Récapitulatif hebdomadaire de la sécurité : botnets proxy, rançongiciels sur navigateur, astuces d’IA et malwares dissimulés dans de faux PoC

Le bilan de sécurité de cette semaine s’articule autour d’un thème familier : attaquants et défenseurs exploitent les mêmes points de confiance du quotidien. Des appareils grand public utilisés comme infrastructure proxy aux chercheurs attirés par du code d’exploitation factice, les derniers incidents montrent à quelle vitesse des logiciels et services ordinaires peuvent devenir des surfaces d’attaque.

Un réseau proxy démantelé

Google, en collaboration avec le FBI, Lumen et d’autres partenaires, a pris des mesures contre le réseau de proxy résidentiel NetNut, également connu sous le nom de Popa. Cette opération s’inscrit dans le prolongement de l’action menée précédemment contre IPIDEA. Elle comprenait la désactivation de comptes et de services Google utilisés pour le contrôle-commande des malwares, la mise à jour de Play Protect et la suppression d’applications liées aux SDK NetNut. Google estime que le réseau a touché au moins 2 millions d’appareils dans le monde. L’infrastructure reposait apparemment sur des SDK intégrés à des appareils domestiques tels que des téléviseurs connectés et des boîtiers de streaming, permettant aux attaquants de dissimuler leur trafic derrière des connexions résidentielles.

L’arrivée des noms d’utilisateur sur WhatsApp suscite des inquiétudes en matière d’abus

WhatsApp a commencé à ouvrir les réservations mondiales de noms d’utilisateur, une évolution axée sur la confidentialité et destinée à réduire la dépendance aux numéros de téléphone pour l’identification. Cette fonctionnalité est facultative et devrait être déployée plus largement au cours de l’année. Elle suscite toutefois des inquiétudes en Inde et ailleurs, car l’usurpation d’identité pourrait devenir plus facile, notamment si des noms d’utilisateur similaires sont réservés avant que les organisations légitimes puissent obtenir les leurs.

De faux dépôts de PoC distribuent des malwares

Des chercheurs en sécurité à la recherche d’exploits de preuve de concept récemment publiés sur GitHub ont été ciblés par des packages Python malveillants qui installent discrètement un cheval de Troie appelé ChocoPoC. Le PoC visible semble inoffensif, mais une dépendance nommée skytext sert à récupérer la charge utile. Une fois exécuté, le malware peut voler des données de navigateur, collecter des fichiers locaux et des informations système, ainsi qu’exécuter des commandes ou du code Python sur la machine infectée.

Autres activités notables

• Un suspect de 19 ans lié à Scattered Spider a été extradé de Finlande vers les États-Unis, où il devra répondre d’accusations de fraude, d’association de malfaiteurs et d’intrusion informatique.
• Un cheval de Troie bancaire brésilien connu sous le nom d’Ousaban utilise de faux leurres PDF pour cibler des utilisateurs en Espagne et au Portugal.
• Des chercheurs ont également décrit un rançongiciel de navigateur généré par IA qui combine des fonctionnalités légitimes de Chromium permettant l’accès aux fichiers pour créer un concept d’attaque fonctionnel, même s’ils ne l’ont pas encore observé en conditions réelles.

Du côté des vulnérabilités, la semaine a également apporté une nouvelle série de CVE hautement prioritaires affectant des produits largement utilisés, rappelant la nécessité d’appliquer rapidement les correctifs et de gérer strictement l’exposition.