NewsLetter RadioCSIRT N°34

octobre 25, 2025 marc Newsletter RadioCSIRT Commentaires fermés sur NewsLetter RadioCSIRT N°34

🎧 RadioCSIRT – La newsletter cyber hebdo du Podcast RadioCSIRT RadioCSIRT

Bonjour à toutes et à tous,

J’espère que vous allez bien ?

Cette semaine marque une intensification de menaces variées et opérationnellement significatives, allant d’exfiltrations de code source attribuées à des acteurs étatiques à des compromissions massives de données personnelles et à l’émergence de nouveaux vecteurs d’attaque ciblant des composants bas niveau.

Plusieurs campagnes et divulgations récentes démontrent simultanément la persistance des attaques contre les chaînes de développement et la montée en puissance d’outils d’automatisation (LLM) dans la collecte et la corrélation de renseignements avec des risques documentés d’erreurs d’attribution et d’hallucinations.

Reprenons quelques faits saillants

  • Technique « Denial of Fuzzing » : Check Point Research décrit une méthode ciblant des composants Rust du noyau Windows destinée à contourner les moteurs de fuzzing et à masquer des conditions de course/mémoires corrompues. Microsoft a ouvert une enquête et relance les contrôles des pipelines de test automatisés. Corrélations possibles avec des CVE récentes sont signalées.
  • Fuite de données Prosper Marketplace : incident affectant ~17 millions de comptes. Données exposées incluent informations personnelles et fragments d’identifiants financiers ; l’origine provient d’une erreur de configuration sur un service cloud tiers. Risque élevé de phishing et usurpation d’identité de masse.
  • Exfiltration de code F5 : Unit42 attribue à un acteur soutenu par un État l’exfiltration d’éléments du code source BIG-IP, affectant potentiellement l’exploitation ciblée d’infrastructures critiques. La CISA demande des audits d’urgence.
  • Vulnérabilités hautement exploitables : plusieurs avis CERT-FR portent sur des vulnérabilités critiques (Linux PAM avec exploit public, TP-Link Omada, Oracle Java/MySQL/Database/PeopleSoft/WebLogic, MySQL, Xen, BIND, GitLab, Atlassian) et des ajouts récents au catalogue KEV de la CISA.
  • Compromissions d’instances logicielles et sites officiels : compromission du site Xubuntu pour diffusion de malwares Windows ; campagnes massives de smishing et réseau malveillant sur YouTube diffusant infostealers.
  • Intelligence augmentée et risques associés : usage opérationnel des LLM pour structurer la CTI, extraire IOCs et corréler données. Benchmarks universitaires (ExCyTIn-Bench) montrent des performances limitées des agents LLM en investigation, et la nécessité d’un contrôle humain strict (Human-in-the-Loop) pour éviter hallucinations et fuites de données.

Impacts opérationnels et risques immédiats

  • Exposition accélérée des environnements de développement : code source volé augmente le risque d’attaques ciblées contre déploiements en production, nécessitant audits de supply chain et revue des secrets/offboarding.
  • Exploitation active de vulnérabilités : présence d’exploits publics pour Linux PAM et autres composants critiques augmente le risque d’élévation de privilèges et de compromission locale étendue.
  • Risque réputationnel et légal : fuite de 17 M de comptes entraîne obligations réglementaires et potentiels préjudices pour les victimes — nécessité de coordination avec autorités et communication contrôlée.
  • Automatisation CTI : gains d’efficacité potentiels, mais risques d’injection d’indicateurs erronés dans outils (MISP, OpenCTI) et d’actions automatisées sur la base d’IOCs non vérifiés.

