Menaces de la semaine : infostealer dopé à l’IA, zero-day sur des switches industriels et avalanche de CVE dans le noyau Linux

Introduction

La semaine dernière a mis les équipes de sécurité à rude épreuve avec une vague de menaces allant des infostealers dopés à l’intelligence artificielle aux chaînes d’exploits sur des infrastructures critiques, en passant par un nombre record de vulnérabilités dans le noyau Linux. Parmi les faits marquants, on note la découverte de Dolphin X par Varonis, une triple vulnérabilité zero-day dans les switches Siemens ROX II identifiée par Palo Alto Networks, l’exploitation active d’une faille dans Zimbra par l’APT russe Laundry Bear et la publication de pas moins de 432 CVE du noyau en seulement 24 heures. Le tableau est complété par une alerte sur les dispositifs antivol Acrisure pour voitures, ainsi que par d’autres incidents de violations et d’opérations des forces de l’ordre. Analyse détaillée ci-dessous.

Analyse technique

Dolphin X : l’infostealer qui choisit ses victimes grâce à l’IA

Les chercheurs de Varonis Threat Labs ont isolé un nouveau malware, baptisé Dolphin X, qui introduit une innovation dangereuse : un module de profilage comportemental basé sur l’intelligence artificielle. Le code infecte principalement les systèmes Windows et analyse plus de 300 applications installées (des logiciels de productivité aux IDE en passant par les portefeuilles de cryptomonnaies). En fonction de l’activité et de la présence d’outils sensibles, il attribue un « score de valeur » à la machine, décidant ainsi si et quelles informations d’identification exfiltrer : mots de passe du navigateur, clés SSH, jetons cloud, phrases de récupération de portefeuilles. Sa capacité à cibler les postes de développement est particulièrement insidieuse : une seule infection sur un environnement CI/CD peut ouvrir la porte à tout l’écosystème de production.

Siemens ROX II : trois zero-day pour un contrôle root persistant

L’unité 42 de Palo Alto Networks a documenté une chaîne de trois vulnérabilités zero-day dans les switches industriels Siemens ROX II, largement déployés en environnement OT. Les failles – CVE-2025-40948, CVE-2025-40947 et CVE-2025-40949 – permettent à un attaquant, une fois qu’il a obtenu un accès réseau, de lire des fichiers arbitraires, d’injecter des commandes avec des privilèges élevés et enfin d’abuser du planificateur de gestion web pour maintenir une persistance même après un redémarrage. L’exploit offre un accès root persistant, donnant le contrôle total du dispositif et du trafic de process qui le traverse.

Pluie de CVE dans le noyau Linux

Lors d’une journée sans précédent, 432 vulnérabilités affectant le noyau Linux ont été publiées. Ce volume record met les équipes de sécurité sous pression, les obligeant à un triage d’urgence pour identifier les failles qui concernent leurs distributions et infrastructures. Les types de vulnérabilités vont de l’escalade de privilèges locaux au déni de service en passant par l’exécution de code arbitraire, avec un risque proportionnel à l’exposition des systèmes.

Laundry Bear et l’espionnage via Zimbra (CVE-2025-66376)

Un avis conjoint de la CISA et de partenaires internationaux signale l’exploitation active de la CVE-2025-66376 dans Zimbra Collaboration Suite par le groupe APT russe Laundry Bear. La vulnérabilité est de type « view-based » : la simple visualisation d’un email malveillant (sans aucun clic) suffit à déclencher l’exfiltration de l’intégralité de la boîte mail de la victime. Cette campagne, silencieuse et ciblée, vise des entités gouvernementales et commerciales occidentales à des fins d’espionnage.

Voitures à risque : clé Bluetooth codée en dur dans les dispositifs Acrisure

Une équipe de l’UC San Diego a découvert une clé d’appairage Bluetooth fixe et immuable dans les dispositifs aftermarket KARR et SWDS fabriqués par Acrisure, installés sur plus de 2,2 millions de véhicules (principalement en Californie). Un attaquant situé à moins de 4 à 5 mètres peut l’utiliser pour déverrouiller les portières. Bien que l’entreprise ait publié un correctif, le risque de vol de voiture ou d’objets à l’intérieur de l’habitacle reste concret pour ceux qui n’ont pas encore mis à jour le système.

