Incidents : Logiciel malveillant
Incidents de type Logiciel malveillant, du plus récent au plus ancien.
Un logiciel malveillant chez Quantum Systems entraîne l’arrêt des drones de l’armée allemande
Impact : Suspension temporaire de l’utilisation des drones du fabricant par l’armée fédérale allemande
Le fabricant allemand de drones Quantum Systems a détecté une cyberattaque contre ses serveurs internes fin octobre 2026. Des fichiers de mise à jour contenant un logiciel malveillant avaient été implantés sur les serveurs, dans ce qui aurait été une tentative d’affecter le fonctionnement des drones par le biais des mises à jour. L’entreprise a ouvert une enquête conjointe avec les autorités, et l’armée fédérale allemande a temporairement suspendu l’utilisation des drones du fabricant par précaution.
Articles liés : 12 · dernier article →Une mise à jour malveillante immobilise temporairement des drones de la Bundeswehr
↳ Dommages en cascade de l’incident Quantum Systems · Voir l’incident d’origineImpact : Suspension temporaire de l'utilisation des drones de Quantum Systems
Quantum Systems a détecté une cyberattaque fin octobre, et une mise à jour malveillante a été diffusée via son serveur de mise à jour QBase. La Bundeswehr a suspendu l'utilisation des drones de l'entreprise par précaution. Les vols des drones concernés ont ensuite repris.
Articles liés : 10 · dernier article →Des comptes GitHub piratés utilisés pour voler des données dans 1 806 dépôts
Impact : 4 837 comptes utilisés abusivement, 61 764 dépôts explorés et code de vol de données exécuté dans au moins 1 806 dépôts
Dans l’attaque wfx-loot observée depuis le 10 novembre, 4 837 comptes GitHub piratés ont été utilisés pour explorer 61 764 dépôts. Les attaquants ont exécuté du code de vol d’identifiants dans au moins 1 806 dépôts et collecté des clés de services cloud, de développement et d’IA au moyen notamment de GitHub Actions et de scripts d’installation npm. Le mode de compromission initial des comptes à l’échelle de la campagne n’a pas été établi.
Articles liés : 7 · dernier article →ScreenConnect détourné : des ordinateurs compromis dans 48 organisations
Impact : Installation d’un logiciel d’accès à distance sur au moins 288 ordinateurs dans 48 organisations
Des attaquants ont exploité un environnement de gestion ScreenConnect dans le cloud et des extensions tierces pour installer un logiciel d’accès à distance à leur usage sur au moins 288 ordinateurs dans 48 organisations. ConnectWise a désactivé cinq extensions tierces potentiellement liées à l’incident dans environ 400 environnements partenaires. L’entreprise enquête sur des attaques visant les utilisateurs de ScreenConnect.
Articles liés : 6 · dernier article →Un logiciel malveillant de Turla infiltre les serveurs de messagerie du gouvernement roumain
Impact : Compromission des systèmes de messagerie d’organismes gouvernementaux roumains
En décembre 2025, une intrusion menée par Turla, un groupe de pirates lié au FSB russe, a été découverte dans les systèmes de messagerie d’organismes gouvernementaux roumains. Les attaquants ont installé l’outil malveillant Cereal sur des serveurs Exchange et l’ont configuré pour collecter de manière sélective les courriels relatifs à l’OTAN et à l’UE. Les services de renseignement roumains ont déclaré avoir rétabli les services et bloqué l’attaque, précisant qu’aucune exfiltration d’informations sensibles n’avait été confirmée.
Articles liés : 11 · dernier article →Un script de collecte de données injecté dans la page de paiement de Nordace
Un conteneur Google Tag Manager non autorisé et un script de collecte de données ont été injectés dans la page de paiement de Nordace, une entreprise hongkongaise d’articles de voyage. Le script pouvait transmettre des adresses, des coordonnées et des informations de carte bancaire vers une destination externe, mais aucune collecte effective d’informations n’a été confirmée.
Lire sur ISSSource ↗Un logiciel voleur de portefeuilles injecté dans les versions officielles d’Ethersphere
Le processus automatisé de publication officiel d’Ethersphere a été compromis, et un logiciel malveillant a été injecté dans bee-js 13.3.0 et Swarm Desktop 0.56.2. L’attaquant a exploité des identifiants dérobés liés à l’automatisation des publications pour diffuser les versions malveillantes par les canaux légitimes de publication npm et de mise à jour de l’application de bureau. Le logiciel malveillant était conçu pour voler les clés et les mots de passe des portefeuilles et installer des portes dérobées sur Windows, macOS et Linux, mais l’ampleur réelle des infections et des vols d’actifs n’a pas été établie.