Les priorités recommandées (quelques actions concrètes)

  1. La réponse immédiate (0–72 h)
    • Vérifier la présence d’exploits publics applicables aux versions en production (Linux PAM, Tenable Identity, TP-Link Omada, F5/BIG-IP) et appliquer les correctifs critiques ou mitigations temporaires.
    • Lancer des audits ciblés sur les contrôles d’accès des environnements de développement et des référentiels source ; révoquer clés et tokens suspects, forcer rotations pour secrets exposés.
    • Renforcer détection et règles de prévention sur signatures d’infostealers et smishing (IOC partagés), étendre surveillance des logs pour tentatives d’abus OAuth et comptes d’administration dormants.
  2. La réponse à Court terme (72 h – 2 semaines)
    • Réaliser un assessment de la supply chain logicielle et des environnements CI/CD (revue des accès, journalisation, intégrité des artefacts).
    • Mettre en place des playbooks d’investigation pour faux positifs et hallucinations liées aux outils LLM ; exiger revue humaine avant toute injection d’IOC en production.
    • Communiquer avec vos fonctions juridiques et communication internes sur les incidents de fuite de données, préparer notices et actions requises pour/par des régulateurs quand applicable.
  3. et enfin la réponse à moyen terme (2–12 semaines)
    • Plan de durcissement des tests automatisés et fuzzing : ajouter instrumentation, logs renforcés et canaux d’alerte pour anomalies non reproductibles (réponse à la technique « Denial of Fuzzing »).
    • Déployer processus de threat hunting focalisé sur artefacts post-exfiltration (recherche de signes d’abus du code volé) et renforcer segmentation réseau des environnements de dev.
    • Formaliser gouvernance d’usage des LLM en CTI : zones de test, contrôles d’accès, chiffrement des prompts, et auditabilité des sorties.

Ma conclusion
La semaine met en évidence la conjonction de trois dynamiques : divulgations de vulnérabilités critiques avec exploitation active, attaques ciblant la chaîne de développement et les environnements de collaboration, et adoption croissante d’outils d’intelligence augmentée qui exigent une supervision rigoureuse. Les priorités immédiates sont le confinement des failles exploitables et la sécurisation des pipelines de développement ; à moyen terme, l’attention doit se porter sur la gouvernance d’usage des LLM et la résilience de la supply chain logicielle.

Bref, une belle semaine de plus au paradis de la Cyber !

Marc Frédéric GOMEZ

🔎 À lire cette semaine sur mon blog

Je vous propose une nouvelle sélection de mes derniers articles publiés sur mon blog.

🔹 Enjeux de gouvernance liés à l’adoption de l’open source dans les services financiers
👉 Lire : https://blog.marcfredericgomez.fr/enjeux-de-gouvernance-lies-a-ladoption-de-lopen-source-dans-les-services-financiers/

🎙 Récapitulatif des épisodes du podcast de la semaine (Ep.458 au 464)

Du samedi 18 octobre au vendredi 24 octobre 2025

📅 Podcast RadioCSIRT du samedi 18 octobre 2025 (Ep.458)

📌 Au programme aujourd’hui :

🦀 Windows Kernel — Attaque “Denial of Fuzzing” dans le code Rust
Check Point Research révèle une nouvelle technique ciblant les composants Rust intégrés au noyau Windows.
L’attaque, baptisée Denial of Fuzzing, permet de contourner les protections du moteur de fuzzing pour masquer des conditions de course et des corruptions mémoire.
Microsoft a confirmé l’enquête en interne et recommande de renforcer la surveillance des tests automatisés Rust pour détecter des anomalies non reproductibles.
👉 Une démonstration de la méthode a été publiée avec preuves de concept et corrélations possibles avec les récentes failles CVE-2025-59230 et CVE-2025-47827.

💳 Prosper Marketplace — Fuite de données de 17 millions de personnes
Le prêteur en ligne américain Prosper Marketplace a signalé une brèche affectant près de 17 millions de comptes clients.
Les données exposées comprennent noms, adresses postales, e-mails, numéros de téléphone et fragments d’identifiants financiers.
L’incident, lié à une erreur de configuration sur un service cloud tiers, pourrait faciliter des campagnes massives de vol d’identité et de phishing ciblé.
Les autorités fédérales et la FTC ont été saisies.

⚙️ Malwarebytes — Migration stratégique vers WordPress
Les ingénieurs de Malwarebytes détaillent les raisons techniques du choix de WordPress comme CMS principal.
Le passage vise à renforcer la modularité, la rapidité de déploiement et l’intégration de flux Threat Intelligence automatisés.
Ce retour d’expérience éclaire la gestion d’un environnement de haute sécurité basé sur un CMS open source, avec durcissement, CI/CD et politiques d’isolation réseau strictes.

