin convoque Nvidia

Au matin du 31 juillet 2025, une rumeur parcourt les couloirs feutrés des grandes universités technologiques de Pékin. Dans un communiqué solennel, la Cyberspace Administration of China (CAC), autorité suprême du cyberespace, annonce avoir convoqué l’un des plus puissants fabricants mondiaux de puces d’intelligence artificielle : Nvidia.

La raison officielle ? La présence de « vulnérabilités de sécurité sérieuses » – des backdoors selon l’administration – dans les puces H20, version modifiée et bridée, spécialement conçue pour satisfaire aux exigences américaines en matière d’exportation vers la Chine.

Derrière la formule administrative, la réalité est bien plus explosive. Car depuis 2023, le secteur mondial des semi-conducteurs est l’objet de toutes les tensions, chaque acteur jouant une partie d’échecs à très haut risque, où chaque mouvement peut avoir des conséquences stratégiques majeures.

Washington, dans une course effrénée à la suprématie technologique, a multiplié les restrictions à l’exportation, craignant que ses technologies ne viennent renforcer la puissance militaire et cybernétique chinoise. Mais la diplomatie du silicium ne se limite pas à un simple jeu de barrières douanières. Depuis quelques mois, la législation américaine va plus loin : avec le Chip Security Act, toute puce IA exportée doit embarquer des fonctions de traçage GPS, de localisation et de coupure à distance.

Pour Pékin, c’est une déclaration de guerre numérique à peine voilée.

La cyberguerre dans le silicium : l’art du soupçon et de la riposte

La convocation de Nvidia par les autorités chinoises n’est pas un geste isolé. Elle s’inscrit dans une stratégie globale, où la souveraineté numérique est devenue une priorité nationale. La Chine, qui ne cesse de rappeler son attachement à la « cybersécurité et à la protection des données des utilisateurs », applique strictement ses lois : Cybersecurity Law, Data Security Law et Personal Information Protection Law.

Au centre de l’enquête, une question : les puces H20, qui font tourner nombre d’algorithmes d’intelligence artificielle en Chine, sont-elles vraiment sûres ?

En creux, la peur d’un sabotage à distance. Si les puces américaines comportent effectivement des modules de tracking ou de télécommande, Washington pourrait, en cas de crise, désactiver à volonté une partie de l’infrastructure numérique chinoise. Un scénario digne de la cyberguerre froide, mais qui devient, à la lumière des technologies actuelles, de plus en plus crédible.

La réponse de Nvidia ne s’est pas fait attendre. L’entreprise, par la voix d’un de ses porte-paroles, nie toute présence de backdoor : « La cybersécurité est essentielle pour nous. Nvidia ne place aucune porte dérobée dans ses puces permettant un accès ou un contrôle à distance par un tiers. »

Mais la défiance est tenace, et pour cause : dans le même temps, le marché noir s’empare du sujet. Selon les estimations, pour plus d’un milliard de dollars (environ 920 millions d’euros) de puces Nvidia, parfois des modèles officiellement bannis comme les B200, H10 ou H200, auraient trouvé leur chemin vers la Chine via des circuits parallèles. Kits complets, racks prêts à l’emploi, tout s’arrache sous le manteau – preuve que le besoin de puissance de calcul reste insatiable, quelles que soient les réglementations.

Sécurité nationale, souveraineté et rivalité : le vrai visage de la crise

Ce bras de fer n’est pas qu’une affaire de technique : il symbolise la nouvelle géopolitique du renseignement à l’ère de l’IA. En exigeant de Nvidia la remise de « preuves », de « documents techniques » et d’« explications détaillées », Pékin affiche sa volonté de contrôler la chaîne technologique, mais aussi de démontrer à ses propres acteurs économiques la nécessité d’une indépendance stratégique.

Les failles supposées des puces H20 ne sont en réalité que l’arbre qui cache la forêt. Car malgré les efforts de géants nationaux comme Huawei ou SMIC, la Chine reste encore dépendante, pour les applications de pointe, des technologies américaines. Le lancement du dernier notebook Huawei, salué comme une avancée nationale, a aussi révélé le retard technologique du pays – des générations entières de retard, difficilement comblables sans coopération internationale.

La bataille se joue également sur le terrain du renseignement : dans le cyberespace, tout composant étranger est désormais considéré comme une menace potentielle. L’incertitude est totale. Qui détient vraiment la clé du contrôle de ces puces ? Les circuits imprimés sont-ils de simples outils, ou des armes silencieuses, prêtes à être activées à distance ?

Pour Pékin, la réponse est claire : seule une maîtrise totale de la chaîne technologique, du design à la production, en passant par le contrôle des codes sources, permettra de garantir la sécurité nationale. En attendant, la Chine redouble d’efforts pour stimuler son industrie, investir massivement dans la recherche et l’innovation, et limiter sa dépendance à l’Occident.

Mais la tâche est titanesque. Face à une Silicon Valley toujours à la pointe, les ambitions chinoises se heurtent à des décennies de domination américaine. Le feuilleton des puces Nvidia H20 n’est qu’un épisode de plus dans une série au long cours : celle de la conquête, puis de la sécurisation, du cyberespace mondial.