Le logiciel espion iOS DarkSword fuité sur GitHub menace des millions d'appareils, VoidStealer contourne le chiffrement de Chrome, le phishing IA via Railway touche des centaines d'organisations

Le kit d'exploitation iOS DarkSword fuité sur GitHub, démocratisant potentiellement le piratage d'iPhone de niveau étatique pour le grand public. Le logiciel malveillant VoidStealer inaugure une technique furtive basée sur un débogueur pour contourner le chiffrement lié à l'application de Chrome sans privilèges administrateur. Une campagne de phishing propulsée par l'IA abusant de la plateforme de Railway compromet des centaines d'organisations en quelques semaines. Le logiciel malveillant StoatWaffle s'exécute automatiquement chez les développeurs via VS Code. Quatre anciens directeurs de la NSA alertent sur l'érosion de l'avantage cyber offensif américain.

1. Le kit d'exploitation iOS DarkSword fuité sur GitHub — des centaines de millions d'iPhone à risque

Des chercheurs en cybersécurité tirent la sonnette d'alarme après qu'une version du kit d'exploitation d'espionnage iOS DarkSword soit apparue sur GitHub — un développement d'abord rapporté par TechCrunch puis analysé par Google et iVerify. Cette fuite fait suite à la découverte antérieure de DarkSword ciblant des appareils en Ukraine, en Arabie saoudite, en Turquie et en Malaisie, et intervient peu après la découverte du kit d'exploitation iOS apparenté Coruna , dévoilé quelques semaines plus tôt.

Pourquoi c'est important

Les exploits iPhone ont toujours compté parmi les plus coûteux à développer, ce qui en a fait le domaine réservé des acteurs étatiques. Allan Liska, RSSI de terrain chez Recorded Future, a averti que la fuite pourrait « démocratiser » l'exploitation de l'iPhone : « Si n'importe qui peut exploiter un iPhone, alors ce qui était relativement sécurisé devient soudain une surface d'attaque bien plus large. »

Rocky Cole, cofondateur d'iVerify, a été sans détour : « Il est extrêmement alarmant que cela ait fuité sur GitHub. Je pars du principe que c'est utilisé partout dans le monde, y compris ici, aux États-Unis. »

Ampleur et urgence

• Jusqu'à 25 % de l'ensemble des iPhone fonctionnent encore sous iOS 18 — soit des centaines de millions d'appareils
• Certains utilisateurs évitent peut-être la mise à niveau à cause des fonctionnalités IA d'iOS 26 ou de l'interface Liquid Glass
• Coruna était potentiellement auto-propageable — capable de se propager par SMS à l'ensemble des contacts d'un téléphone
• La CISA a ajouté les vulnérabilités exploitées par DarkSword à son catalogue KEV, rendant la correction obligatoire pour les agences fédérales

Actions défensives

• Mettez à jour tous les appareils iOS immédiatement — les appareils corrigés ne sont pas à risque
• Activez le mode Isolement sur les iPhone utilisés dans des environnements à haut risque
• Déployez des solutions de détection des menaces mobiles capables de repérer les indicateurs d'exploitation
• Surveillez les comportements anormaux des appareils, en particulier sur les anciennes versions d'iOS

2. Le logiciel malveillant VoidStealer contourne le chiffrement lié à l'application de Chrome

Le chiffrement lié à l'application de Chrome (ABE), introduit dans Chrome 127 en 2024, a été conçu pour verrouiller les données sensibles comme les mots de passe et les cookies derrière un chiffrement lié à un service système privilégié. Les techniques de contournement précédentes nécessitaient toutes des privilèges administrateur. VoidStealer a changé la donne.

Comment fonctionne le contournement

Selon Vojtěch Krejsa, chercheur chez Gen, VoidStealer adopte une approche « chirurgicale » : il s'attache en tant que débogueur au processus Chrome et place des points d'arrêt matériels sur une instruction précise du flux de déchiffrement de Chrome. Lorsque Chrome déchiffre momentanément la v20_master_key en mémoire, VoidStealer l'intercepte à l'aide d'API de débogage standard.

Les points d'arrêt matériels fonctionnent via les registres du processeur plutôt qu'en modifiant le code, laissant la mémoire intacte. Cela rend la technique nettement plus furtive que les méthodes basées sur l'injection.

Évolution rapide

• VoidStealer est apparu en décembre 2025 et a déjà connu 12 itérations
• La dernière version v2.1 est sortie le 18 mars 2026
• Fonctionne selon un modèle Malware-as-a-Service (MaaS)
• Prend en charge plusieurs techniques de contournement de repli si la méthode du débogueur échoue

Recommandations de détection

• Surveillez les attachements inattendus de débogueurs aux processus du navigateur
• Alertez en cas d'usage inhabituel d'API de lecture mémoire ciblant Chrome
• Surveillez les schémas anormaux de création de processus Chrome
• Les règles EDR traditionnelles axées sur l'injection ne détecteront pas cette technique.

3. Une campagne de phishing propulsée par l'IA via Railway compromet des centaines d'organisations

Des chercheurs de Huntress ont mis au jour une campagne de phishing liée à l'infrastructure PaaS de Railway, qui a donné aux attaquants accès aux comptes cloud Microsoft de centaines d'entreprises en quelques semaines seulement. Le rythme s'est nettement accéléré à partir du 3 mars, avec plus de 50 compromissions par jour au pic.

