Des pirates ont détourné le compte Reddit vérifié de HBO Max pour lancer une vague de publicités malveillantes, en s'appuyant sur la technique ClickFix pour piéger les utilisateurs Mac et Windows.
Un ordinateur qui joue tout seul, sans qu’on lui demande rien. Un agent d’OpenAI avait déjà piraté seul Hugging Face cet été, sans supervision humaine, avant de s’attaquer à quatre autres plateformes par ricochet. Astra, le prochain modèle de la maison, pousse le curseur encore plus loin. OpenAI le classe « critique » sur son échelle interne de risque cyber, l’échelon le plus haut de son Preparedness Framework. Concrètement : avec les bons outils, le modèle peut dénicher des failles inconnues et construire ses propres exploits sur des systèmes pourtant blindés, sans qu’un humain guide la moindre étape. La sortie, elle, reste verrouillée.
Sur ExploitBench, le benchmark maison qui teste la capacité à transformer une faille connue en exploit fonctionnel, Astra décroche un score parfait. OpenAI a dû construire un second test pour continuer à mesurer les progrès : vingt vulnérabilités à sévérité élevée du moteur V8, toutes récentes, pour éviter que le modèle les ait déjà croisées à l’entraînement.
Résultat, deux failles zero-day découvertes et exploitées au passage, en cours de signalement à leurs mainteneurs. Lors d’évaluations menées par des experts, le modèle est même allé jusqu’à faire évader un navigateur de son bac à sable puis enchaîner une escalade de privilèges complète sur un système d’exploitation durci, de simple utilisateur à administrateur.
Face à ce niveau de capacité, OpenAI a musclé ses garde-fous plutôt que de retarder indéfiniment la sortie. Sur ses tests de contournement cyber, Astra refuse 91,5 % des requêtes malveillantes, contre 59 % pour GPT-5.6 Sol. Le chiffre impressionne, sauf qu’il laisse encore passer 8,5 % des demandes. Rien d’anodin à cette échelle de capacité.
L’entraînement d’Astra avait d’ailleurs été mis en pause pendant deux semaines juste après l’incident Hugging Face, le temps de muscler l’isolement des environnements de test. Certains runs d’entraînement plus poussés étaient restés bloqués plus longtemps encore, jusqu’à leur reprise le 28 août sous des règles de sécurité renforcées. Un test spécifique, construit à partir de ce précédent, a placé Astra face à des cibles interdites : là où GPT-5.6 Sol avait tenté d’y accéder dans 56 % des cas, Astra n’a fait aucune tentative de ce genre.
Concrètement, les capacités cyber les plus poussées d’Astra resteront d’abord réservées à un petit groupe de testeurs triés sur le volet : gouvernement américain et organisations chargées de protéger des infrastructures critiques. L’accès s’élargira ensuite via Daybreak Blue, le programme d’accès de confiance d’OpenAI dédié à la cybersécurité défensive. Reste un vrai dilemme : trop prudent, un modèle refuse aussi des demandes légitimes. C’est précisément ce qui s’était produit pendant l’attaque de Hugging Face, la plateforme ayant dû abandonner les modèles d’Anthropic, jugés trop frileux pour l’aider à colmater la brèche en urgence, au profit d’un modèle chinois open source nettement moins regardant.
Un mois après l’incident, Nvidia négociait le rachat de Hugging Face pour 12,9 milliards de dollars selon plusieurs médias américains, un accord encore non confirmé par les deux parties mais qui illustrerait, à lui seul, à quel point une faille de sécurité peut redistribuer les cartes d’un secteur entier. Astra n’a pas encore de date de sortie ferme. Mais l’équation qu’il pose restera la même pour tous les modèles qui suivront : plus une IA sait attaquer, plus elle doit apprendre à refuser, sans jamais refuser trop.
L’article OpenAI verrouille l’accès à Astra, son premier modèle classé « risque cyber critique » est apparu en premier sur Journal du Coin.
Le constructeur Geekom a retiré de ses anciennes pages de support un installeur de pilote réseau que plusieurs moteurs d'analyse classent comme malveillant. Le fichier s'appelle Install_PCIE_Win11_11.10.0720.2022_11222022.exe et il dormait dans l'archive LAN partagée par six mini-PC de la marque : A7, A8, AE7, AE8, AX7 Pro et AX8 Pro.
Le signalement part d'un utilisateur de r/MiniPCs sur Reddit, et du site VideoCardz qui a vérifié lui-même en téléchargeant l'archive directement chez Geekom le 15 août dernier. VirusTotal, FileScan.IO, MetaDefender et YARAify réagissent tous les quatre, ce dernier en remontant même des signatures ClamAV qui nomment la famille Asruex.
