Avec la montée en puissance de l’IA générative et agentique dans les entreprises, la question de la sécurité IA devient centrale pour les DSI. Avec son AI Security Suite, Zscaler avance une réponse structurée pour encadrer les usages, reprendre le contrôle des flux et limiter les risques liés à l’IA à grande échelle. Acteur historique […]
Salut les amis ! Aujourd'hui, je voulais vous partager une petite pépite qu'un lecteur, Stanislas, m'a envoyée. Si vous bossez dans la cyber ou que vous passez votre temps à analyser des trucs bizarres qui trainent sur vos serveurs, vous allez adorer Cyberbro.
Cyberbro c'est une plateforme d'analyse d'IoC (Indicators of Compromise) en open source. Grâce à ça, au lieu de vous paluchez 15 sites différents pour vérifier une IP ou un hash, vous balancez tout dans Cyberbro. L'outil va alors extraire automatiquement les infos de vos logs et interroger une vingtaine de services comme VirusTotal, MISP, Shodan, AbuseIPDB ou même Microsoft Defender pour vous dire si c'est dangereux.
Sous le capot, ça gère l'extraction avancée de TLD pour ne pas se planter sur les domaines, et ça fait du "pivoting" automatique. En gros, ça va chercher tout seul les domaines, URLs ou IPs liés via reverse DNS et RDAP. Toutes les données sont ensuite stockées proprement dans une base SQLite locale qui sert aussi de cache, ce qui permet de ne pas flinguer vos quotas d'API si vous analysez deux fois la même chose.
C'est hyper fluide, ça tourne sous Python et l'interface est vraiment propre. Stanislas a même poussé le vice jusqu'à proposer une intégration MCP (Model Context Protocol) pour l'utiliser avec Claude ou Ollama. Ça permet de générer des rapports d'analyse complets via LLM en deux secondes. Et y'a même des extension navigateur pour Chrome et Firefox ainsi qu'une API. C'est ouf !
Franchement, pour un projet perso, ça rigole pas du tout ! D'ailleurs, c'est déjà utilisé par pas mal de SOC en France, donc c'est du sérieux.
Pour tester ça, c'est hyper fastoche. Un petit coup de Docker Compose et hop, c'est prêt à l'emploi. Il vous suffit de cloner le dépôt, d'éditer le fichier de secrets et de lancer le bousin.
Un grand merci à Stanislas pour ce superbe partage et pour tout le boulot abattu depuis un an. C'est ce genre de projet qui rend la communauté cyber plus forte 💪.
Pendant plusieurs mois, Notepad++ a servi à diffuser des malwares.
Son développeur l’a officialisé cette semaine. Dans les grandes lignes, la compromission de l’infrastructure d’hébergement a permis la distribution de mises à jour malveillantes.
Une chronologie des événements commence à se dessiner. Apparaissent trois phases, marquées par autant de chaînes d’exécution. Parmi les cibles figurent une entité gouvernementale aux Philippines, une organisation financière au Salvador et un fournisseur IT au Viêtnam.
Phase 1 : une faille dans ProShow mise à profit
La première phase s’est étalée sur fin juillet-début août.
L’interception et la modification du trafic du gestionnaire de mises à jour de Notepad++ entraînait le téléchargement et l’exécution d’un installeur NSIS d’environ 1 Mo. Au lancement, celui-ci créait un dossier et un fichier texte en son sein, y inscrivait des informations système, les téléversait sur temp.sh et envoyait l’URL vers un serveur C2.
Un downloader déposait ensuite plusieurs fichiers dans le même dossier. Dont une version légitime de logiciel ProShow… souffrant d’une vulnérabilité qui permettait de lancer un shellcode.
Ce code déchiffrait un downloader Metasploit qui récupérait et lançait un implant Cobalt Strike. Lequel communiquait avec un autre C2.
Entre fin juillet et début août, quelques éléments ont changé. Essentiellement les URL de l’implant Cobalt Strike et du C2 associé.
Phase 2 : passage à l’interpréteur Lua
La deuxième phase a commencé mi-septembre et s’est achevée à la fin du mois.
