De SonicWall à Axios : attaques et vulnérabilités de la première semaine d’août

Campagne de credential stuffing ciblant les infrastructures SonicWall

Depuis le 25 juillet, une vaste campagne automatisée de credential stuffing cible les comptes VPN et les pare-feux SonicWall. Le trafic malveillant provient de cinq adresses IP hébergées sur DigitalOcean et a abouti à des accès réussis dans trente organisations. Aucune activité manuelle post-compromission n’a été observée, ce qui suggère que l’objectif principal était le simple accès non autorisé, peut-être à des fins de revente ou de cartographie des réseaux. Huntress surveille l’évolution de la campagne.

Les défenses recommandées sont immédiates : activer l’authentification multifacteur, renouveler toutes les informations d’identification suspectes et bloquer les adresses IP identifiées. L’absence d’actions ultérieures ne réduit pas le risque : un accès VPN persistant équivaut à livrer le contrôle du périmètre de l’entreprise.

Chaîne d’approvisionnement npm : le groupe nord-coréen Sapphire Sleet frappe Axios, Debug et Chalk

Amazon Threat Intelligence a attribué au groupe nord-coréen Sapphire Sleet la compromission de trois paquets npm extrêmement répandus : Axios, Debug et Chalk. S’y ajoute un cas de typosquatting visant un projet lié à l’univers crypto. L’opération exploite des charges utiles fragmentées et un logiciel malveillant capable de détecter l’environnement d’exécution, compliquant l’analyse automatique.

L’impact potentiel est vaste : tout projet logiciel dépendant de ces bibliothèques pourrait exécuter du code arbitraire, entraînant le vol de données ou la compromission des environnements de développement. Les mesures d’atténuation requièrent la mise à jour immédiate des dépendances vers les versions saines, la vérification des empreintes et des signatures, ainsi que l’observation du comportement des paquets dans des environnements de test.

Correctifs critiques : Adobe et l’API exposée de VE Commercial Vehicles

Adobe a publié des correctifs résolvant un dépassement de tampon dans le tas des Format Plugins (exécution de code arbitraire), plusieurs failles dans Bridge (exécution de code et élévation de privilèges) et des vulnérabilités dans Campaign Classic (exécution de code et lecture du système de fichiers). Les correctifs pour Campaign Classic sur site ont une priorité 1 : ils doivent être appliqués immédiatement.

Plus grave, l’exposition découverte par un chercheur sur la plateforme My Eicher, gérée par VE Commercial Vehicles (coentreprise Volvo Group / Eicher Motors). Des API internes non authentifiées permettaient l’accès aux données clients, utilisateurs et véhicules, la prise de contrôle de comptes et le contrôle complet de flottes en Inde. Des documents sensibles comme les cartes Aadhaar étaient également accessibles. Les vulnérabilités principales ont été corrigées après signalement, suivies de correctifs complémentaires déployés par l’entreprise.

Violations de données : OnTrac et le Département de l’Éducation du Royaume-Uni

OnTrac, entreprise de logistique de colis, a détecté le 23 mars un accès non autorisé au réseau survenu entre le 20 et le 22 mars. Des fichiers ont potentiellement été exfiltrés, sans revendication de ransomware. L’entreprise a lancé une investigation forensique et notifie ses clients. Les détails sur les données affectées n’ont pas été divulgués.

Au Royaume-Uni, le Département de l’Éducation a subi l’exfiltration d’environ 607 000 enregistrements contenant des adresses e-mail et des numéros de téléphone. L’incident a été rapidement circonscrit et l’organisme estime le risque faible pour les individus, car aucune donnée bancaire ou hautement sensible n’a été compromise. Le risque de campagnes de phishing ciblées persiste néanmoins.

IA et cryptanalyse : les avancées de Claude Mythos

Anthropic, avec l’aperçu du modèle Claude Mythos, a conçu deux nouvelles attaques cryptographiques. La première réduit de moitié le niveau de sécurité effectif du schéma de signature post-quantique HAWK, un candidat encore en cours d’évaluation. La seconde accélère une attaque par rencontre au milieu sur AES ramené à 7 tours.

Aucune menace immédiate pour les systèmes réels : AES standard utilise 10, 12 ou 14 tours, et HAWK n’est qu’un candidat, pas un standard adopté. Ces résultats témoignent toutefois d’une accélération de l’analyse cryptographique assistée par l’IA et seront examinés par la communauté pour renforcer les futures normes de sécurité.