Alors c'est déjà un peu chaud d'apprendre ça, surtout si vous avez un PC Geekom mais la problème c'est que ce n'est pas absolument pas une nouveauté !
En effet, le 29 décembre 2024, le propriétaire d'un AE8 explique
sur le forum ComputerBase
qu'il vient de réinstaller Windows, qu'il a pris ses pilotes sur le site du fabricant, et que Defender lui a sorti Trojan:Win32/Asruex.A au décompactage. Il dit ensuite avoir écrit à Geekom pour les prévenir.
20 mois plus tard, Tom's Hardware décrit sur les machines Geekom, des permissions administrateur, des frappes clavier interceptées et une connexion à un serveur de commande, et PCWorld raconte que des attaquants sont venus glisser une backdoor dans le paquet.
Ce fichier est donc bien un paquet Realtek générique, que DriversCloud héberge et redistribue depuis le 25 novembre 2022 et qui s'est fait vérolé ensuite en 2024. Sur l'origine de l'exemplaire qui traînait chez elle, Geekom dit dans son communiqué du 18 août qu'il s'agit d'une ressource obsolète oubliée sur de vieilles pages, mais jamais d'une intrusion.
Donc si vous avez téléchargé et lancé cet installeur LAN depuis une page support d'un de ces six modèles, vous êtes concerné !! Le Windows livré avec la machine n'est pas en cause, du moins d'après Geekom. Supprimez donc l'installeur, lancez un scan complet avec Windows Defender ou votre antivirus préféré, et récupèrez un pilote réseau faible chez Realtek ou directement via Windows Update.
De son côté, Geekom a invoqué la déesse de l'effet Streisand en demandant à VideoCardz de retirer son article mais VideoCardz a dit non évidemment...
Source : PCWorld
Les utilisateurs de Mac ont souvent la réputation d’être un peu mieux protégés contre les logiciels malveillants. Pourtant, les cybercriminels continuent d’imaginer de nouvelles méthodes pour contourner les défenses d’Apple.
C’est précisément le cas de PamStealer, un nouveau malware découvert par les chercheurs de Jamf. Il ne ressemble pas aux voleurs de données classiques visant macOS.
L’attaque se déroule en deux étapes. La première arrive sous la forme d’une image disque qui semble parfaitement légitime. À première vue, tout laisse croire qu’il s’agit du logiciel Maccy. Un gestionnaire de presse-papiers bien connu des utilisateurs de Mac.
En réalité, le fichier contient un script AppleScript spécialement conçu pour lancer la suite de l’infection. Les chercheurs expliquent que cette première phase adopte une approche inhabituelle afin de rester discrète.
Plutôt que de lancer des commandes système comme curl ou zsh pour télécharger sa charge utile, il utilise un téléchargeur autonome basé sur JavaScript for Automation (JXA). Celui-ci exploite directement les interfaces natives d’Objective-C pour récupérer et préparer la charge utile suivante.
Selon les chercheurs de Jamf, cette approche réduit les traces laissées sur le système et complique le travail des outils de sécurité.
Le scénario d’infection repose également sur une manipulation de l’utilisateur. Après avoir ouvert l’image disque, celui-ci est invité à appuyer immédiatement sur la combinaison de touches Commande + R.
Cette action déclenche directement le code malveillant contenu dans le script AppleScript. Elle permet également de contourner le mécanisme com.apple.quarantine de macOS. L’outil chargé d’afficher des avertissements lorsqu’un programme téléchargé depuis Internet tente de s’exécuter.
Ainsi, l’utilisateur croit simplement suivre les étapes normales d’installation du logiciel alors qu’il lance en réalité l’infection.
La première étape installe ensuite sa charge utile dans un faux paquet d’application imitant des composants intégrés à macOS. Selon les échantillons analysés, le malware se déguise par exemple en Finder.app ou en Software Update.app.
Les noms internes utilisés renforcent encore l’illusion, avec des identifiants rappelant ceux des véritables services système. Pour paraître encore plus crédible, l’application reprend même l’icône officielle du Finder tout en fonctionnant entièrement en arrière-plan.
La seconde étape repose sur un exécutable Mach-O destiné aux Mac équipés de processeurs Apple Silicon. Cette partie est écrite en Rust alors que les cybercriminels privilégient habituellement Swift, Objective-C ou Go.
Le programme intègre également un lecteur SQLite. Celui-ci est capable d’accéder directement aux bases de données présentes sur la machine afin de récupérer davantage d’informations sensibles.
