RadioCSIRT : Edition Française

• RadioCSIRT – Votre actu cybersécurité du Jeudi 11 décembre 2025 (Ép.514)

  Bienvenue sur votre podcast quotidien consacré à la cybersécurité.Le noyau Linux 5.4 atteint officiellement sa fin de vie. Après plusieurs années de support LTS, cette version massivement déployée dans Ubuntu, ChromeOS, Android et systèmes embarqués ne reçoit plus aucun correctif de sécurité upstream. Les équipements industriels, IoT et appliances réseau restent figés sur cette version sans voie de migration rapide. Techniquement, migrer vers les kernels 6.1 ou 6.6 LTS nécessite une validation des drivers propriétaires et modules personnalisés. L'exposition réglementaire concerne particulièrement les organisations sous contraintes RGPD ou sectorielles.Check Point publie une analyse complète du backdoor ValleyRAT incluant un rootkit kernel-mode. Le builder, leaked publiquement en mars 2025, révèle 19 plugins principaux dont le Driver Plugin embarquant un rootkit 64-bit signé. Basé sur le rootkit Hidden modifié, il implémente file hiding, registry filtering, process protection et injection APC user-mode. Capacité critique : suppression forcée de drivers EDR/AV et installation stealthy via technique MalSeclogon. Sept variantes de rootkit détectées en production avec certificats expirés mais signés avant 2015, donc chargeables via exceptions Windows Driver Signing Policy même sur Windows 11 fully patched. Statistique alarmante : 85% des 6000 samples ValleyRAT détectés apparaissent dans les six derniers mois, corrélés au leak public du builder.Google corrige la CVE-2025-13223, huitième zero-day Chrome activement exploité en 2025. Cette vulnérabilité de type type-confusion dans le moteur V8 JavaScript a été signalée par le Threat Analysis Group de Google. Les versions corrigées sont 144.0.7444.175 pour Windows et Linux, et 144.0.7444.176 pour macOS. L'année 2025 cumule déjà huit zero-days Chrome, majoritairement dans V8, exploités par des APTs et acteurs spyware avant déploiement des patches.Des hackers anonymes violent l'infrastructure de Mikord, développeur présumé du registre militaire russe unifié. Le groupe a contacté l'ONG russe anti-guerre Idite Lesom, transmettant documents internes incluant code source et dossiers techniques. Le site web Mikord est offline depuis plusieurs jours. Le média letton Important Stories a vérifié les matériaux volés confirmant la participation de Mikord au projet. Le Ministère de la Défense russe dément toute intrusion. Ce breach intervient dans un contexte d'escalade cyber bidirectionnelle, après les attaques russes présumées contre les registres d'État ukrainiens début décembre.Flare identifie 10456 images Docker Hub exposant des credentials actifs lors d'un scan en novembre 2025. Plus de 100 organisations sont affectées, incluant une Fortune 500 et une banque nationale majeure. 42% des containers exposent cinq secrets ou plus par image. La catégorie dominante : 4000 tokens API de modèles IA. Pattern critique : comptes personnels Docker Hub de développeurs ou contractors hors monitoring corporate. Statistique aggravante : 25% des développeurs suppriment le secret exposé sous 48 heures, mais 75% ne révoquent jamais la clé sous-jacente, laissant les credentials valides et exploitables.La CISA ajoute les CVE-2025-6218 et CVE-2025-62221 au catalogue KEV avec deadline au 30 décembre 2025. La CVE-2025-6218 est une vulnérabilité path traversal dans WinRAR avec score CVSS de 7.8, permettant l'exécution de code arbitraire. La CVE-2025-62221 est un use-after-free dans Windows Cloud Files Mini Filter Driver, également CVSS 7.8, permettant une élévation de privilèges vers SYSTEM. L'inclusion au KEV signale une exploitation active confirmée.On ne réfléchit pas, on patch !Sources :Linux Journal : https://www.linuxjournal.com/content/linux-kernel-54-reaches-end-life-time-retire-workhorseCheck Point Research : https://research.checkpoint.com/2025/cracking-valleyrat-from-builder-secrets-to-kernel-rootkits/Malwarebytes : https://www.malwarebytes.com/blog/news/2025/12/another-chrome-zero-day-under-attack-update-nowThe Record : https://therecord.media/hackers-reportedly-breach-developer-involved-in-russian-military-databaseBleepingComputer / Flare : https://flare.io/learn/resources/docker-hub-secrets-exposed/Security Affairs : https://securityaffairs.com/185523/security/u-s-cisa-adds-microsoft-windows-and-winrar-flaws-to-its-known-exploited-vulnerabilities-catalog.htmlVos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web : www.radiocsirt.orgNewsletter Hebdo : https://radiocsirt.substack.com