La mise à jour malveillante de Notepad++ demeurait hébergée sur le même serveur. Il s’agissait toujours d’un installeur NSIS, mais plus léger (140 ko). La collecte d’infos système suivait le même schéma que lors de la première phase.
À partir de là, les choses changeaient. Exit ProShow, place à des fichiers liés à l’interpréteur Lua. Dont un exécutable qui lançait un script localisé dans un fichier .ini.
Ce script plaçait, en mémoire exécutable, du shellcode lancé via la fonction API EnumWindoStationsW. On retrombait alors sur la chaîne « Metasploit + Cobalt Strike », avec des URL similaires.
Sur la fin de la période, des fichiers de mise à jour avec des hashs différents sont apparus. Et la collecte d’infos système était divisée en plusieurs commandes.
Phase 3 : sideload de DLL dans un exécutable Bitdefender
La troisième phase a couvert le mois d’octobre.
À cette occasion, le serveur hébergeant les mises à jour malveillantes a changé. On restait sur des fichiers NSIS, mais sans capture d’infos système. Le chargement du shellcode était cette fois-ci réalisé par charge latérale d’une DLL dans un exécutable : BluetoothService.exe. Derrière ce nom se cachait une version légitime de Bitdefender Submission Wizard.
Le shellcode était déchiffré avec une routine embarquée. Il en résultait une backdoor. Rapid7 l’a appelée Chrysalis, en référence aux multiples couches (chiffrement en enveloppe, construction de noms de cibles à la volée, hachage d’API, URL au format des endpointsDeepSeek…) compliquant la détection de ses actions.
Un des loaders exploite un syscall non documenté associé à Microsoft Warbird, un framework d’obscurcissement de code. Il n’y a pas de chargement direct de Cobalt Strike. Mais l’implant a bien été trouvé sur une machine infectée, téléchargé là aussi via un downloader Metasploit, via des URL au format similaire à celles rencontrées lors des deux premières phases.
Des similitudes avec une analyse antérieure incitent à attribuer cette troisième phase – et potentiellement l’ensemble de la campagne – au mode opératoire Lotus Blossom, dit lié à la Chine. Actif depuis au moins 2009, il s’est livré à des actions d’espionnage en Asie du Sud-Est. Et plus récemment en Amérique centrale, avec un focus sur gouvernements, télécoms, aviation, médias et infrastructures critiques.
"A compromised dependency in the JavaScript ecosystem led to credential theft, which enabled a supply chain attack on a Rust compression library, which was vendored into a Python build tool, which shipped malware to approximately 4 million developers before being inadvertently patched by an unrelated cryptocurrency mining worm."
EDIT: C'est pas un vrai CVE, c'est une blague. (Permalink)
Quand les attaquants mettent l’IA au volant, le phishing ressemble à un collègue, le malware change de peau et le temps de réaction se compte en minutes. Pour tenir le rythme, la sécurité s’organise comme une chaîne : Zero Trust, exposition minimale, détection qui apprend, réponse automatisée et reprise qui démarre sans hésitation. Et sans […]
Si vous êtes du genre détendu, vous avez forcément un fichier texte quelque part dans votre ordi avec des bouts de code, des clés API, des mots de passe... le tout en clair dans un fichier avec un nom équivoque genre passwords.txt posé OKLM dans ~/Desktop/.
Alors bien sûr, on est nombreux à utiliser un gestionnaire de mots de passe classique pour éviter ça, mais en fait le souci c'est pas les mots de passe. C'est tous ces petits snippets qu'on copie-colle 15 fois par jour... des commandes Docker, des tokens temporaires, des regex que j'oublie à chaque fois. Bref, il nous manque un bidule entre le presse-papier et le coffre-fort.
Et c'est exactement ce que fait
Sklad
!! Cet outil est un gestionnaire de snippets chiffrés qui vit dans votre barre de tâches et auquel vous balancez tout ce que vous copiez-collez régulièrement. Ensuite, vous organisez ça dans des dossiers, et hop, un clic gauche sur l'icône de la barre de menu et ça copie directement le dernier snippet utilisé. C'est carrément mieux qu'un clipboard manager classique type
CopyQ
parce qu'il y a du chiffrement AES-256 avec dérivation Argon2, ce qui est plutôt rassurant pour stocker du token.
