ThreatsDay Bulletin: WhatsApp Hijacks, MCP Leaks, AI Recon, React2Shell Exploit and 15 More Stories

Évolution des Menaces Cybernétiques : Nouvelles Tactiques et Vulnérabilités Exploités

Des escrocs internationaux ont été démantelés, ayant fraudé plus de 400 victimes à travers l’Europe pour plus de 10 millions d’euros grâce à des centres d’appels en Ukraine. Le Royaume-Uni envisage d’inciter Apple et Google à intégrer des filtres de détection de nudité par défaut sur les téléphones pour protéger les enfants.

Un nouveau logiciel malveillant, SantaStealer, est apparu, capable de voler des informations sensibles en mémoire et de contourner les protections des navigateurs comme Chrome. Les fournisseurs d’hébergement “bulletproof” continuent de prospérer malgré les efforts des forces de l’ordre, permettant aux acteurs malveillants de se déplacer rapidement. L’infrastructure de commande et de contrôle (C2) du projet DDoSia, lié aux hacktivistes russes, reste active avec une courte durée de vie moyenne des serveurs.

Une campagne de piratage de comptes WhatsApp, baptisée GhostPairing, utilise l’ingénierie sociale et l’abus de la fonction de liaison d’appareils légitime pour permettre à des attaquants d’accéder aux comptes. Des vidéos sur la plateforme russe RuTube sont utilisées pour distribuer des malwares déguisés en cheats pour Roblox.

Microsoft retire le chiffrement RC4 de Kerberos pour renforcer l’authentification Windows, le désactivant par défaut à partir de mi-2026. En Serbie, deux ressortissants chinois ont été arrêtés pour utilisation d’un IMSI catcher afin de collecter des informations de cartes bancaires via des SMS de phishing. Environ 1000 serveurs MCP (Model Context Protocol) sont exposés sur Internet sans autorisation, risquant de divulguer des données sensibles et de permettre le contrôle de clusters Kubernetes, l’accès à des CRM, l’envoi de messages WhatsApp et l’exécution de code à distance.

Une campagne de phishing, se faisant passer pour le département des impôts indiens, utilise des outils d’accès à distance légitimes comme LogMeIn Resolve pour prendre le contrôle des systèmes compromis. L’Inde a démantelé un réseau d’arnaque par SMS impliquant l’utilisation illégale de 21 000 cartes SIM pour envoyer des messages frauduleux. Un acteur APT russe cible les États baltes et les Balkans via une campagne de phishing visant à voler des identifiants.

De nouvelles attaques ClickFix exploitent de fausses vérifications CAPTCHA et des notifications de navigateur trompeuses pour déployer des malwares, y compris le RAT finger.exe et le DarkGate. Les acteurs malveillants abusent du service d’intégration d’applications de Google pour envoyer des e-mails de phishing à partir d’adresses @google.com authentiques, contournant ainsi les contrôles de sécurité. Des scans à grande échelle de dispositifs Modbus, utilisés pour contrôler la production d’énergie solaire, sont observés, avec un potentiel de prise de contrôle automatisée grâce à l’IA.

La vulnérabilité React2Shell (CVE-2025-55182) est activement exploitée pour distribuer divers malwares, y compris le ransomware Weaxor, marquant une évolution vers des attaques de cyberextorsion automatisées.

Points Clés:

• Évolution des Tactiques: Utilisation d’outils anciens sous de nouveaux angles, ingénierie sociale sophistiquée, exploitation de fonctionnalités légitimes.
• Diversité des Menaces: Escroqueries téléphoniques, vol d’informations, prise de contrôle de comptes, rançongiciels, attaques DDoS, cyberextorsion.
• Rôle de l’IA: L’IA est utilisée pour automatiser les reconnaissances et les exploitations, réduisant le temps nécessaire aux attaques.
• Exploitation Rapide: Les vulnérabilités sont exploitées rapidement après leur divulgation publique.

Vulnérabilités:

• CVE-2025-55182: Vulnérabilité React2Shell, exploitée pour distribuer divers malwares et rançongiciels.
• RC4: Ancien chiffrement de Kerberos jugé obsolète et vulnérable, retiré par Microsoft.
• Serveurs MCP exposés: Mauvaise gestion des autorisations pour les serveurs Model Context Protocol.
• Abus de la fonction de liaison WhatsApp: Permet le piratage de comptes via des pages de phishing.

Recommandations:

• Vigilance accrue face à l’ingénierie sociale: Méfiance envers les liens suspects, les demandes d’informations personnelles et les messages inattendus.
• Vérification des appareils liés: Examiner régulièrement les appareils connectés à WhatsApp.
• Mise à jour des systèmes et des logiciels: Appliquer les correctifs de sécurité dès qu’ils sont disponibles.
• Configuration sécurisée des serveurs: Implémenter des mesures d’autorisation robustes pour les serveurs MCP et ne pas les exposer inutilement.
• Attention aux fausses notifications et CAPTCHAs: Ne pas cliquer sur des liens ou copier-coller des commandes provenant de sources non fiables.
• Utilisation de protocoles de chiffrement modernes: Éviter les algorithmes obsolètes comme RC4.
• Authentification forte: Utiliser l’authentification multifacteur partout où cela est possible.
• Surveillance de l’infrastructure: Les entreprises devraient surveiller activement leur exposition et leurs données sensibles.

Source