Autres événements

En bref : le groupe ShinyHunters a revendiqué un accès non autorisé aux systèmes de Cancer Diagnostics d’Abbott (sans impact opérationnel) ; Stadler Rail a refusé une demande de rançon de plusieurs millions après une violation sur une plateforme fournisseur ; le gang allemand Kratos spécialisé dans le phishing a été démantelé ; Google a lancé l’aperçu de CodeMender pour la détection de vulnérabilités dans le code ; une attaque contre un fournisseur d’accès a provoqué des coupures internet dans plusieurs communes du Maine.

Impact

La situation d’ensemble dessine un scénario de risque élevé :

• Dolphin X menace le vol ciblé de secrets numériques et d’identifiants, avec de possibles rebonds vers les environnements de production et des attaques sur la chaîne d’approvisionnement.
• L’exploit sur les Siemens ROX II compromet les réseaux industriels : interruption de processus, manipulation de données opérationnelles, espionnage industriel.
• Les 432 CVE du noyau Linux élargissent la surface d’attaque pour les serveurs, l’IoT et les postes de travail, rendant la gestion des correctifs critique.
• L’attaque Zimbra expose l’intégralité des archives email d’organisations gouvernementales et privées, favorisant l’espionnage prolongé.
• La vulnérabilité des voitures facilite les vols physiques et érode la confiance dans les dispositifs de sécurité aftermarket.

Mitigation

Voici les principales actions défensives recommandées :

• Siemens ROX II : appliquer immédiatement les correctifs publiés par Siemens ; segmenter les réseaux OT/IT et limiter l’accès aux interfaces de gestion.
• Noyau Linux : effectuer un triage rapide à l’aide d’outils d’inventaire, en priorisant les systèmes exposés ; surveiller les bulletins des distributions et automatiser l’application des correctifs.
• Zimbra : installer sans tarder le correctif pour la CVE-2025-66376 ; désactiver l’aperçu automatique HTML dans la messagerie web ; examiner les journaux IMAP/POP3 à la recherche d’exfiltrations passées.
• Dolphin X : renforcer la défense des terminaux avec une analyse comportementale ; limiter les privilèges des machines de développement et segmenter les environnements CI/CD.
• Acrisure : demander et appliquer la mise à jour logicielle pour les dispositifs KARR/SWDS auprès des centres d’installation.
• Général : maintenir une visibilité continue sur ses actifs, sensibiliser les utilisateurs (si nécessaire) et tester la résilience des plans de réponse.

FAQ

1. Quelle est la menace la plus urgente pour les entreprises cette semaine ?
Cela dépend du profil de l’organisation. Pour celles qui opèrent dans le secteur industriel, la priorité absolue est l’application du correctif sur les switches Siemens ROX II (zero-day critiques). Pour la plupart des entreprises IT, les deux urgences sont la mise à jour immédiate de Zimbra (si elle est utilisée) et le triage accéléré des vulnérabilités du noyau Linux, qui pourraient toucher des serveurs et des dispositifs exposés.

2. Qu’est-ce qui distingue Dolphin X des infostealers classiques ?
Dolphin X utilise un profileur basé sur l’intelligence artificielle pour évaluer la « rentabilité » d’une victime. Au lieu de collecter des données de manière indiscriminée, il analyse les logiciels installés et l’activité de l’utilisateur pour se concentrer sur les cibles à forte valeur (développeurs, administrateurs, détenteurs de portefeuilles), augmentant ainsi l’efficacité du vol tout en réduisant le bruit de fond.

3. Comment gérer 432 nouvelles vulnérabilités du noyau en une seule journée ?
L’approche gagnante est le triage basé sur l’exposition réelle, et non sur la seule gravité des CVE. Utilisez des outils de gestion des actifs pour identifier les systèmes effect