Une enquête menée à partir d'une session SSH interceptée a mis au jour 333 relais de sortie Tor détournés, qui redirigeaient les connexions vers des serveurs de vol de mots de passe. Par ailleurs, l'analyse du rançongiciel Heartbreaker a révélé un échantillon macOS qui embarque son propre code source et tente de se reconstruire après avoir chiffré des fichiers.
Ces conclusions figurent dans le bilan de cybersécurité de SecurityWeek, qui couvre aussi le vol d'identifiants de plateformes pour développeurs, les intrusions de la porte dérobée Hookedge et les restrictions imposées par les banques aux agents d'IA tiers.
Interception de mots de passe via une infrastructure Tor compromise
L'enquête sur Tor a commencé lorsque la propre connexion SSH d'un chercheur a été interceptée. Elle a révélé qu'environ un dixième de tous les relais de sortie, soit 333 au total, envoyaient du trafic SSH vers douze serveurs contrôlés par des attaquants. Les utilisateurs qui ont ignoré l'avertissement SSH et saisi leur mot de passe ont exposé ces identifiants. Les attaquants ont ensuite tenté d'installer Ebury sur les serveurs que les utilisateurs voulaient atteindre.
Ebury avait déjà compromis les machines hébergeant les relais malveillants. Des modifications de leurs politiques de sortie empêchaient également les connexions aux ports de récupération de courriels chiffrés, tout en autorisant celles vers les ports en clair.
En trois jours, le projet Tor a retiré les relais. L'un des opérateurs touchés a identifié la réutilisation de mots de passe comme cause de sa propre compromission. SecurityWeek indique que le projet n'a pas répondu à sa demande de commentaire.
Le mécanisme de reconstruction de Heartbreaker a des limites pratiques
Patrick Wardle a examiné Heartbreaker, un rançongiciel écrit en Rust pour macOS et soumis à VirusTotal en mai 2025. Au moment de la rédaction de son analyse, aucun moteur antivirus du service ne le détectait.
Sa séquence d'exécution commence par une tentative de création d'un LaunchAgent pour assurer la persistance, suivie du chiffrement des fichiers du dossier Téléchargements de l'utilisateur. L'échantillon tente ensuite de produire un nouveau hash par recompilation : il modifie les identifiants de son code source embarqué, ajoute des fonctions factices et compile une autre copie. Si Rust est absent, il tente même de l'installer.
Wardle juge peu probable que cet échantillon devienne une menace majeure. Une seule clé AES codée en dur permet de récupérer les fichiers gratuitement, tandis que le mécanisme de reconstruction nécessite un framework Rust qui n'est plus disponible publiquement.
Railway suspend ses déploiements pendant que PingCAP détaille des données volées
Railway a suspendu tous ses déploiements et demandé à chaque client de renouveler les variables d'environnement stockées ainsi que les identifiants de registres privés. La plateforme pour développeurs indique qu'une partie non autorisée a pu accéder à des variables d'environnement chiffrées de clients et en récupérer une partie sous forme déchiffrée. Ces variables peuvent contenir des clés d'API, des identifiants de bases de données et des identifiants de registres.
L'entreprise estime que cet incident fait partie d'une série d'attaques visant des entreprises de plateforme et ciblant des fournisseurs d'inférence d'IA. Elle a prévenu ces fournisseurs afin qu'ils révoquent proactivement leurs clés. Railway indique que la population touchée pourrait se limiter à un sous-ensemble d'utilisateurs, malgré sa demande de renouvellement à l'échelle de la plateforme.
Chez PingCAP, des identifiants de comptes de service volés ont permis à une partie non autorisée d'accéder à certains systèmes internes entre le 9 septembre et le 7 octobre, selon le développeur de TiDB. L'intrus a copié des données et obtenu du code source.
Les informations exportées concernaient les noms d'utilisateur et les adresses électroniques des utilisateurs de TiDB Cloud, les contacts clients, les détails des contrats et de facturation, ainsi que les valeurs chiffrées des clés d'API de TiDB Cloud. PingCAP affirme n'avoir trouvé aucune preuve d'un impact sur les données stockées dans TiDB. Elle a invalidé chaque identifiant compromis identifié et remédié à quatre vulnérabilités signalées par une société externe. Le travail visant à identifier les clients touchés se poursuit.
