Le briefing du jour suit le passage du malware Chaos vers des déploiements cloud mal configurés, la nouvelle chaîne d’espionnage PRISMEX d’APT28, la diffusion de 1 700 paquets par la Corée du Nord, les attaques liées à l’Iran contre des automates exposés et la fuite d’Eurail qui a compromis plus de 300 000 numéros de passeport.
La tendance du jour ne laisse aucune place au doute. Les attaquants continuent de gagner lorsque les équipes exposent leurs plans de contrôle, accordent trop facilement leur confiance aux écosystèmes logiciels ouverts et supposent que les systèmes critiques sont trop spécialisés pour être ciblés. Des charges cloud et registres de paquets aux contrôleurs industriels et données de voyage, les frontières de confiance fragiles produisent toujours des incidents majeurs.
Selon Darktrace, une nouvelle variante de Chaos cible désormais les déploiements cloud mal configurés. Elle étend ainsi un botnet auparavant associé aux routeurs, aux appareils périphériques et aux environnements Docker insuffisamment sécurisés. Le scénario compte parce qu’il est tristement familier : services exposés, durcissement insuffisant et interfaces d’administration accessibles depuis Internet permettent encore de transformer facilement des charges cloud en infrastructure de minage de cryptomonnaies et de DDoS.
Trend Micro a relié APT28 à une campagne de hameçonnage ciblé qui déploie une nouvelle suite malveillante baptisée PRISMEX auprès d’institutions ukrainiennes et de partenaires alliés des secteurs de la logistique, du transport et de la défense. Le point essentiel ne se limite pas au malware : les attaquants industrialisent très vite leurs opérations, exploitent rapidement de nouvelles vulnérabilités et détournent des services cloud pour le commandement et le contrôle. Si votre dispositif de détection cloisonne encore la télémétrie des e-mails, des terminaux et du cloud, il laisse à ce type d’acteur une marge de manœuvre dangereuse.
Socket rapporte que la campagne Contagious Interview, liée à la Corée du Nord, a diffusé des paquets malveillants sur npm, PyPI, Go, Rust et Packagist. Les chargeurs se faisaient passer pour des outils de développement légitimes avant de livrer des logiciels voleurs d’informations et des charges d’accès à distance. C’est un rappel brutal sur la chaîne d’approvisionnement, pas un avertissement discret. Trop d’équipes d’ingénierie font encore automatiquement confiance aux dépendances, surtout lorsque l’examen interne des outils de développement est considéré comme facultatif.
Les agences américaines avertissent que des pirates affiliés à l’Iran ciblent des technologies opérationnelles exposées, notamment les automates programmables industriels utilisés dans l’eau, l’assainissement, l’énergie et d’autres secteurs critiques. Les effets signalés comprennent la manipulation des données affichées, la réduction des fonctions des automates, des perturbations opérationnelles et des pertes financières. Un automate ou une interface homme-machine encore accessible depuis l’Internet public ne relève pas de la modernisation : c’est de la négligence avec un compte à rebours.
Selon The Record, Eurail a informé les autorités de régulation qu’une intrusion survenue en décembre avait entraîné le vol des noms et numéros de passeport de 308 777 personnes. Les données ont ensuite été mises en vente et des échantillons publiés sur Telegram. Les données de voyage sont devenues une cible discrètement précieuse, car elles combinent identité, dossiers d’assistance client et contexte des déplacements internationaux. Cet ensemble est une mine d’or pour la fraude, l’usurpation d’identité et les attaques ultérieures.
Transformez les signaux du jour en un véritable plan de durcissement.
KENSAI aide les équipes de sécurité à valider leur surface d’attaque exposée, à mettre leurs contrôles à l’épreuve et à repérer les failles de confiance que les attaquants monétisent en premier.
Lancer un scan gratuit →