RadioCSIRT - Edition Française

Nous ouvrons cet épisode avec une sanction de la California Privacy Protection Agency contre Datamasters, courtier en données texan condamné à 45 000 dollars d'amende pour avoir commercialisé des informations de 435 245 patients Alzheimer ainsi que des millions de profils sensibles incluant personnes malvoyantes, personnes souffrant d'addiction et indicateurs de vulnérabilité financière. L'entreprise n'était pas enregistrée comme courtier en données comme l'exige le Delete Act californien depuis janvier 2025.L'Allemagne et Israël ont signé un accord de coopération cybersécurité pour construire une version allemande du cyber dome israélien, système semi-automatisé de détection et réponse aux cyberattaques en temps réel. Le pacte signé à Jérusalem par le ministre de l'Intérieur allemand Dobrindt et le Premier ministre israélien Netanyahu prévoit l'échange d'expertise, le développement conjoint d'outils de cyberdéfense et la création d'un centre d'innovation en IA et cybersécurité. L'accord intervient dans un contexte de menaces croissantes contre l'Allemagne, notamment des acteurs alignés sur la Russie.Cisco a publié des correctifs pour CVE-2025-20393, vulnérabilité zero-day de sévérité maximale dans AsyncOS exploitée depuis novembre 2025 par le groupe APT chinois UAT-9686. La faille affecte les appliances Secure Email Gateway et Secure Email and Web Manager avec configurations non standard exposant la fonctionnalité Spam Quarantine sur Internet. Les attaquants ont déployé des outils de tunneling ReverseSSH et Chisel, l'utilitaire de nettoyage AquaPurge et le backdoor Python AquaShell. Les correctifs sont disponibles pour toutes les versions affectées.Enfin, des chercheurs ont découvert CodeBreach, vulnérabilité critique dans la chaîne d'approvisionnement AWS Console exploitant une mauvaise configuration dans les pipelines CI AWS CodeBuild. Deux caractères manquants dans un filtre regex ont permis le contournement de l'authentification via manipulation des ID utilisateur GitHub, donnant accès administrateur au dépôt aws-sdk-js-v3 et aux identifiants du compte aws-sdk-js-automation. AWS a remédié aux problèmes et introduit un portail d'approbation manuelle pour les builds de pull requests non fiables.Sources : Malwarebytes – Amende Datamasters : https://www.malwarebytes.com/blog/news/2026/01/data-broker-fined-after-selling-alzheimers-patient-info-and-millions-of-sensitive-profilesThe Record – Accord Allemagne-Israël : https://therecord.media/germany-cyber-dome-israelBleepingComputer – Cisco AsyncOS CVE-2025-20393 : https://www.bleepingcomputer.com/news/security/cisco-finally-fixes-asyncos-zero-day-exploited-since-november/CyberPress – Vulnérabilité CodeBreach AWS : https://cyberpress.org/aws-console-supply-chain-attack-github-hijackingcyber/On ne réfléchit pas, on patch !Vos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web : www.radiocsirt.orgNewsletter Hebdo : https://radiocsirt.substack.com

Nous ouvrons cet épisode avec une analyse de Cisco Talos Intelligence sur UAT-8837, un acteur APT lié à la Chine ciblant les infrastructures critiques nord-américaines depuis 2025. Le groupe exploite des vulnérabilités zero-day, notamment CVE-2025-53690 dans SiteCore, et utilise des outils open-source pour la post-compromission : DWAgent, SharpHound, Earthworm et Certipy. Talos évalue qu'UAT-8837 fonctionne comme courtier d'accès initial pour des opérations ultérieures.Malwarebytes a identifié une campagne de phishing sur LinkedIn utilisant de faux commentaires de restriction de compte. Les attaquants créent des profils imitant LinkedIn pour publier des réponses affirmant une non-conformité et rediriger vers des pages de phishing volant les identifiants. LinkedIn a confirmé être au courant et travailler sur des contre-mesures.Le département de police d'Anchorage a mis ses serveurs hors ligne suite à une cyberattaque chez Whitebox Technologies, son prestataire de migration de données, alerté le 7 janvier. Le département informatique a désactivé tous les accès tiers et supervisé la suppression des données. Aucune compromission des systèmes APD n'a été détectée à ce stade.Enfin, le CERT Santé a publié une alerte sur CVE-2026-0227, une vulnérabilité de déni de service dans GlobalProtect et Portal de Palo Alto Networks avec un score CVSS de 7.5. L'exploitation ne nécessite aucun privilège ni interaction utilisateur. Les versions 10.1, 10.2, 11.1, 11.2, 12.1 et Prisma Access sont affectées. Des correctifs sont disponibles.Sources : Cisco Talos Intelligence – UAT-8837 : https://blog.talosintelligence.com/uat-8837/Malwarebytes – Phishing LinkedIn : https://www.malwarebytes.com/blog/news/2026/01/phishing-scammers-are-posting-fake-account-restricted-comments-on-linkedinThe Record – Anchorage Police : https://therecord.media/anchorage-police-takes-servers-offline-after-third-party-attackCERT Santé – CVE-2026-0227 : https://cyberveille.esante.gouv.fr/alertes/palo-alto-cve-2026-0227-2026-01-15On ne réfléchit pas, on patch !Vos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web : www.radiocsirt.orgNewsletter Hebdo : https://radiocsirt.substack.com