L’une des particularités les plus remarquables de PamStealer concerne toutefois la manière dont il vole le mot de passe de connexion. Le malware affiche une fenêtre qui ressemble à une demande d’autorisation parfaitement officielle de macOS.
Le message indique que Maccy souhaite effectuer des modifications et demande simplement le mot de passe de l’utilisateur. Jusque-là, rien d’inhabituel. La différence apparaît ensuite.
PamStealer ne transmet pas immédiatement le mot de passe pour le tester ailleurs. Il le valide directement sur l’ordinateur grâce à l’interface PAM, le système d’authentification intégré à macOS.
Cette méthode évite l’utilisation de commandes classiques comme dscl, security ou osascript, fréquemment exploitées par d’autres malwares. Elle ne crée pas non plus de nouveaux processus susceptibles d’être repérés par les logiciels de sécurité.
Si le mot de passe saisi est incorrect, le programme affiche simplement une nouvelle demande jusqu’à obtenir les bons identifiants. Une fois le mot de passe validé, il est envoyé au serveur contrôlé par les attaquants.
Immédiatement après, un faux message indique que le fichier est endommagé et qu’il ne peut pas être installé. Cette dernière mise en scène vise à détourner les soupçons et à faire croire à un simple problème d’installation.
PamStealer ne s’arrête d’ailleurs pas là. Il cherche également à obtenir un accès complet au disque dur afin d’élargir la quantité de données qu’il peut récupérer.
Son code contient aussi des fonctionnalités destinées à rechercher des informations liées à des comptes Ethereum. Preuve que les actifs numériques figurent parmi les cibles potentielles de cette campagne.
Cet article PamStealer : attention à ce nouveau malware qui déjoue les défenses de macOS a été publié sur LEBIGDATA.FR.
Un ancien député européen chargé d’enquêter sur les abus du célèbre logiciel espion Pegasus aurait lui-même été espionné par l’outil. Difficile d’imaginer un scénario plus ironique.
Il s’agit du journaliste et ancien eurodéputé grec Stelios Kouloglou. Les chercheurs du Citizen Lab, le laboratoire spécialisé dans les droits numériques de l’Université de Toronto, confirment l’attaque.
Selon eux, Kouloglou a été victime de plusieurs intrusions sur son iPhone entre 2022 et 2023. L’homme siégeait alors au sein de la commission PEGA du Parlement européen. Cette dernière a été créée pour enquêter sur les dérives liées à Pegasus et à d’autres logiciels espions utilisés par certains gouvernements européens.
Pour info, Pegasus est vendu aux gouvernements pour lutter contre le terrorisme et la criminalité organisée. Pourtant, de nombreuses enquêtes ont montré qu’il a aussi servi à surveiller des journalistes, des militants, des opposants politiques et d’autres personnalités critiques.
D’après les chercheurs, toutefois, c’est la première fois qu’un membre de cette commission est publiquement identifié comme victime de Pegasus.
Dans le cas de Stelios Kouloglou, le calendrier intrigue particulièrement. Le premier piratage confirmé remonte à octobre 2022. Au moment où la commission européenne échangeait activement des courriels et des SMS pour préparer un rapport très attendu sur les abus de Pegasus dans plusieurs pays. Notamment la Grèce, la Hongrie, la Pologne, Chypre et l’Espagne.
À cette période, Kouloglou se trouvait à l’hôpital pour une intervention chirurgicale programmée. Les chercheurs estiment que les opérateurs du logiciel espion auraient même pu écouter les conversations se déroulant autour de lui pendant son hospitalisation.
Quelques mois plus tard, les 6 et 7 mars 2023, son téléphone a de nouveau été compromis. Il voyageait alors entre Athènes et Bruxelles, en pleine période d’auditions parlementaires précédant la rédaction du rapport final.
Pour l’ancien eurodéputé, difficile de croire à une simple coïncidence. Il estime avoir été ciblé en raison de son rôle au sein de la commission chargée d’enquêter précisément sur Pegasus.
Il confie avoir été profondément choqué en découvrant que toute sa vie numérique avait potentiellement été exposée. Selon lui, il ne s’agissait pas uniquement de discussions professionnelles.
Des souvenirs personnels, des conversations familiales et des moments particulièrement intimes sont concernés.
Les chercheurs expliquent que les attaques ont exploité une faille de sécurité présente dans les iPhone d’Apple. Même si cette vulnérabilité a ensuite été corrigée, le téléphone de Kouloglou n’avait pas encore reçu la mise à jour au moment des faits.