Ce qui rend cette campagne différente

La campagne se distingue par son approche de sophistication à grande échelle. Les chercheurs pensent que des outils d'IA ont été utilisés pour générer des leurres de phishing uniques et sur mesure — deux e-mails ou domaines n'étaient jamais identiques. Les modèles allaient des leurres e-mail traditionnels aux codes QR et aux sites de partage de fichiers détournés.

« Rien que le volume donnait l'impression que la boîte de Pandore venait de s'ouvrir, et l'efficacité était tout simplement hors normes », a déclaré Rich Mozeleski, chef de produit pour l'équipe identité de Huntress.

L'exploitation du flux de code d'appareil

La campagne de phishing exploite le flux d'authentification par code d'appareil de Microsoft — le mécanisme conçu pour les téléviseurs connectés, les imprimantes et les terminaux. Une fois la victime authentifiée via le flux piégé, l'attaquant reçoit des jetons OAuth valides pouvant durer jusqu'à 90 jours — sans besoin de mot de passe ni de MFA.

Répartition des victimes

Parmi les 344 victimes confirmées : entreprises de construction, cabinets d'avocats, organisations à but non lucratif, agences immobilières, fabricants, entreprises de finance et d'assurance, prestataires de santé et organismes gouvernementaux. Huntress estime que le total réel pourrait se chiffrer en milliers.

Réponse

• Huntress a déployé des mises à jour de politiques d'accès conditionnel vers 60 000 tenants cloud Microsoft bloquant les domaines Railway
• Railway a banni les comptes associés et bloqué les domaines impliqués
• Les organisations devraient auditer leurs politiques de flux de code d'appareil et les restreindre aux seuls appareils gérés
• Examinez les autorisations de jetons OAuth à la recherche d'événements d'authentification anormaux provenant d'IP Railway

4. Le logiciel malveillant StoatWaffle s'exécute automatiquement chez les développeurs via VS Code

Des chercheurs de NTT Security ont révélé StoatWaffle, un nouveau logiciel malveillant modulaire en Node.js qui représente une évolution dangereuse de la campagne de longue date Contagious Interview , attribuée à des acteurs malveillants nord-coréens.

Compromission zero-click des développeurs

StoatWaffle abuse de la configuration de tâche runOn: folderOpen de VS Code. Les attaquants intègrent un fichier .vscode/tasks.json malveillant au sein de dépôts de projets blockchain d'apparence légitime. Dès qu'un développeur ouvre le dossier et accorde sa confiance, la charge utile s'exécute automatiquement — sans clic, sans script suspect à lancer.

Capacités

• Framework modulaire : Loader → collecteur d'identifiants → RAT
• Vol de données navigateur : Vole les identifiants stockés et les données d'extensions de Chromium comme de Firefox
• Trousseau macOS : Cible les bases de données du Trousseau sur les systèmes Apple
• Commandes RAT : Exécution de commandes shell, opérations sur fichiers, exécution de code Node.js, communications C2
• Multiplateforme : Fonctionne sous Windows, macOS et Linux

Actions défensives

• Auditez les fichiers .vscode/tasks.json dans tous les dépôts clonés avant de les ouvrir
• Désactivez ou restreignez runOn: folderOpen dans les paramètres de VS Code
• Traitez les invitations à des dépôts de projets blockchain avec une vigilance accrue
• Surveillez les créations anormales de processus Node.js depuis VS Code

5. Quatre anciens directeurs de la NSA alertent sur l'érosion de l'avantage cyber offensif américain

Lors de la conférence RSAC 2026 à San Francisco, quatre anciens directeurs de la NSA — les généraux Keith Alexander, Mike Rogers, Paul Nakasone et Tim Haugh — ont fait part de leurs vives inquiétudes quant à la capacité des États-Unis à maintenir leur avantage cyber offensif.

Points clés

Le général Paul Nakasone a mis en garde contre une dangereuse normalisation : « Je pense que nous y sommes devenus insensibles. Nous continuons de voir ces différentes intrusions, et elles ont atteint une ampleur qui me semble tout simplement incroyable. » Il a évoqué la fuite des cerveaux au sein des agences gouvernementales et la détérioration de la collaboration avec le secteur privé au sein de la CISA et du JCDC.

L'amiral Mike Rogers a été plus direct : « Nous sommes la plus grande économie du monde. Nous n'avons pas le moindre cadre fédéral de protection de la vie privée. Nous n'avons pas la moindre législation cyber majeure. » Il a averti qu'en l'absence d'un événement traumatisant provoquant un « changement de comportement fondamental », cette complaisance perdurera.

Le général Tim Haugh a noté que la Chine a répliqué les capacités de renseignement fondées sur le partenariat public-privé à l'américaine et s'est pré-positionnée au sein des réseaux d'infrastructures critiques.

Le général Keith Alexander a exhorté : « Nous serons mis à l'épreuve dans ce domaine. Nous nous battrons dans ce domaine, et ce sera à la fois le gouvernement et vous tous qui aiderez à protéger ce pays. »

Résumé du paysage des menaces