🔐 Microsoft — Vague d’attaques par compromission d’identité
Microsoft alerte sur une hausse marquée des compromissions d’identité dans les environnements cloud.
Les attaquants exploitent des tokens OAuth valides et des comptes d’administration dormants pour accéder aux portails Entra ID et Azure AD.
Le rapport met en évidence une corrélation avec les campagnes récentes utilisant des outils de red teaming détournés (Storm-1975, Octo Tempest).
👉 Microsoft recommande l’audit complet des permissions OAuth et la rotation immédiate des clés d’application inactives.

🔥 F5 Networks — Code source exfiltré par un acteur étatique
Unit42 confirme qu’un acteur étatique a volé une partie du code source de la plateforme BIG-IP lors d’une compromission de longue durée.
L’opération, attribuée à un groupe soutenu par un État, a visé les environnements de développement internes et permis l’accès à des informations sur des vulnérabilités non publiées.
Cette compromission pourrait servir à des attaques ciblées contre des infrastructures critiques utilisant les produits F5.
👉 L’enquête reste en cours, et la CISA a publié une directive d’urgence demandant un audit complet des installations concernées.

📚 Sources :
https://research.checkpoint.com/2025/denial-of-fuzzing-rust-in-the-windows-kernel/
https://www.malwarebytes.com/blog/news/2025/10/prosper-data-breach-puts-17-million-people-at-risk-of-identity-theft
https://www.malwarebytes.com/blog/inside-malwarebytes/2025/10/under-the-engineering-hood-why-malwarebytes-chose-wordpress-as-its-cms
https://therecord.media/microsoft-warns-of-surge-identity-hacks-passwords
https://unit42.paloaltonetworks.com/nation-state-threat-actor-steals-f5-source-code/

📅 Podcast RadioCSIRT du dimanche 19 octobre 2025 (Ep.459)

📌 Au programme aujourd’hui :

➡️ Comment les grands modèles de langage (LLM) transforment la Cyber Threat Intelligence.
➡️ Extraction automatisée d’IOCs à partir de rapports techniques (CERT-FR, Mandiant, etc.).
➡️ Corrélation augmentée : comment GPT-4, Claude 3 ou Llama 3 aident à contextualiser les menaces.
➡️ Les dérives possibles : hallucinations, fuites de données, biais d’attribution.
➡️ Pourquoi la CTI de demain sera augmentée, pas automatisée.

🧩 Concrètement :

Les CERT, CSIRT et SOC explorent désormais les capacités des LLM pour accélérer :

  • la structuration des rapports techniques non standardisés,
  • la corrélation d’indicateurs via OpenCTI, MISP
  • et la détection des patterns faibles dans les logs et menaces émergentes.

Mais attention :
➡️ Un LLM n’a aucune conscience du risque.
➡️ Il peut inventer des IOC inexistants.
➡️ Et il ne doit jamais être connecté à des données sensibles sans contrôle humain.

C’est toute la philosophie du Human-in-the-Loop :

📚 Sources :

📅 Podcast RadioCSIRT du lundi 20 octobre 2025 (Ep.460)

📌 Au programme aujourd’hui :

🧠 ExCyTIn-Bench — Évaluation des agents LLM en investigation cyber
Des chercheurs de Microsoft et de plusieurs universités publient ExCyTIn-Bench, le premier benchmark destiné à mesurer la capacité des agents basés sur des LLM à mener des investigations de menaces.
Le jeu de données s’appuie sur un environnement Azure contrôlé avec huit attaques multi-étapes simulées, 57 tables de logs issues de Microsoft Sentinel et 589 questions automatisées.
Les résultats indiquent une difficulté notable : le score moyen obtenu par les modèles est de 0,249, le meilleur atteignant 0,368.
👉 Code et données seront publiés prochainement.

🧩 CERT-FR — Vulnérabilité critique dans Linux PAM
Le CERT-FR publie l’avis CERTFR-2025-AVI-0889 concernant une vulnérabilité dans Linux Pluggable Authentication Modules (PAM).
Cette faille permet une élévation locale de privilèges et est exploitée via un module de gestion d’authentification mal configuré.
Un code d’exploitation (Proof of Concept) est déjà disponible, augmentant le risque d’exploitation active.
👉 Les correctifs sont en cours de diffusion dans les distributions concernées.