Bullhorn rétablit aussi son service après un incident de cybersécurité qui l'avait conduit à désactiver l'accès à ses systèmes. Il n'a pas encore été établi si des données clients ont été exfiltrées. Pendant la restauration de sa plateforme ATS/CRM, les utilisateurs sans SSO doivent réinitialiser leurs mots de passe, et les utilisateurs d'API doivent renouveler leurs mots de passe d'API. L'entreprise ne signale aucun impact sur Bullhorn Automation, Sourcebreaker ou VMS Sync.
Symantec attribue les intrusions Hookedge à APT28
Un chantier naval, un fabricant de moteurs d'avions militaires et une agence de maintien de l'ordre dans deux États membres de l'OTAN ont été visés par la porte dérobée Hookedge, selon Symantec. L'entreprise attribue ces attaques à APT28, groupe russe qu'elle désigne sous le nom de Swallowtail.
L'intrusion chez le chantier naval a duré au moins deux mois. Sur place, les attaquants ont utilisé deux techniques de vol d'identifiants et maintenu un tunnel SSH vers le réseau interne. Ils ont aussi déployé un chargeur que Symantec n'avait pas documenté auparavant ; il déchiffre sa charge utile et l'exécute en mémoire.
Les banques font face à l'activité d'IA dans les comptes clients
Axios rapporte, en citant des sources, que de grandes banques américaines ont détecté des agents d'IA tiers non autorisés opérant dans des comptes clients. Certaines actions tentées semblent avoir été exécutées indépendamment des instructions des utilisateurs, mais de nombreuses banques ne peuvent pas déterminer si les clients ont donné ces instructions.
Les clients fournissent généralement à ces agents une autorisation et leurs identifiants de connexion, contrairement aux règles de la plupart des banques. Morgan Stanley a commencé à bloquer les agents tiers, et JPMorgan, Bank of America et Citi les restreignent également. La plupart des banques évoluent vers un accès en lecture seule.
Séparément, l'ISO et la CEI ont publié l'ISO/IEC 27090 pour guider la détection et l'atténuation des menaces propres à l'IA tout au long du cycle de vie des systèmes, notamment l'empoisonnement de données et le vol de modèles. Elle complète les normes ISO/IEC 27001 et 27002 et souligne comment le réentraînement pourrait réintroduire des données opérationnelles corrompues dans les versions ultérieures des modèles.
Des enquêteurs examinent les contacts de ShinyHunters ; les tribunaux pèsent preuves et indemnisation
KrebsOnSecurity, citant des sources proches d'une enquête fédérale, rapporte que les enquêteurs pensent qu'au moins un dirigeant d'un cabinet de conseil basé aux États-Unis a aidé à diriger Shinywire. Le site ShinyHunters, aujourd'hui disparu, servait à faire pression sur près de 100 organisations piratées pour qu'elles paient.
Les autorités ont accédé à des messages Signal lors de l'arrestation du suspect de ShinyHunters, Pepijn van der Stap, aux Pays-Bas. Selon les informations, ces messages montrent des échanges fréquents avec le dirigeant canadien en cybersécurité Edward Dubrovsky et avec au moins un dirigeant d'un cabinet de conseil américain, certains contacts étant parfois au courant de nouvelles victimes avant celles-ci.
Dans le litige impliquant WhatsApp, un juge fédéral a refusé de déclarer NSO Group coupable d'outrage à la justice, à la suite d'allégations selon lesquelles elle aurait violé une injonction de 2025 interdisant d'utiliser l'infrastructure de WhatsApp pour cibler des utilisateurs. Le seul élément de preuve était la déclaration d'un enquêteur de Meta identifiant vingt-trois nouveaux comptes présentant des signatures déjà associées aux tests de NSO. Le juge a estimé que ces éléments n'atteignaient pas la norme de la preuve « claire et convaincante », relevant que WhatsApp avait retenu certains détails afin de protéger ses méthodes de détection.
Un règlement proposé de 80 millions de dollars, dans une autre affaire, mettrait fin à une action collective regroupée portant sur la violation de données de Conduent en 2024, qui a entraîné le vol d'informations personnelles et de santé de millions de personnes. Sous réserve de l'approbation du tribunal, tous les membres du groupe pourraient réclamer une année de surveillance de leur crédit ou de leurs données médicales, ainsi que le remboursement des pertes documentées, dans la limite de 3 500 dollars. Un versement en espèces au prorata serait également prévu pour les personnes dont les données volées se trouvaient dans un format aisément accessible. Conduent conteste les accusations de faute et de responsabilité.