Les pirates ont utilisé une attaque dite « zéro clic », particulièrement redoutable puisqu’elle ne nécessite aucune action de la victime. Aucun lien à ouvrir, aucun fichier à télécharger : le logiciel espion s’installe discrètement et récupère les données sans que son propriétaire ne se doute de quoi que ce soit.
Une fois installé, Pegasus peut accéder à une quantité impressionnante d’informations personnelles. Messages, photos, données de localisation ou encore correspondances privées peuvent être récupérés.
Les chercheurs de Citizen Lab n’ont pas identifié le gouvernement responsable de cette opération. En revanche, ils ont découvert que l’attaque utilisait la même infrastructure déjà observée lors d’une précédente campagne de surveillance visant plusieurs journalistes européens.
Cette réutilisation laisse penser qu’un même client gouvernemental autorisé par NSO Group, l’entreprise israélienne à l’origine de Pegasus, aurait utilisé Pegasus dans plusieurs pays européens. Stelios Kouloglou entend ainsi poursuivre en justice NSO Group,
Cet article L’arroseur arrosé : ce politicien qui enquêtait sur les logiciels espions a lui-même été piraté a été publié sur LEBIGDATA.FR.
En Inde, une nouvelle campagne de phishing exploite de faux avis d’imposition pour infecter les ordinateurs avec des logiciels malveillants. Des genres particulièrement dangereux.
Ce sont les chercheurs de CYFIRMA qui ont repéré cette opération. Celle-ci s’appuie sur un faux site web imitant presque parfaitement les communications officielles de l’administration fiscale indienne.
Le portail frauduleux, hébergé sur un domaine créé récemment, affiche un faux avis d’imposition très crédible. Il reprend des références juridiques, mentionne de prétendues pénalités financières et utilise un ton alarmant pour pousser les destinataires à agir sans réfléchir.
D’après les chercheurs, cette campagne semble motivée par des objectifs financiers plutôt que par une volonté de perturber immédiatement les systèmes ciblés. Son fonctionnement rappelle fortement celui de familles de chevaux de Troie commerciales bien connues, comme XWorm.
Les experts précisent toutefois qu’il est encore trop tôt pour attribuer avec certitude cette attaque à un groupe précis.
Les pirates invitent les personnes qui ouvrent ce faux avis à télécharger une archive ZIP. Ils présentent cette dernière comme un dossier contenant les documents officiels de leur évaluation fiscale.
Une fois décompressée, cette archive révèle une image disque servant à dissimuler la véritable charge malveillante. À l’intérieur se trouve un programme qui lance discrètement un second composant. Un fichier DLL camouflé pour ressembler à un service légitime de Windows.
Les chercheurs expliquent que ce chargeur utilise des techniques de chargement par réflexion. Une méthode conçue pour compliquer la détection par les logiciels de sécurité et rendre les analyses automatisées beaucoup plus difficiles.
Les deux fichiers sont protégés par un outil d’obfuscation connu. Ce qui rend leur inspection encore plus complexe pour les spécialistes de la cybersécurité.
Une fois installé, le malware agit comme un cheval de Troie d’accès à distance (RAT). Il offre aux attaquants un accès permanent et chiffré à l’ordinateur infecté.
Les pirates peuvent alors récupérer des informations sur le système, surveiller l’activité de l’utilisateur, identifier les logiciels de sécurité installés. Ils pourront même télécharger discrètement d’autres composants malveillants si nécessaire.
Toutes les communications avec le serveur des attaquants sont chiffrées. Elles passent par une adresse intégrée au programme, reliée à une infrastructure localisée à Hong Kong.
Tout simplement parce que cette opération dépasse largement le simple cas d’un faux e-mail. Elle s’inscrit dans une stratégie plus vaste consistant à exploiter le stress lié aux déclarations fiscales afin de faire baisser la vigilance des victimes.
CYFIRMA indique que la même architecture de chargement a déjà été observée lors d’attaques menées par des opérateurs de ransomwares. Cette infrastructure pourrait donc être utilisée dans différents types de cyberattaques et dans n’importe quel pays.
Ainsi, pour limiter les risques, les spécialistes recommandent d’utiliser un antivirus régulièrement mis à jour. Le type capable de détecter les comportements suspects des logiciels, et pas seulement les signatures connues.
Ils conseillent également de vérifier toute communication liée aux impôts directement sur les plateformes officielles des administrations concernées. Ils déconseillent donc fortement de cliquer sur les liens présents dans les messages reçus.
Enfin, CYFIRMA invite les organisations à empêcher, autant que possible, l’exécution de fichiers provenant d’archives compressées ou d’images disque. Un mode de diffusion largement exploité par cette campagne malveillante.