  --------  

  5:54

  --------

  5:54
• RadioCSIRT – Votre actu cybersécurité du Mercredi 10 décembre 2025 (Ép.513)

  Bienvenue sur votre podcast quotidien consacré à la cybersécurité.Microsoft refuse de corriger une vulnérabilité RCE critique dans le framework .NET affectant la classe SoapHttpClientProtocol. Révélée lors de Black Hat Europe par le chercheur Piotr Bazydło de WatchTowr, la faille permet l'écriture arbitraire de fichiers via manipulation d'URLs SOAP. L'exploitation repose sur le support inattendu des protocoles FILE et FTP par une classe censée gérer uniquement HTTP. Les produits vulnérables confirmés incluent Ivanti Endpoint Manager, Umbraco 8 CMS et Barracuda Service Center, mais le nombre réel d'applications affectées est probablement massif.Le CERT-FR publie l'avis CERTFR-2025-AVI-1088 concernant quatre vulnérabilités critiques dans Ivanti Endpoint Manager 2024. Les CVE-2025-10573, CVE-2025-13659, CVE-2025-13661 et CVE-2025-13662 permettent l'exécution de code arbitraire à distance, le contournement de la politique de sécurité et l'injection XSS. Seules les versions antérieures à 2024 SU4 SR1 sont affectées. Le patch est disponible depuis le 9 décembre 2025.Le CERT-FR émet également l'avis CERTFR-2025-AVI-1084 concernant 17 bulletins de sécurité Fortinet couvrant 18 CVE. L'intégralité du portefeuille Fortinet est affecté : FortiOS, FortiProxy, FortiManager, FortiAnalyzer, FortiWeb, FortiSandbox, FortiExtender, FortiAuthenticator, FortiVoice, FortiSOAR, FortiPAM, FortiSRA, FortiSASE, FortiSwitchManager et FortiPortal. Les vulnérabilités critiques incluent l'exécution de code à distance, l'élévation de privilèges et l'injection SQL.Enfin, la Police Nationale espagnole arrête un individu de 19 ans à Igualada pour vol et commercialisation de 64 millions d'enregistrements de données personnelles provenant de neuf entreprises. Les données exfiltrées incluent numéros DNI, adresses, téléphones, emails et codes IBAN. Le suspect utilisait six comptes en ligne et cinq pseudonymes pour vendre les bases de données sur des forums underground. Les autorités ont saisi du matériel électronique et gelé un portefeuille crypto.On ne réfléchit pas, on patch !Sources :The Register : https://www.theregister.com/2025/12/10/microsoft_wont_fix_net_rce/CERT-FR : https://www.cert.ssi.gouv.fr/avis/CERTFR-2025-AVI-1088/CERT-FR : https://www.cert.ssi.gouv.fr/avis/CERTFR-2025-AVI-1084/The Record : https://therecord.media/spain-arrests-teen-suspect-data-theft-and-saleVos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web : www.radiocsirt.orgNewsletter Hebdo : https://radiocsirt.substack.com

