⚡ Weekly Recap: Fortinet Exploits, RedLine Clipjack, NTLM Crack, Copilot Attack & More

Panorama des Menaces Cyber : Exploits, Malware et Vulnérabilités

Le paysage de la cybersécurité évolue rapidement, marqué par une sophistication accrue des attaques et l’exploitation de nouvelles technologies. Cette semaine met en lumière la convergence des menaces, où les vulnérabilités dans les systèmes, l’IA, et même les processus internes peuvent être exploitées pour des intrusions à grande échelle. Les attaquants privilégient désormais la discrétion et la persistance, adaptant leurs méthodes pour déjouer les défenses.

Points Clés

• Automatisation contre Automation : Les outils d’automatisation sont réutilisés par les attaquants pour accélérer leurs opérations, rendant la réponse plus complexe pour les équipes de sécurité.
• Évasion et Persistance : Les nouvelles menaces se concentrent sur la furtivité, cherchant à maintenir un accès à long terme plutôt que des attaques rapides et ponctuelles.
• Interconnexion des Risques : Les failles dans les outils de développement, les environnements cloud, et les réseaux internes sont considérées comme un espace commun par les attaquants, nécessitant une approche de sécurité globale.

Vulnérabilités et Exploits

• Fortinet FortiSIEM :
  • CVE-2025-64155 (CVSS 9.4) : Permet l’exécution de code non authentifié via des requêtes TCP malveillantes. L’exploitation peut mener à une prise de contrôle totale de l’appareil.
• Microsoft Copilot :
  • Attaque Reprompt : Permet l’exfiltration de données utilisateur en exploitant le paramètre “q” et des techniques de requête multiples. Affecte uniquement les versions non-entreprise de Copilot. Microsoft a corrigé le problème.
• AWS CodeBuild :
  • CodeBreach : Une mauvaise configuration critique qui aurait pu permettre l’injection de code malveillant dans les dépôts GitHub d’AWS, y compris le SDK JavaScript AWS. Corrigé par AWS en septembre 2025.
• Livewire Filemanager :
  • CVE-2025-14894 (CVSS 7.5) : Permet à des acteurs malveillants d’uploader et d’exécuter des fichiers PHP malveillants, conduisant à une exécution de code arbitraire non authentifiée. Non corrigé.
• Microsoft Office :
  • CVE-2017-11882 : Une ancienne vulnérabilité exploitée dans une campagne de phishing utilisant de faux documents d’expédition pour distribuer le Remcos RAT.
• Net-NTLMv1 :
  • Ancien protocole d’authentification dont la vulnérabilité est désormais facilement exploitable grâce à des tables arc-en-ciel (rainbow tables) publiées par Google Mandiant.

Recommandations

• Patch Management : Appliquer les correctifs rapidement, car les exploitants d’attaques agissent souvent dans les heures suivant la divulgation des vulnérabilités.
• Sécurité Cloud : Auditer et sécuriser les configurations des services cloud (ex: AWS CodeBuild, Salesforce AuraInspector) pour prévenir les expositions de données et les prises de contrôle.
• Défense contre l’IA : Être prudent quant aux données partagées avec les chatbots IA, notamment les données clients, et comprendre leurs risques potentiels d’entraînement ou de divulgation. Mettre en place des mesures pour contrer les injections de prompt.
• Authentification Moderne : Éviter et déprécier les protocoles d’authentification obsolètes comme Net-NTLMv1 au profit de solutions plus robustes comme Kerberos.
• Surveillance Continue : Adopter une approche de sécurité où l’ensemble de l’environnement est considéré comme connecté et nécessite une surveillance constante, même après un incident.
• Vigilance Face au Phishing : Se méfier des courriels, documents, et liens suspects, surtout ceux utilisant des thèmes d’expédition ou de facturation.
• Détection et Réponse : Utiliser des outils comme Maltrail pour identifier le trafic réseau malveillant et mettre en place des mécanismes de détection pour les activités inhabituelles.
• Extensions de Navigateur : Être vigilant quant aux extensions de navigateur, certaines pouvant être compromises pour détourner des liens affiliés ou injecter du code malveillant (ex: campagne GhostPoster).

Source