📡 Décret français — Conservation massive des données télécoms
Le ministre des Armées Sébastien Lecornu signe un décret validant la conservation de masse des données de connexion par les opérateurs télécoms.
Cette mesure vise à renforcer les capacités de traçabilité pour la sécurité nationale et la lutte contre le terrorisme.
Elle officialise la possibilité pour les opérateurs de stocker les métadonnées des communications pendant une période prolongée.

🐧 Linux PAM — Exploit public disponible
Des chercheurs en sécurité publient un exploit fonctionnel pour la vulnérabilité Linux PAM.
L’attaque permet à un utilisateur local d’obtenir des privilèges root sur plusieurs distributions Linux non corrigées.
Les exploitations reposent sur des appels système détournés via le module pam_unix.so.
👉 L’exploitation est considérée comme triviale sur les versions affectées.

🐉 Cyberespionnage — Pékin accuse la NSA
Les autorités chinoises affirment avoir découvert des preuves irréfutables d’attaques menées par la NSA américaine contre le système de temps officiel chinois.
Les attaques auraient ciblé la Time Authority nationale, un service critique utilisé pour la synchronisation sécurisée d’infrastructures gouvernementales et industrielles.
Les investigations sont menées par le National Computer Virus Emergency Response Center (CVERC) et l’équipe Qi An Pangu Lab, déjà connue pour ses analyses de campagnes liées à Equation Group.

📚 Sources :
https://arxiv.org/abs/2507.14201
https://www.cert.ssi.gouv.fr/avis/CERTFR-2025-AVI-0889/
https://www.clubic.com/actualite-583825-sebastien-lecornu-signe-un-decret-qui-valide-la-conservation-de-masse-des-donnees-par-les-operateurs-telecoms.html
https://cybersecuritynews.com/poc-exploit-linux-pam-vulnerability/
https://securityaffairs.com/183619/intelligence/china-finds-irrefutable-evidence-of-us-nsa-cyberattacks-on-time-authority.html

📅 Podcast RadioCSIRT du mardi 21 octobre 2025 (Ep.461)

📌 Au programme aujourd’hui :
🦠 Xubuntu piraté pour diffuser des malwares Windows
Le site officiel de Xubuntu a été compromis durant le week-end pour distribuer des malwares ciblant les utilisateurs Windows. L’attaque a exploité un accès non autorisé pour injecter des fichiers malveillants.

⚠️ CISA ajoute cinq vulnérabilités exploitées à son catalogue
La CISA a ajouté cinq vulnérabilités récemment exploitées à son catalogue, soulignant des risques critiques pour des produits largement utilisés. Ces failles touchent des systèmes essentiels pour la cybersécurité.

🛡️ CERT-FR — Vulnérabilité Tenable Identity
Le CERT-FR a publié l’avis CERTFR-2025-AVI-0897 concernant une vulnérabilité critique dans Tenable Identity, permettant une escalade de privilèges. Un patch est disponible pour remédier à ce problème.

🕵️‍♂️ NSO interdit d’exploiter Pegasus contre les utilisateurs WhatsApp
NSO Group a été définitivement banni de cibler les utilisateurs WhatsApp avec son logiciel espion Pegasus après une décision judiciaire importante.

💣 Fuite de données sensibles des bases militaires britanniques
Le groupe russe Lynk a divulgué des documents sensibles du ministère britannique de la Défense, incluant des informations sur huit bases militaires.

🔓 Violation de sécurité F5 expose 262 000 systèmes Big-IP
Une nouvelle faille dans F5 a exposé plus de 260 000 systèmes Big-IP à travers le monde, mettant en danger des infrastructures critiques.

🔌 Microsoft résout un problème de récupération USB sous Windows
Microsoft a corrigé un problème critique qui rendait la fonction de récupération Windows inutilisable pour les utilisateurs de périphériques USB.