  --------  

  9:48

  --------

  9:48
• RadioCSIRT - Flash Info

  La CISA, le FBI et la NSA publient l'avis conjoint AA25-343A le 9 décembre 2025, alertant sur des campagnes actives de quatre groupes hacktivistes pro-russes exploitant des vulnérabilités VNC dans les systèmes OT/ICS à l'échelle mondiale.ACTEURS DE MENACE IDENTIFIÉS :Cyber Army of Russia Reborn (CARR) - Lien confirmé GRU unité 74455NoName057(16) - Création du CISM KremlinZ-Pentest - Fusion CARR/NoName, spécialisé OTSector16 - Émergence janvier 2025VECTEUR D'ATTAQUE :Exploitation massive de services VNC exposés (ports 5900-5910) avec identifiants par défaut/faibles sur dispositifs HMI. Accès direct SCADA causant modifications de paramètres, désactivation d'alarmes et perturbations opérationnelles dans les secteurs eau, énergie et agriculture.ACTIONS IMMÉDIATES :Scanner la surface d'attaque externe, éliminer les identifiants par défaut, implémenter la MFA, appliquer la segmentation IT/OT, déployer une surveillance continue des connexions VNC non autorisées.PUBLIC CIBLE :CERT, CSIRT, Équipes SOC, RSSI, Opérateurs d'Infrastructures CritiquesDURÉE : 12 minutes pour comprendre l'alerte#Cybersécurité #OT #ICS #SCADA #ThreatIntelligence #InfrastructuresCritiques #CISA #SecNum

  --------  

  12:19

  --------

  12:19
• RadioCSIRT – Votre actu cybersécurité du Mardi 9 décembre 2025 (Ép.512)

  Bienvenue sur votre podcast quotidien consacré à la cybersécurité.Microsoft Patch Tuesday de Décembre 2025, retrouvez mon analyse sur mon blog en sus du podcast !Le NCSC britannique publie une analyse technique majeure concernant la sécurité des IA génératives : traiter l'Injection de Prompt comme une simple Injection SQL est une erreur dangereuse. L'agence souligne que contrairement aux bases de données, les LLM ne possèdent pas de frontière stricte entre instructions et données ("Inherently Confusable Deputy"). Par conséquent, les filtres sont inefficaces et la seule mitigation réelle repose sur une architecture limitant les privilèges des outils accessibles par l'IA.Une vulnérabilité critique de contournement d'authentification frappe la librairie Ruby SAML. La faille, traquée sous la CVE-2025-25293, permet à des attaquants d'exploiter une différence de parsing XML pour forger des signatures valides (XML Signature Wrapping). Les organisations utilisant ce protocole pour leur SSO doivent impérativement passer à la version 1.18.0 pour éviter toute intrusion.La police polonaise a procédé à l'arrestation de trois ressortissants ukrainiens à Varsovie, interceptés avec un arsenal de piratage matériel sophistiqué. Les suspects étaient équipés de Flipper Zero, d'antennes radio et de dispositifs de contre-surveillance (K19), confirmant la persistance de la menace "Close Access" ciblant physiquement les infrastructures critiques et les réseaux de défense.L'acteur menaçant Storm-0249 fait évoluer ses tactiques pour préparer le terrain aux ransomwares. Délaissant le simple rôle de courtier, le groupe utilise désormais l'ingénierie sociale "ClickFix" et des techniques de DLL Side-loading (notamment via des agents SentinelOne compromis) pour voler les identifiants machines (MachineGuid) et assurer la persistance de l'attaque.L'hébergeur suisse Infomaniak lance Euria, une alternative souveraine aux IA américaines. Hébergée en Suisse et alimentée à l'énergie renouvelable, cette solution garantit que les données ne sont jamais utilisées pour l'entraînement des modèles, offrant une option viable pour le traitement de données d'entreprise sensibles (TLP:AMBER) sans risque juridique lié au Cloud Act.Enfin, l'agence australienne ASD alerte sur une recrudescence mondiale des Infostealers. Ces malwares ne se limitent plus aux mots de passe mais exfiltrent massivement les cookies de session pour contourner le MFA, devenant le vecteur d'entrée privilégié pour les réseaux d'entreprise.Et n'oubliez pas : ce soir, c'est le dernier Patch Tuesday de l'année !On ne réfléchit pas, on patch !Sources :NCSC UK : https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injectionCyberPress : https://cyberpress.org/critical-ruby-saml-flaw/Security Affairs : https://securityaffairs.com/185480/cyber-crime/polish-police-arrest-3-ukrainians-for-possessing-advanced-hacking-tools.htmlThe Hacker News : https://thehackernews.com/2025/12/storm-0249-escalates-ransomware-attacks.htmlGoodTech : https://goodtech.info/euria-ia-gratuite-suisse-alternative-chatgpt-chauffage/Cyber.gov.au (ASD) : https://www.cyber.gov.au/about-us/view-all-content/news/information-stealers-are-on-the-rise-are-you-at-riskPatch Tuesday Blog Marc Frédéric GOMEZ : https://blog.marcfredericgomez.fr/patch-tuesday-decembre-2025/Vos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web : www.radiocsirt.orgNewsletter Hebdo : https://radiocsirt.substack.com