Cette année marque une étape symbolique pour la cybersécurité en Principauté : l’Agence Monégasque de Sécurité Numérique (AMSN) a été créée le 23 décembre 2015 et fête donc 10 ans d’action au service de la sécurité numérique de Monaco. L’AMSN est l’autorité nationale en charge de la sécurité des systèmes d’information, et un centre d’expertise, de réponse et de traitement des attaques numériques pour l’État et les Opérateurs d’Importance Vitale (OIV).🛡️ Ce que met en œuvre l’AMSN, concrètement :Prévenir, détecter et traiter les cyberattaques (détection, alerte, traitement des incidents)Réagir en situation de crise et coordonner la réponse opérationnelleEncadrer et contrôler le niveau de sécurité des OIVÉvaluer / certifier produits, systèmes et prestataires, et contribuer à la confiance numérique (liste de confiance, services qualifiés)Représenter Monaco dans les instances et coopérations internationales de sécurité numérique🚨 Zoom opérationnel : le CERT-MCLe CERT-MC est l’équipe de réponse à incident de l’AMSN. Sa doctrine et ses missions sont décrites selon le standard RFC 2350, et il s’inscrit dans les pratiques internationales des CSIRT/CERT.🌍 Coopération et écosystèmePartenariat structurant avec l’ANSSI (France) via un programme de coopération en cybersécurité.Participation à la communauté internationale : présence de l’AMSN et du CERT-MC à la conférence annuelle FIRST (Forum of Incident Response and Security Teams) et à la TF-CSIRT.🔗 Sources (liens complets) :AMSN – Présentation : https://amsn.gouv.mc/decouvrir-l-amsn/presentationCERT-MC – Présentation / RFC 2350 : https://amsn.gouv.mc/cert-mcGouvernement Princier – Missions AMSN (annuaire) : https://www.gouv.mc/Gouvernement-et-Institutions/Le-Gouvernement/Ministere-d-Etat/Agence-Monegasque-de-Securite-NumeriqueLégimonaco – Ordonnance Souveraine n° 5.664 du 23/12/2015 (création AMSN) : https://legimonaco.mc/tnc/ordonnance/2015/12-23-5.664/ANSSI / cyber.gouv.fr – Programme de coopération AMSN–ANSSI : https://cyber.gouv.fr/actualites/signature-dun-nouveau-programme-de-cooperation-entre-lagence-monegasque-de-securiteGouvernement Princier – Participation AMSN à la conférence FIRST : https://www.gouv.mc/Action-Gouvernementale/La-Securite/Actualites/L-Agence-Monegasque-de-Securite-Numerique-participe-a-la-36eme-conference-annuelle-du-Forum-of-Incident-Response-and-Security-Teams