📚 Sources:

📅 Podcast RadioCSIRT du mercredi 22 octobre 2025 (Ep.462)

📌 Au programme aujourd’hui :

🔴 TP-Link : Faille critique dans les passerelles Omada
TP-Link alerte sur deux vulnérabilités d’injection de commandes dans ses passerelles Omada. La CVE-2025-6542 (CVSS 9.3) est exploitable à distance sans authentification sur 13 modèles. Des correctifs sont disponibles.

🛡️ CERT-FR — Oracle Java SE (AVI-0906)
Le CERT-FR signale 16 vulnérabilités dans Oracle Java SE touchant les versions 8 à 25 ainsi que GraalVM. Ces failles permettent l’exécution de code arbitraire à distance. Correctifs disponibles dans le CPU octobre 2025.

🛡️ CERT-FR — Oracle MySQL (AVI-0907)
28 CVE identifiées dans Oracle MySQL touchant les versions 8.0 à 9.4. Risques d’exécution de code arbitraire et de compromission des données. Correctifs dans le CPU octobre 2025.

🛡️ CERT-FR — Oracle Database Server (AVI-0905)
14 vulnérabilités dans Oracle Database Server versions 19.3 à 23.9. Composants Java VM, RDBMS et SQLcl affectés. Exécution de code arbitraire possible.

🛡️ CERT-FR — Oracle PeopleSoft (AVI-0908)
24 CVE dans PeopleSoft Enterprise et PeopleTools version 8.62. Risques d’exécution de code arbitraire et d’atteinte à la confidentialité. Correctifs CPU octobre 2025.

🛡️ CERT-FR — Oracle WebLogic (AVI-0911)
Quatre vulnérabilités dans WebLogic versions 12.2.1.4.0, 14.1.1.0.0 et 14.1.2.0.0. Risques de déni de service et d’atteinte à la confidentialité. Correctifs disponibles.

🛡️ CERT-FR — Oracle Virtualization (AVI-0910)
Neuf CVE dans VirtualBox versions 7.1.12 et 7.2.2. Exécution de code arbitraire et compromission des données possibles. Mises à jour publiées.

🛡️ CERT-FR — Oracle Systems (AVI-0909)
17 vulnérabilités dans Solaris Cluster v4, Solaris v11 et ZFS Storage Appliance Kit v8.8. Exécution de code arbitraire à distance possible.

🛡️ CERT-FR — GitLab (AVI-0904)
Sept vulnérabilités dans GitLab CE et EE versions 18.3.x à 18.5.x. Déni de service et contournement de politique de sécurité. Mise à jour vers 18.4.3, 18.5.1 ou 18.3.5.

🛡️ CERT-FR — Produits Atlassian (AVI-0903)
Six CVE dans Confluence et Jira. Multiples versions touchées. Risques de déni de service et d’atteinte à l’intégrité. Treize bulletins publiés le 21 octobre.

🛡️ CERT-FR — Xen (AVI-0902)
Deux vulnérabilités dans Xen versions 4.17.x à 4.20.x. Élévation de privilèges et atteinte à la confidentialité possibles. Correctifs xsa475 disponibles.

🛡️ CERT-FR — Google Chrome (AVI-0901)
Vulnérabilité non spécifiée (CVE-2025-12036) dans Chrome. Mise à jour disponible vers la version 141.0.7390.122 ou .123.

🛡️ CERT-FR — SolarWinds Observability (AVI-0912)
Injection SQL (CVE-2025-26392) dans Observability Self-Hosted versions antérieures à 2025.4. Correctif publié le 21 octobre.

📚 Sources:

📅 Podcast RadioCSIRT du jeudi 23 octobre 2025 (Ep.463)

📌 Au programme aujourd’hui :

🕵️ YouTube Ghost Network — Check Point Research
Découverte d’un réseau coordonné de diffusion de malwares sur YouTube.
Plus de 3 000 vidéos malveillantes identifiées, diffusant principalement les infostealers Lumma et Rhadamanthys via des comptes compromis.

💀 SessionReaper — Magento / Adobe Commerce
La faille CVE-2025-54236 permet la prise de contrôle de sessions et de serveurs Magento.
Bien que corrigée le 9 septembre, 62 % des sites restent vulnérables.
Plus de 250 boutiques compromises signalées en 24 heures.