Cet article Attention : Ce formulaire d’impôts cache un malware très dangereux a été publié sur LEBIGDATA.FR.
Les bons plans n’attendent pas : abonnez-vous à notre canal WhatsApp Frandroid Bons Plans ! (zéro spam, promis).
Microsoft affirme avoir identifié un nouveau logiciel malveillant. Baptisé Crypto Clipper, celui-ci est à même de dérober des cryptomonnaies tout en restant particulièrement discret.
Selon Microsoft, ce malware se propage via des clés USB. Il utilise le réseau Tor pour communiquer anonymement avec les serveurs de ses opérateurs. Sa spécialité ? Surveiller en permanence le presse-papiers de l’ordinateur à la recherche d’informations liées aux cryptomonnaies.
Le malware analyse notamment les adresses de portefeuilles et les phrases de récupération. Lorsqu’il repère des données intéressantes, il réalise plusieurs captures d’écran en quelques secondes avant de transmettre l’ensemble à l’attaquant via Tor.
Pour renforcer son anonymat, il s’appuie sur un proxy SOCKS5 qui fait transiter les communications à travers un serveur intermédiaire.
Selon Microsoft, Crypto Clipper se distingue des malwares classiques. Il ne nécessite pas d’installateur traditionnel et ne dépend pas d’un serveur de commande et contrôle exposé via une adresse IP visible.
À la place, il embarque un client Tor portable et fait passer toutes ses communications par un proxy local. Cette approche permet au logiciel malveillant de combiner le vol de données avec des capacités d’exécution de code à distance.
Résultat : ce qui ressemble au départ à un simple outil de vol d’informations devient une porte dérobée légère offrant aux cybercriminels un accès durable aux machines compromises.
Microsoft indique avoir observé la propagation de Crypto Clipper à travers des fichiers .lnk présents sur des clés USB infectées. Derrière ces raccourcis se cache du code exécutable chargé de vérifier si le malware est déjà installé sur l’ordinateur ciblé.
Si ce n’est pas le cas, Crypto Clipper télécharge ses composants via sa connexion Tor. Il renomme ensuite les fichiers présents sur la clé USB avec des appellations ressemblant à celles des documents légitimes. Ce qui complique la tâche des utilisateurs et des analystes en sécurité
L’une des fonctions les plus dangereuses du malware concerne la manipulation du presse-papiers. Car Crypto Clipper recherche les phrases de récupération standardisées de 12 ou 24 mots utilisées pour sécuriser les portefeuilles de cryptomonnaies.
Et il ne se contente pas de les voler. Lorsqu’il détecte une adresse de portefeuille copiée par la victime, il peut la remplacer automatiquement par une autre contrôlée par les attaquants.
Si l’utilisateur ne vérifie pas attentivement l’adresse avant d’effectuer son transfert, les fonds risquent d’être envoyés directement aux cybercriminels.
Alors, les captures d’écran réalisées par le malware, à quoi elles servent ? Eh bien, c’est juste pour fournir davantage de contexte aux attaquants afin d’exploiter plus efficacement les informations récupérées.
Pour Microsoft , Crypto Clipper illustre l’évolution des logiciels malveillants modernes. Malgré sa conception relativement légère et son recours à des scripts, il combine plusieurs techniques particulièrement efficaces.
Communications anonymisées via Tor, surveillance du presse-papiers, captures d’écran ou encore exécution de code à distance. L’entreprise estime que cette combinaison offre aux attaquants des opportunités de gains rapides. Cela leur permet même de conserver un certain contrôle sur les appareils infectés.
Pour ce qui est du comment repérer une éventuelle infection, Microsoft indique que Microsoft Defender Antivirus s’en charge. L’outil peut détecter cette menace sous le nom Trojan:Win32/CryptoBandits.A.
Microsoft Defender for Endpoint, quant à lui, peut repérer certains de ses composants. Ce, grâce à des alertes liées à des processus JavaScript suspects ou à des tentatives d’exfiltration de données via Curl.
Parmi les signes d’une infection, on retrouve l’apparition de processus suspects lancés par des interpréteurs de scripts. L’utilisation inhabituelle d’un proxy local sur localhost:9050 devrait également vous mettre la puce à l’oreille.
De même pour l’exécution de commandes PowerShell destinées à réaliser des captures d’écran. Toutes activités anormales liées à l’inspection du presse-papiers ou au remplacement automatique d’adresses de portefeuilles de cryptomonnaies pourrait également être le signe que votre système est infecté.
Cet article Crypto Clipper : Ce nouveau malware se propage tout seul pour vider vos cryptos a été publié sur LEBIGDATA.FR.
Connexion