Du coup, tout reste en local sur votre machine et le fichier de données atterrit dans ~/Library/Application Support/sklad/ sur macOS (ou l'équivalent AppData sur Windows). Ainsi, en cas de vol de ce fichier, le gars qui l'a récupérer devra se débrouiller avec de l'AES-256... bon courage.
Côté raccourcis, y'a Cmd+K (ou Ctrl+K sur Windows/Linux) pour chercher dans vos snippets. Pratique pour retrouver vos commandes kubectl par exemple et si vous avez des snippets avec des caractères spéciaux (genre des backticks dans du code Markdown), j'ai remarqué que le copier-coller peut parfois foirer selon le terminal. iTerm2 s'en sort bien, mais sur le Terminal.app natif j'ai eu des soucis avec les guillemets échappés. Rien de dramatique, mais faut le savoir.
Y'a le thème sombre et le thème clair et l'app est dispo en binaires pré-compilés pour Windows (.msi), macOS (ARM et Intel en .dmg) et Linux (.deb et .AppImage). Notez que comme d'hab, au premier lancement sur macOS, faudra passer par Réglages > Confidentialité pour autoriser l'app... Apple oblige.
Sklad est encore un projet hyper jeune donc ça risque de bouger pas mal et surtout, ça ne remplace pas un KeePass ou un Bitwarden. Pourquoi ? Hé bien parce que c'est pas le même usage. Voyez plutôt Sklad comme votre tiroir à snippets chiffrés qui conviendra pour tout ce qui ne peut pas aller dans votre gestionnaire de mot de passe.
La France a récemment dévoilé sa nouvelle stratégie nationale de cybersécurité, articulée autour de cinq piliers clés : le développement des compétences, le renforcement de la résilience du pays, la maîtrise de la souveraineté numérique, la lutte contre l’expansion de la cybermenace et le renforcement de la coopération internationale. Une feuille de route ambitieuse, qui […]
La France a récemment dévoilé sa nouvelle stratégie nationale de cybersécurité, articulée autour de cinq piliers clés : le développement des compétences, le renforcement de la résilience du pays, la maîtrise de la souveraineté numérique, la lutte contre l’expansion de la cybermenace et le renforcement de la coopération internationale. Une feuille de route ambitieuse, qui […]
Les IA ont depuis peu la possibilité d’interagir entre elles via la plateforme Moltbook, mais certains utilisateurs ont décelé d’importants problèmes de cybersécurité. Si une récente étude laisse entendre que…
La menace quantique : longtemps théorique, désormais imminente Il y a encore quelques années, la menace semblait lointaine, presque théorique : celle d’un monde où les ordinateurs quantiques seraient capables de briser en quelques heures les algorithmes qui protègent aujourd’hui nos transactions bancaires, nos dossiers médicaux ou les secrets gouvernementaux. Mais en 2026, ce scénario […]
La menace quantique : longtemps théorique, désormais imminente Il y a encore quelques années, la menace semblait lointaine, presque théorique : celle d’un monde où les ordinateurs quantiques seraient capables de briser en quelques heures les algorithmes qui protègent aujourd’hui nos transactions bancaires, nos dossiers médicaux ou les secrets gouvernementaux. Mais en 2026, ce scénario […]
La cérémonie d’ouverture des Jeux olympiques d’hiver de 2026 aura lieu le 6 février prochain à Milan, et suscite déjà l’attention des fans, aussi bien dans le monde numérique que dans le monde physique . Dans les villes hôtes des épreuves, des centaines d’athlètes sont attendus ainsi que d’importantes foules. À l’occasion de cet événement […]
La cérémonie d’ouverture des Jeux olympiques d’hiver de 2026 aura lieu le 6 février prochain à Milan, et suscite déjà l’attention des fans, aussi bien dans le monde numérique que dans le monde physique . Dans les villes hôtes des épreuves, des centaines d’athlètes sont attendus ainsi que d’importantes foules. À l’occasion de cet événement […]
86 % des professionnels de la cybersécurité estiment que les agents IA et les systèmes autonomes ne sont pas fiables sans identités numériques uniques et dynamiques. Tribune – Keyfactor, spécialiste de la confiance numérique pour les entreprises, a dévoilé les résultats de son étude Digital Trust Digest : The AI Identity Edition, menée en partenariat […]
86 % des professionnels de la cybersécurité estiment que les agents IA et les systèmes autonomes ne sont pas fiables sans identités numériques uniques et dynamiques. Tribune – Keyfactor, spécialiste de la confiance numérique pour les entreprises, a dévoilé les résultats de son étude Digital Trust Digest : The AI Identity Edition, menée en partenariat […]
L’éditeur américain Commvault enrichit sa plateforme de cyberrésilience avec des fonctionnalités taillées pour les environnements Google Cloud : sauvegardes inviolables, restauration applicative accélérée et outils de conformité pour Google Workspace. Les ransomwares ne se contentent plus de chiffrer les données de production. Ils visent désormais directement les infrastructures de sauvegarde, privant les entreprises de leur […]
Son développeur en fait part dans le cadre d’un point de situation concernant une attaque subie l’an dernier.