  --------  

  12:14

  --------

  12:14
• RadioCSIRT – Votre actu cybersécurité du Lundi 8 décembre 2025 (Ép.511)

  Bienvenue sur votre podcast quotidien consacré à la cybersécurité.Le CERT-FR publie un avis concernant une vulnérabilité affectant la plateforme MISP. Cette faille, présente dans certaines configurations, permet à un attaquant non authentifié d’accéder à des informations ou fonctionnalités sans disposer des privilèges nécessaires. Le CERT-FR invite les organisations utilisant MISP à appliquer immédiatement les correctifs ou contournements fournis afin d’éviter toute exploitation.Le CERT-FR publie également une alerte à destination des détenteurs d’iPhone. Des campagnes actives de compromission ciblent les utilisateurs via des chaînes d’exploitation sophistiquées permettant l’exécution de code à distance. Les attaques s’appuient sur plusieurs vulnérabilités, visant en particulier des terminaux non mis à jour ou exposés sur des réseaux non maîtrisés. L’application rapide des mises à jour Apple est impérative pour contrer ces opérations.Google renforce la sécurité de Chrome en ajoutant une nouvelle couche de défense dédiée à la navigation « agentique » propulsée par Gemini. Cette protection supplémentaire vise à limiter les abus potentiels lors de l’exécution automatisée de tâches par l’IA, notamment en empêchant les sites malveillants d’influencer ou manipuler les décisions de l’agent Gemini lors des interactions complexes avec des pages web.Une panne affectant les services Porsche en Russie rappelle une nouvelle fois les risques structurels liés à la sécurité des véhicules connectés. L’incident souligne la dépendance croissante aux infrastructures numériques pour des fonctions critiques, et met en lumière les vecteurs potentiels permettant à des attaquants de perturber ou de manipuler les systèmes embarqués et les services associés.On ne réfléchit pas, on patch !Sources :CERT-FR : https://www.cert.ssi.gouv.fr/avis/CERTFR-2025-AVI-1076/CERT-FR : https://www.cert.ssi.gouv.fr/cti/CERTFR-2025-CTI-010/BleepingComputer : https://www.bleepingcomputer.com/news/security/google-chrome-adds-new-security-layer-for-gemini-ai-agentic-browsing/SecurityAffairs : https://securityaffairs.com/185398/security/porsche-outage-in-russia-serves-as-a-reminder-of-the-risks-in-connected-vehicle-security.htmlVos retours sont les bienvenus.Répondeur : 07 68 72 20 09Email : [email protected] web : www.radiocsirt.orgNewsletter Hebdo : https://radiocsirt.substack.com

  --------  

  8:29

  --------

  8:29

Más podcasts de Noticias

Podcasts a la moda de Noticias

Acerca de RadioCSIRT : Edition Française

RadioCSIRT : Edition Française: Podcasts del grupo