Chaque semaine, l’écosystème cyber évolue vite : nouvelles vulnérabilités, méthodes d’attaque plus sophistiquées, incidents opérationnels et mises à jour d’organismes publics. Voici un tour d’horizon clair des attaques et alertes les plus marquantes, afin de garder une vision d’ensemble du paysage des menaces.
Alerte CISA : une faille de type injection exploitée
La CISA a demandé aux agences civiles fédérales de prioriser la correction d’une vulnérabilité critique de Ray-Project Ray identifiée sous le code CVE-2025-62593. L’alerte a été renforcée car la faille figure désormais au catalogue des vulnérabilités connues pour être activement exploitées.
Selon les observations rapportées, des acteurs malveillants l’auraient déjà utilisée “dans la nature”. Un acteur analysé par BitSight, RondoDox, un botnet inspiré de Mirai, servirait à compromettre des équipements exposés, avec une diversité d’exploits mentionnée comme particulièrement élevée.
GitHub précise l’origine d’un bug repéré dans Actions
Un outil autonome développé par Wiz a identifié et exploité une faiblesse critique liée à un workflow GitHub Actions dans un dépôt public Snowflake. L’attaque permettait d’accéder sans autorisation à des éléments internes, notamment des tickets Jira.
Au départ, l’affaire avait été présentée comme une possibilité de code introduit par GitHub Copilot. Toutefois, GitHub a clarifié que l’extrait de code vulnérable était entièrement rédigé par un humain. L’objectif reste le même : corriger vite et mieux auditer les automatisations, même quand l’origine du problème n’est pas celle qui était supposée.
Threema subit un DDoS et met en place un filtrage en amont
Le fournisseur de messagerie chiffrée Threema a connu des perturbations de service après une série d’attaques DDoS ciblant son infrastructure ainsi que le partenaire d’hébergement (colocation). Les attaques auraient été menées de manière sophistiquée et sur la durée.
Pour stabiliser l’activité, l’entreprise a rapidement déployé un filtrage spécialisé en amont, visant à bloquer les requêtes malveillantes avant qu’elles n’atteignent les serveurs et n’en provoquent la surcharge.
Evooo1Bot : un botnet Linux modulable et orienté propagation
FortiGuard Labs suit désormais Evooo1Bot, un botnet Linux décrit comme très modulaire. Sa cible principale concerne des équipements directement accessibles depuis Internet.
La propagation s’appuierait sur l’exploitation de nombreuses vulnérabilités connues. Mais l’approche ne s’arrête pas à un DDoS “classique” : le dispositif est aussi doté de fonctionnalités de bruteforce SSH, de collecte d’identifiants et d’un module de relais SOCKS5. En pratique, cela peut transformer les machines compromises en nœuds proxy persistants au service des attaquants.
T-Mobile : coupure physique du câble pour interrompre une intrusion
Dans un cas au caractère très opérationnel, T-Mobile a mené une action physique pour stopper une intrusion active associée au groupe Salt Typhoon. L’incident remonterait à 2024 et s’inscrit dans une campagne d’espionnage plus large ayant touché plusieurs opérateurs majeurs américains.
Pour interrompre la communication d’un routeur compromis, des équipes auraient coupé le câble réseau du dispositif à l’aide de ciseaux dans un centre de données. Cette mesure, bien que radicale, illustre la réalité de certains environnements : lorsque l’intrusion est en cours, l’isolement physique peut devenir une option de survie.
TeamPCP revend une exfiltration importante chez Alation
Alation, un fournisseur de catalogues de données, confirme avoir subi une intrusion non autorisée dans son réseau interne. L’entreprise indique que l’accès a été découvert après un cyberincident récent.
De son côté, le groupe TeamPCP affirme publiquement être à l’origine de la compromission et déclare avoir exfiltré 73 Go de données sensibles. Même si les détails techniques varient selon les sources, la revendication rappelle l’importance de la surveillance des sorties de données et de la réponse aux incidents en temps utile.
Sakura Internet : une fuite potentielle de plus d’un million de dossiers
Le prestataire d’hébergement japonais Sakura Internet a identifié une violation de données dans son système de gestion des ventes. L’incident pourrait exposer des informations de contrat et d’adhésion pour jusqu’à 1,36 million d’utilisateurs.
La découverte aurait eu lieu pendant que les équipes de sécurité enquêtaient sur une infection malveillante distincte, ayant concerné seulement un sous-ensemble de comptes serveurs de location. Comme souvent, l’incident principal et les effets connexes peuvent être révélés au fil des investigations.
Medusa : exploitation rapide de failles récentes contre des infrastructures
Un avis conjoint (CISA, FBI et HHS) met en garde contre l’activité des affiliés associés au ransomware Medusa. Le signalement insiste sur un pattern : l’exploitation rapide de vulnérabilités nouvellement publiées pour compromettre des systèmes critiques.
Parmi les technologies ciblées figurent Fortra GoAnywhere et BeyondTrust. L’alerte signale aussi des évolutions dans la “boîte à outils” de contournement, notamment l’utilisation de Minidump pour la collecte de données d’identifiants et de Interactsh avec des URL dynamiques pour vérifier l’exploitation côté réseau. Les informations mentionnent que plus de 500 organisations liées aux infrastructures critiques auraient été touchées jusqu’à présent.
“Zombie Card” : une nouvelle attaque contre certains paiements sans contact
Les chercheurs académiques décrivent une attaque appelée Zombie Card qui contourne des vérifications cryptographiques pour finaliser des paiements sans contact à l’aide de cartes visa dont la date d’expiration est physiquement dépassée.
Le principe repose sur un relai smartphone permettant d’influencer l’information d’expiration transmise au terminal de paiement (POS). L’écart entre le matériel local et les systèmes de la banque émettrice serait exploité pour mener à bien une transaction.
Selon les résultats rapportés, l’attaque ne semblerait pas fonctionner avec Mastercard, American Express et Discover, et elle ne fonctionnerait pas de manière systématique sur toutes les banques. Visa n’aurait pas donné suite à une demande de commentaire adressée à SecurityWeek.
Crypto4A : module matériel post-quantique validé FIPS 140-3
Côté défense, une annonce positive concerne la validation de solutions matérielles pour la cryptographie post-quantique. Crypto4A se présente comme la première entreprise au monde à obtenir la validation FIPS 140-3 Level 3 pour un HSM prenant en charge tous les algorithmes post-quantique approuvés par NIST.
Le module nouvellement certifié (QASM) vise à fournir une base résistante aux altérations, conçue pour protéger des clés cryptographiques sensibles face aux risques associés aux capacités de calcul avancées futures.
Ce qu’il faut retenir : corriger vite, auditer et isoler
Pris ensemble, ces faits mettent en évidence plusieurs priorités concrètes. D’abord, les vulnérabilités font l’objet d’une exploitation rapide : les équipes doivent accélérer le correctif et renforcer la gestion des expositions. Ensuite, les attaques s’appuient de plus en plus sur des chaînes d’événements, de la découverte à la compromission et à l’exfiltration.
Enfin, quand l’intrusion est active, l’approche de réponse peut devoir être immédiate et pragmatique : isolation, filtrage en amont et contrôles renforcés. Garder une vue d’ensemble des attaques et alertes permet de mieux calibrer ces actions avant que le risque ne devienne incident.
