Les incidents de cybersécurité signalés cette semaine allaient du vol de cryptomonnaies à grande échelle et des infrastructures furtives à l’hameçonnage, aux attaques contre la chaîne d’approvisionnement logicielle et aux logiciels espions ciblant les utilisateurs mobiles. Plusieurs cas ont commencé avec des outils ou services apparemment ordinaires, notamment des liens partagés, des extensions de navigateur, des logiciels d’assistance à distance et des plateformes tierces.
Le FBI a attribué le vol de plus de 6 milliards de dollars d’actifs virtuels chez Binance au groupe de hackers nord-coréen TraderTraitor. Le butin déclaré atteignait 6,43 milliards de dollars sur 11 blockchains, 82 % des actifs se trouvant sur Ethereum et Bitcoin. Tether, Circle, Ripple, Arbitrum et Optimism ont gelé 2,85 milliards de dollars des fonds volés on-chain, selon le rapport.
Le groupe soutenu par l’État chinois Volt Typhoon a également été associé à Silent Train, une infrastructure de relais constituée de chaînes à rotation rapide d’appareils SOHO, IoT et d’entreprise compromis. Le réseau est conçu pour dissimuler l’origine des attaques, soutenir certaines opérations et être démantelé après utilisation. L’activité signalée indique des efforts visant à maintenir l’accès aux communications, aux infrastructures critiques, à la défense, à la logistique et à d’autres systèmes susceptibles de devenir importants pendant les tensions géopolitiques.
La plateforme de marché prédictif Polymarket a temporairement suspendu les échanges après la compromission de DebugBear, un service tiers, par des attaquants. Du JavaScript malveillant distribué par l’intermédiaire du service a drainé environ 2,7 millions de dollars de 33 portefeuilles de dépôt en moins d’une heure. DebugBear a déclaré que les enregistrements de son registraire de domaine avaient été compromis et n’avoir trouvé aucune preuve d’une intrusion dans ses systèmes internes au moment de sa mise à jour.
Des chercheurs de Parameter Labs ont divulgué une vulnérabilité corrigée de ChatGPT concernant les liens de conversations partagées. Un attaquant pouvait créer une conversation malveillante et envoyer son lien de partage à un autre utilisateur, ce qui entraînait l’exécution de JavaScript dans la session ChatGPT authentifiée de la victime. Une exploitation réussie pouvait exposer les listes de conversations et le contenu privé des conversations, puis transmettre les données à un serveur externe.
Cursor a indiqué que deux versions de l’extension officielle Claude Code disponibles sur sa place de marché avaient été modifiées pour installer une porte dérobée SSH persistante. L’incident pourrait avoir affecté jusqu’à 5 000 utilisateurs. Cursor a déclaré avoir renouvelé ses clés, reconstruit la place de marché et mis hors ligne le serveur concerné, tout en précisant qu’aucune autre extension n’avait été modifiée de manière malveillante. Des questions subsistent quant à la façon dont l’extension altérée a été publiée sous le nom d’Anthropic et à l’accès obtenu par l’attaquant.
Le département de la Justice des États-Unis a annoncé la saisie d’un domaine associé à Virtualine, un fournisseur d’hébergement à l’épreuve des procédures judiciaires. Les autorités ont déclaré que le service facilitait des activités criminelles, notamment la distribution d’images sexuellement explicites de mineurs, d’images intimes non consenties et le blanchiment d’argent international. Le rapport a également indiqué que les perturbations antérieures de l’infrastructure pourraient fragmenter le marché en poussant les clients vers de nouveaux services.
Le fabricant de portefeuilles matériels Keystone a divulgué un incident de sécurité concernant son site web et une vulnérabilité dans un outil tiers de surveillance des données. L’attaquant a obtenu des informations sur les clients ainsi qu’une clé utilisée pour vérifier l’authenticité des appareils. Les informations exposées comprenaient des enregistrements avec des noms, des coordonnées, des adresses de livraison et des informations de commande, ainsi que des données de paiement. Keystone a déclaré qu’il détruirait 18 835 appareils en stock contenant l’ancienne clé et suspendrait temporairement les expéditions depuis son site officiel, tout en adoptant un modèle de précommande.