Articles liés : 5 · dernier article →Université des études étrangères de Busan : suspicion de logiciel malveillant sur un PC professionnel et crainte de fuite de données
Les autorités chargées de l’enquête ont averti l’Université des études étrangères de Busan après avoir constaté des indices d’une possible infection par un logiciel malveillant et d’une éventuelle fuite de données personnelles sur un PC professionnel de son institut de formation continue. Ce PC contenait notamment les numéros d’enregistrement des résidents, les numéros de compte bancaire et les coordonnées de participants à des programmes de formation et de personnes liées à des prestataires de services. L’université cherche à déterminer si une fuite a effectivement eu lieu ainsi que l’ampleur et l’étendue des dommages.
Articles liés : 9 · dernier article →De faux outils de sécurité sur GitHub infectent au moins 2 000 PC Windows
Impact : Au moins 2 000 PC Windows infectés
Des attaquants ont publié sur GitHub des projets malveillants présentés comme des outils d’analyse de sécurité et de journaux afin de diffuser des logiciels malveillants auprès de professionnels de la sécurité et de développeurs. Les logiciels diffusés comprenaient AsyncRAT et des logiciels de vol d’informations, et au moins 2 000 PC Windows ont été infectés. Dr.Web a publié un rapport d’analyse technique le 5 novembre, sans que les noms des organisations touchées soient divulgués.
Articles liés : 2 →Des failles Plex exploitées pour installer des mineurs et des proxys sur des NAS QNAP
Impact : NAS de certains utilisateurs compromis ; nombre d'appareils touchés non divulgué
Plex Media Server exécuté sur des NAS QNAP a été compromis par une attaque exploitant la chaîne de vulnérabilités Plex2Shell. Les attaquants ont exécuté des logiciels malveillants à distance sans authentification et installé des mineurs de cryptomonnaies et des programmes de proxy résidentiel sur certains appareils. QNAP a recommandé une mise à jour vers la dernière version et indiqué apporter son soutien aux utilisateurs touchés, sans perte de données confirmée.
Articles liés : 5 · dernier article →Des IP du réseau de la Maison-Blanche liées à des proxys résidentiels
Impact : Indices montrant que six adresses IP du réseau ont servi de nœuds de sortie pour 28 services de proxys résidentiels
Des chercheurs ont découvert des indices montrant que six adresses IP du réseau de la Maison-Blanche avaient servi de nœuds de sortie pour 28 services de proxys résidentiels. Une autre société de recherche a conclu qu’InfaticaSDK avait été exécuté sur un appareil sous Windows 11. Aucune confirmation officielle d’une compromission par la Maison-Blanche n’a été relevée.
Lire sur SecurityWeek ↗Un script d’analyse de Plerdy altéré diffuse des codes d’exploitation mobiles
Un attaquant soupçonné d’être APT29 a altéré le script de suivi du service ukrainien d’analyse web Plerdy pour diffuser des codes exploitant des vulnérabilités d’iOS et d’Android. L’attaque a également utilisé des sites web compromis et des domaines usurpés pour viser des cibles en Ukraine, aux États-Unis, au Royaume-Uni et en Europe.
Lire sur BreachNews ↗Deux personnes inculpées pour le piratage de systèmes universitaires américains à des fins de minage
Impact : Utilisation abusive de réseaux d’établissements d’enseignement et de supercalculateurs universitaires dans plusieurs États américains
Deux Canadiens ont été inculpés pour avoir infiltré, entre 2016 et 2019, les réseaux d’établissements d’enseignement et des supercalculateurs universitaires dans plusieurs États américains afin d’y installer des logiciels malveillants et de minage de cryptomonnaies. Les systèmes compromis ont notamment servi à miner de l’Electroneum et à stocker des identifiants de connexion volés. L’un des accusés a été extradé vers les États-Unis.
Articles liés : 2 →Des applications malveillantes diffusées via des sites légitimes sous couvert de mises à jour du navigateur Samsung
Des indices ont révélé l’insertion de scripts externes incitant à installer des applications malveillantes sur des sites légitimes de divers secteurs, notamment la pêche, le matériel audio et les hôpitaux. Ces scripts se font passer pour des mises à jour du navigateur Samsung afin d’inciter à installer une application, et l’application malveillante finale fonctionne en n’apparaissant pas dans la liste habituelle des applications.
Lire sur 전자신문 ↗Un groupe lié à la Chine exploite les communications de Sogou Input Method pour diffuser une porte dérobée
Impact : Diffusion d’une porte dérobée auprès d’institutions, d’utilisateurs sinophones et d’entreprises multinationales de jeux d’argent dans plusieurs pays
Le groupe SlippyNunchucks, lié à la Chine, a exploité les requêtes DNS et les communications non chiffrées de Sogou Input Method et d’autres logiciels pour diffuser la porte dérobée DarkVigil. Des victimes ont été observées à Hong Kong, en Thaïlande, au Japon, au Vietnam, au Sri Lanka, à Oman et ailleurs, parmi lesquelles des institutions, des utilisateurs sinophones et des entreprises multinationales de jeux d’argent. Cette campagne d’attaque a été révélée le 4 novembre.