Entre juin et novembre, des utilisateurs ont été ciblés par l’intermédiaire de WinGUp, le gestionnaire de mises à jour intégré.
Ce dernier ne récupère pas directement les updates. Il se connecte à une URL qui lui fournit un fichier XML contenant le lien de téléchargement.
En compromettant le serveur partagé où était hébergée cette URL, des tiers – dits « probablement » à la solde de la Chine – ont pu intercepter le trafic. Puis modifier le lien de téléchargement et ainsi diffuser des fichiers malveillants… dont le gestionnaire de mises à jour n’a pas suffisamment contrôlé l’authenticité.
Début septembre, après une opération de maintenance (update du kernel et du firmware), les attaquants ont perdu l’accès au serveur. Ils ont toutefois conservé, pendant plusieurs semaines, les authentifiants des services hébergés.
La campagne aurait cessé le 10 novembre. On a connaissance d’une poignée de victimes, toutes ayant des intérêts en Asie orientale. Une conséquence possible des prises de position politiques du développeur de Notepad++. Nombre de nouvelles versions se sont effectivement accompagnées de messages de soutien aux Ouïghours ou à l’indépendance de Taïwan.
Notepad++, renforcé en plusieurs temps
La version 8.8.8 de Notepad++, publiée mi-novembre, avait apporté un premier correctif. Celui-ci force le préfixe de domaine de l’URL pour en empêcher la modification à la volée.
Début décembre, la version 8.8.9 a renforcé la validation d’authenticité et d’intégrité des fichiers téléchargés.
La version 8.9.2, attendue dans un mois environ, ajoutera la vérification du certificat et de la signature du fichier XML.
La version 8.8.7 avait introduit la signature de tous les binaires (dont WinGUp) avec un certificat GlobalSign. Depuis, il n’y a plus besoin d’installer le certificat racine de Notepad++. Cela a évité des faux positifs (on a recensé des cas de blocage par Avast, Defender, Trellix, etc.).
À consulter en complément, un point sur le protestware (détournement de logiciels à des fins politiques) réalisé peu après le début de la guerre en Ukraine.
Si vous utilisez Notepad++, faut que vous sachiez qu'il s'est passé un truc moche. Entre juin et décembre 2025, les serveurs de mise à jour de votre éditeur de texte préféré ont été piratés par Lotus Blossom, un groupe de hackers chinois actifs depuis 2009 et spécialisés dans l'espionnage gouvernemental. Ouin 🥲.
En gros, les attaquants ont réussi à compromettre l'infrastructure de l'ancien hébergeur du projet pour détourner le trafic de mise à jour. Certains utilisateurs se retrouvaient redirigés vers des serveurs malveillants qui leur servaient des binaires vérolés au lieu des vraies mises à jour. Et le chercheur en sécurité Kevin Beaumont confirme que trois organisations ayant des intérêts en Asie de l'Est ont subi des intrusions via cette méthode... avec des hackers qui naviguaient VRAIMENT sur les PC des victimes en temps réel.