Trezor a séparément averti de signalements crédibles faisant état d’un implant présumé de vol de cryptomonnaies dans un appareil Safe 5 vendu par le revendeur CryptoBilis en Asie du Sud-Est. Il a été conseillé aux clients ayant acheté un Trezor auprès de ce revendeur à partir de mars 2026 de transférer leurs fonds vers un portefeuille nouvellement créé avec une nouvelle phrase de récupération.
Des chercheurs ont identifié uCreator, une offre commerciale de logiciels espions Android destinée aux utilisateurs de portefeuilles mobiles et de services de messagerie en Chine et en Asie du Sud-Est. Le logiciel malveillant cible notamment GCash, WeChat, WeCom, QQ, Telegram, WhatsApp, LINE, Zalo, KakaoTalk, Viber et MoMo, et pourrait cloner des comptes WeChat. Les victimes reçoivent des applications légitimes reconditionnées par chargement latéral ou dans le cadre de campagnes d’ingénierie sociale. Le logiciel espion utilise la virtualisation sur l’appareil pour instrumenter les applications ciblées et faciliter la fraude.
Une campagne appelée Gheist utilise des jetons GitHub volés pour déposer un workflow nommé « sync-check » dans des dépôts accessibles. Le workflow imprime les secrets du dépôt dans son propre journal, télécharge ce journal via l’API GitHub, puis supprime l’exécution peu après. Wiz a déclaré avoir récupéré plus de 13 500 branches implantées liées à plus de 850 comptes compromis. La campagne a été détectée pour la première fois à la mi-septembre 2026.
La semaine a également apporté un vaste ensemble de divulgations de vulnérabilités affectant des produits et projets tels que Wasmtime, Fireblocks mpc-lib, COVESA vsomeip, les logiciels ASUS, Drupal, EPICS Base, TianoCore EDK II, GoAhead, Apache Camel, Okta, Apache Kafka, Google Chrome, Mozilla Firefox, le noyau Linux, Veeam, Juniper Networks Session Smart Router, TeamViewer, les caméras IP Intelbras, WatchGuard Fireware OS, Apache Tomcat, Canonical LXD, Langflow OSS et TightVNC. La liste comprenait une vulnérabilité d’exécution de code à distance pré-authentifiée dans TightVNC ainsi que plusieurs vulnérabilités affectant des logiciels largement déployés.
Des chercheurs en sécurité ont également signalé la campagne Searchjacked, impliquant 319 extensions Chrome totalisant 13,4 millions d’installations déclarées. Les extensions détournaient les recherches par l’intermédiaire de serveurs de suivi, capturaient les requêtes et généraient des commissions de recommandation de la part de Bing et Yahoo. D’autres extensions de navigateur malveillantes se faisaient passer pour des portefeuilles de cryptomonnaies ou des applications de documents, avec des activités impliquant le vol de phrases de récupération, de clés privées et de données de navigation.
Microsoft a détaillé deux intrusions opérées par des humains au cours desquelles les attaquants ont utilisé des messages et des appels Teams pour se faire passer pour des membres du personnel informatique ou du service d’assistance. Les opérateurs ont persuadé les utilisateurs d’accorder un accès à distance, principalement via Quick Assist, puis ont déployé des environnements d’exécution portables, effectué une reconnaissance des systèmes et du réseau et examiné Active Directory Certificate Services à la recherche de voies vers une authentification fondée sur des certificats. Microsoft a averti qu’une session à distance approuvée par un utilisateur pouvait conduire à l’accès à des identités privilégiées et à l’infrastructure du domaine.
D’autres développements comprenaient l’utilisation croissante des vulnérabilités pour pénétrer dans les réseaux d’entreprise, l’abus de navigateurs anti-détection tels que Kameleo, AdsPower et MultiLogin pour gérer un grand nombre de comptes, ainsi que des cyberattaques contre les systèmes d’alerte d’urgence en Ukraine et en Russie. L’Ukraine a signalé de fausses alertes nationales aux raids aériens, tandis que la Russie a déclaré que son application d’alerte avait également été attaquée, la décrivant comme un service auxiliaire. Le lien entre les deux incidents n’a pas été établi.
Sources: The Hacker News.