Microsoft ouvre l'année 2026 avec un Patch Tuesday substantiel, corrigeant 114 vulnérabilités dont trois zero-days. Parmi ces failles, la CVE-2026-20805 fait l'objet d'une exploitation active en conditions réelles et a été ajoutée au catalogue KEV de la CISA avec une date limite de correction fixée au 3 février 2026.Cette faille de type Information Disclosure affecte Desktop Window Manager et permet à un attaquant authentifié de lire des adresses mémoire associées au port ALPC distant. Microsoft attribue la découverte de cette vulnérabilité au Microsoft Threat Intelligence Center et au Microsoft Security Response Center, mais ne précise pas les détails de son exploitation.Sur les 114 vulnérabilités corrigées, huit sont classées critiques, incluant six failles d'exécution de code à distance et deux d'élévation de privilèges. Les applications Microsoft Office présentent plusieurs vulnérabilités critiques, notamment dans Word et Excel, exploitables via documents malveillants dans le cadre de campagnes de phishing.Microsoft procède à la suppression des drivers Agere Soft Modem vulnérables, agrsm64.sys et agrsm.sys, qui sont livrés nativement avec les systèmes Windows supportés. L'éditeur avertit également que les certificats Windows Secure Boot émis en 2011 approchent de leur date d'expiration. Les systèmes non mis à jour présentent un risque accru de contournement du Secure Boot par des acteurs malveillants.Les 57 vulnérabilités d'élévation de privilèges corrigées ce mois-ci concernent principalement les drivers kernel Windows et les services de gestion. Windows Server Update Services fait l'objet d'une attention particulière avec la CVE-2026-20856, permettant l'exécution de code à distance sur les systèmes exposés.Les équipes de sécurité doivent prioriser les systèmes exposés sur internet, en commençant par WSUS, suivi des serveurs SMB et des endpoints Office. Les mises à jour Windows 11 sont disponibles via KB5074109 et KB5073455, tandis que Windows 10 reçoit la mise à jour étendue KB5073724.Sources :Krebs on Security – Patch Tuesday janvier 2026 : https://krebsonsecurity.com/2026/01/patch-tuesday-january-2026-edition/Cisco Talos Intelligence – Microsoft Patch Tuesday janvier 2026 : https://blog.talosintelligence.com/microsoft-patch-tuesday-january-2026/On ne réfléchit pas, on patch !Vos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web : www.radiocsirt.orgNewsletter Hebdo : https://radiocsirt.substack.com

Nous ouvrons cet épisode avec une analyse de Check Point Research sur Sicarii, une nouvelle opération de Ransomware-as-a-Service apparue fin 2025. Le groupe se distingue par un branding explicitement israélien et juif, utilisant symboles historiques et références idéologiques inhabituelles pour une opération criminelle. L'analyse révèle de multiples incohérences : l'activité underground est conduite en russe, le contenu en hébreu contient des erreurs suggérant une traduction automatique, et le ransomware intègre un geo-fencing actif pour éviter les systèmes israéliens. Les capacités techniques incluent exfiltration de données, collecte de credentials, exploitation de vulnérabilités Fortinet via CVE-2025-64446, et chiffrement avec extension .sicarii. Check Point conclut que l'identité affichée par Sicarii ne correspond pas nécessairement à ses véritables motivations, suggérant une possible opération de false-flag.La CNIL a infligé une amende de 48 millions de dollars à Free et Free Mobile suite à une faille de sécurité d'octobre 2024. Un attaquant avait compromis les systèmes d'information et accédé aux données personnelles, incluant les IBAN, de 24 millions d'abonnés. L'autorité française a identifié des violations du RGPD, notamment des mesures de sécurité inadéquates avec authentification VPN faible et absence de détection d'activité anormale. Free a été sanctionné à hauteur de 31 millions de dollars et Free Mobile 17 millions. La CNIL a également relevé des manquements dans la notification de violation et la conservation excessive de données d'anciens abonnés.Enfin, Pax8, marketplace cloud pour fournisseurs de services managés, a accidentellement exposé des données de 1800 partenaires MSP. Un email envoyé le 13 janvier par un account manager EMEA à moins de 40 destinataires britanniques contenait un fichier CSV avec plus de 56000 entrées détaillant informations de pricing interne Microsoft, portfolios clients et empreintes de licences. Selon BleepingComputer, des acteurs malveillants proposent déjà d'acheter copies du dataset aux MSP affectés. Ces données permettraient des campagnes de phishing ciblées, compromission d'emails professionnels ou extorsion. Pax8 a contacté les destinataires pour demander suppression du fichier et lancé une revue interne de l'incident.Sources : Check Point Research – Sicarii Ransomware : https://research.checkpoint.com/2026/sicarii-ransomware-truth-vs-myth/The  Record – CNIL amende Free : https://therecord.media/france-data-regulator-fineBleepingComputer – Pax8 exposition données MSP : https://www.bleepingcomputer.com/news/security/cloud-marketplace-pax8-accidentally-exposes-data-on-1-800-msp-partners/ On ne réfléchit pas, on patch !Vos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web : www.radiocsirt.orgNewsletter Hebdo : https://radiocsirt.substack.com