Le pire ? Les hackers ont gardé un accès aux services internes jusqu'au 2 décembre, même après la correction de la faille initiale en septembre. Ils exploitaient une vulnérabilité dans le script getDownloadUrl.php et les faiblesses de WinGUP, l'outil de mise à jour. Les anciennes versions utilisaient même un certificat auto-signé dispo sur GitHub... autant dire que c'était open bar.
Rapid7 a publié une analyse technique du malware déployé via cette attaque. Baptisé "Chrysalis", c'est une backdoor complète avec shell interactif, exfiltration de fichiers, création de processus à distance... le package complet de l'espion. Le truc vicieux, c'est que le serveur de commande utilisait une URL qui imitait l'API de DeepSeek pour passer sous les radars.
Beaumont alerte aussi sur le fait que les moteurs de recherche sont bourrés de pubs qui poussent des versions vérolées de Notepad++. Sans compter des extensions malveillantes qui circulent. Bref, c'est la fête.
Bon, pour vous protéger, mettez à jour Notepad++ vers la version 8.9.1 minimum (et pas 8.8.9 comme annoncé initialement, ils ont renforcé les protections depuis). Si vous avez un doute, désinstallez tout et retéléchargez directement depuis notepad-plus-plus.org. Changez vos mots de passe si vous utilisiez cet outil pendant la période critique, et les admins réseau, bloquez l'accès Internet de gup.exe dans votre pare-feu. Hop, c'est réglé. Si vous cherchez des alternatives le temps que ça se tasse, y'a
Notepads
ou
NotepadNext
qui font du super boulot, et les indicateurs de compromission sont dans
le rapport de Rapid7
.
Si vous faites du "vibe coding" avec Claude ou Codex, vous savez que laisser un agent IA faire sa life, c'est un peu risqué. Si celui-ci se met à exécuter des rm -rf sur votre ordi de boulot, vous êtes dans la merde !
Heureusement, Kevin Lynagh a sorti
Vibe
et pour vous résumer le délire, c'est une VM Linux ultra-légère capable de sandboxer vos agents IA.
Ce qu'il vous faut
Un Mac ARM (M1, M2, M3...)
macOS 13 Ventura minimum
Temps estimé : 5 minutes
Installation
Hop, on commence par installer Vibe. Plusieurs options s'offrent à vous :
Et là, c'est prêt. C'est du Rust pur compilé avec le framework Virtualization.framework d'Apple, donc ça va viiiiite !
Et ce que vous pouvez voir au lancement de Vibe, c'est le mapping entre vos dossiers locaux liés à Claude, Codex et compagnie, et les dossiers qui sont dans la VM.
Premier lancement
Pour démarrer une VM, c'est aussi simple que ça :
./vibe
Oui, c'est tout. 10 secondes plus tard, vous avez un shell Linux avec un accès réseau et un partage automatique de vos dossiers. Notez jute que la première fois il faut une connexion réseau pour télécharger l'image de base de Debian. Après, tout est en local.
Le truc cool, c'est que Vibe utilise un système copy-on-write où chaque VM part d'une image de base commune et seules les modifications sont stockées. Comme ça même si vous lancez 10 VMs, ça bouffe pas votre SSD.
Bon ok, j'en ai lancé que 2 en vrai mais l'idée est là ^^
Configurer Claude ou Codex
Ensuite c'est simple, il suffit de lancer la commande Claude ou Codex directement dans le terminal que ça vous a créé, de les configurer comme si vous étiez sur votre ordinateur et puis c'est parti, vous pouvez les lancer avec le mode --yolo pour Codex ou avec --allow-dangerously-skip-permissions pour Claude.
Et c'est tout ! Si ça fait de la merde, ce sera dans la VM et vous ne risquerez rien ! Les fichiers sont bien sûr créés et dispo dans le répertoire dans lequel vous avez lancé vibe. Mais tout sera exécuté dans la VM donc y'a plus aucun risque.
Bref, si vous faites du vibe coding et que vous voulez pas finir avec un sudo rm -rf / généré par une IA un peu trop enthousiaste... bah voilà quoi. Le tout en moins de 1200 lignes de Rust, open source sous licence MIT.
Connexion