🎯 Cavalry Werewolf — Espionnage ciblé contre la Russie
Le groupe Cavalry Werewolf (alias YoroTrooper) a mené une campagne d’espionnage entre mai et août 2025 contre des agences et industries russes.
Les attaques utilisent de faux courriels kirghizes et les malwares FoalShell et StallionRAT.

📱 Smishing Triad — Campagne mondiale de smishing
Une opération mondiale de phishing par SMS attribuée au Smishing Triad.
Plus de 194 000 domaines recensés, imitant des services tels que USPS, IRS, DHL ou E-ZPass.
Campagne hautement décentralisée, avec des domaines éphémères et une infrastructure hébergée sur des clouds américains.

📚 Sources :
https://research.checkpoint.com/2025/youtube-ghost-network/
https://www.malwarebytes.com/blog/news/2025/10/thousands-of-online-stores-at-risk-as-sessionreaper-attacks-spread
https://therecord.media/hackers-pose-kyrgyz-officials-russia-cyber-espionage
https://unit42.paloaltonetworks.com/global-smishing-campaign/

📅 Podcast RadioCSIRT du Vendredi 24 octobre 2025 (Ep.464)

📌 Au programme aujourd’hui :

🛰️ VMScape — Faille critique entre VM et hôte Linux
La faille CVE-2025-40300 permet à une machine virtuelle malveillante de fuiter des données du système hôte via le prédicteur de branchement CPU. Les processeurs AMD Zen 1 à 5 et Intel Skylake à Alder Lake sont concernés.

⚙️ SchedCP — Des agents IA pour optimiser le noyau Linux
Le projet SchedCP utilise des agents LLM pour ajuster automatiquement les politiques du planificateur via eBPF, améliorant performances et latence du système.

🧩 ISC BIND — Vulnérabilités critiques corrigées
Trois failles (CVE-2025-40778, 40780 et 8677) exposent à un déni de service et à un contournement de politique de sécurité.
Des correctifs sont disponibles dans les versions 9.20.15, 9.21.14 et 9.18.41.

🚨 CISA — Nouvelle faille activement exploitée
La CVE-2025-61932 affectant Motex LANSCOPE Endpoint Manager a été ajoutée au catalogue KEV.
Une vulnérabilité exploitée activement liée à la vérification du canal de communication.

💻 Hack4Values — Des hackeurs au service des ONG
À Bercy, des chercheurs bénévoles soutiennent les ONG humanitaires pour renforcer leur cybersécurité.
Un bug bounty solidaire soutenu par le Campus Cyber, Cybermalveillance.gouv.fr et le Cesin.

💰 Pwn2Own Ireland 2025 — 56 failles pour 792 750 $
La deuxième journée du concours a révélé 56 0-days.
The Summoning Team prend la tête avec une attaque réussie sur le Samsung Galaxy S25.

🛰️ Doom dans l’espace — Le jeu culte tourne sur un satellite
Le développeur Ólafur Waage, avec l’appui de l’ESA, a exécuté Doom à bord du satellite OPS-SAT sous Ubuntu 18.04, démontrant la robustesse du code open source.

📚 Sources :
https://www.linuxjournal.com/content/vmscape-cracking-vm-host-isolation-speculative-execution-age-how-linux-patches-respond
https://www.linuxjournal.com/content/self-tuning-linux-kernels-how-llm-driven-agents-are-reinventing-scheduler-policies
https://www.cert.ssi.gouv.fr/avis/CERTFR-2025-AVI-0913/
https://www.cisa.gov/news-events/alerts/2025/10/22/cisa-adds-one-known-exploited-vulnerability-catalog
https://www.zdnet.fr/actualites/pour-muscler-la-cybersecurite-des-ong-des-hackeurs-ethiques-se-donnent-rendez-vous-a-bercy-483882.htm
https://securityaffairs.com/183792/hacking/pwn2own-day-2-organizers-paid-792k-for-56-0-days.html
https://www.zdnet.fr/actualites/comment-un-programmeur-a-reussi-a-installer-doom-sur-un-satellite-en-orbite-et-ce-quil-sest-passe-483905.htm