Articles liés : 2 →Des fichiers du lanceur PC de NIKKE altérés diffusent un logiciel malveillant
Un domaine externe utilisé par le lanceur PC de GODDESS OF VICTORY: NIKKE a été détourné le 27 septembre 2026 et quatre scripts du CDN officiel ont été altérés, entraînant la diffusion d’un logiciel malveillant sur les PC des utilisateurs à partir du 30 octobre. Ce logiciel permettait la prise de contrôle à distance et le vol d’identifiants de navigateur, de portefeuilles de cryptoactifs et d’identifiants d’outils de développement, mais l’ampleur réelle des fuites d’informations n’a pas été confirmée. Level Infinite a détecté l’anomalie le 4 novembre, remplacé les fichiers altérés, actualisé le cache du CDN et signalé l’incident à la Korea Internet & Security Agency (KISA), tout en déployant une fonction d’analyse et de suppression automatiques et en ouvrant un dispositif de signalement des préjudices.
Articles liés : 32 · dernier article →Un faux CAPTCHA sur le site de l'University of Seoul incite à exécuter des commandes malveillantes
De l'après-midi du 30 octobre au 3 novembre, un faux CAPTCHA a été affiché sur le site officiel de l'University of Seoul, incitant les visiteurs à exécuter des commandes malveillantes. L'université a pris connaissance de l'incident dans la matinée du 3 novembre et a pris des mesures pour empêcher l'affichage de cet écran à partir de 14 heures. Un étudiant a déclaré avoir suivi les instructions, et l'université a notamment recommandé de couper la connexion à Internet et de formater les PC concernés, tout en promettant une aide au formatage. Le point d'entrée et la cause font l'objet d'une enquête, et l'ampleur réelle des infections n'a pas été confirmée.
Articles liés : 7 · dernier article →Canal de mise à jour de cPGuard compromis : environ 2 950 serveurs clients infectés
Impact : Exécution de scripts malveillants sur environ 2 950 serveurs clients ; vol de coordonnées de clients, d’empreintes de mots de passe et d’informations sensibles des serveurs
Un attaquant a dérobé des identifiants d’OPSSHIELD, développeur de cPGuard, puis s’est introduit dans son infrastructure de distribution des mises à jour pour diffuser des mises à jour malveillantes. Environ 2 950 serveurs Linux de clients ont exécuté des scripts malveillants, entraînant l’installation de portes dérobées et la collecte d’empreintes de mots de passe, de clés SSH et d’identifiants de bases de données et de services cloud. Les coordonnées des clients et leurs mots de passe hachés ont également été dérobés sur le serveur de facturation et de gestion des licences d’OPSSHIELD.
Articles liés : 7 · dernier article →Beget en Russie : une attaque par effacement détruit des données cloud et des sauvegardes
Impact : Perte de données VPS, S3 et Kubernetes et d’une partie des sauvegardes, et perturbations des sites web, des messageries et des services DNS
Le fournisseur russe de services cloud et d’hébergement Beget a subi une cyberattaque entre la nuit du 1er novembre et le 2 novembre, perdant des données VPS, S3 et Kubernetes ainsi qu’une partie de ses sauvegardes. L’attaquant a pénétré dans le système de gestion et exécuté un logiciel malveillant d’effacement de données, provoquant des perturbations généralisées des sites web, des messageries et des services DNS des clients. L’entreprise a déconnecté tous ses serveurs du réseau pour empêcher la propagation de l’attaque et entrepris la reconstruction et la restauration de son infrastructure. Au 10 novembre, elle avait rétabli 60 % de l’hébergement mutualisé et 40 % des serveurs dédiés, mais estimait que les sauvegardes de fichiers restantes ne permettraient une restauration que pour environ la moitié des utilisateurs de VPS.
Articles liés : 13 · dernier article →Des députés et responsables allemands alertés d’attaques par logiciel espion sur iPhone
Des membres du Parlement fédéral allemand et des responsables gouvernementaux chargés des affaires étrangères ont notamment été avertis par Apple que leur téléphone avait pu être piraté à l’aide d’un logiciel espion. L’Office fédéral allemand de la sécurité des technologies de l’information leur a conseillé de considérer leurs appareils comme infectés et de les remplacer. La compromission effective des appareils, l’ampleur des infections et l’identité des auteurs des attaques n’ont pas été confirmées.
Articles liés : 3 · dernier article →