Alors ça c'est du culot les amis ! Des cybercriminels vraisemblablement vietnamiens viennent de se faire remarquer d'une manière plutôt... originale. Leur petit stealer Python embarque carrément une insulte en vietnamien répétée DES MILLIONS de fois dans le code. Et pas n'importe quelle insulte, une qui vise directement Morphisec , un éditeur de solutions de cybersécurité.

Le message "địt mẹ mày Morphisec" (je vous laisse deviner la traduction... Vous ne trouvez pas ? Ça veut dire "Nique ta mère, Morphisec" loool) est bourré partout dans le payload obfusqué. Le fichier de 16 Ko gonfle à 116 Mo une fois décodé, soit une expansion de x7425. Pas vraiment discret donc comme technique, mais efficace pour faire ramer les scripts d'analyse qui se retrouvent à itérer sur des millions de constantes bidon.

Ce sont les chercheurs de Profero qui ont disséqué ce petit bijou et ils y ont découvert que le stealer utilise une chaîne d'infection plutôt sophistiquée. Ça démarre par un binaire Adobe légitime (ADNotificationManager.exe) qui charge une DLL malveillante via sideloading. Ensuite, WinRAR renommé en japonais (lol) extrait une archive, puis Python 3.10 déguisé en svchost.exe entre en scène.

C'est de la sorcellerie !

Et là, le truc vraiment vicieux c'est que le voleur d'infos utilise Telegram comme serveur de commande et contrôle (C&C). Plutôt que de coder en dur des URLs qui se feraient griller en deux secondes, les auteurs ont opté pour une technique de "Dead Drop Resolver". Le malware va chercher ses instructions dans les métadonnées og:description d'une chaîne Telegram publique. C'est pas con, hein ?

Du coup, une fois installé, ce stealer aspire tout ce qui bouge. Identifiants des navigateurs, cookies, portefeuilles crypto... Le genre de trucs qu'on retrouve ensuite dans ces histoires de dev malheureux qui ont installé des extensions malveillantes et qui font des ravages. Les données volées atterrissent sur un canal Telegram privé baptisé "Reset Logs".

L'attribution vietnamienne est donc plutôt solide. L'admin du bot Telegram se fait appeler @Byte_ManzZz, le code contient des tags comme "vietnamnumber1", et y'a des noms de développeurs genre "_ngocuyen" qui laissent peu de place au doute, même si d'autres auraient pu tenter de brouiller les pistes volontairement. Une fois encore, quand il s'agit de cybercriminalité, on est jamais sûr de rien.

Bref, on est face à des gars qui non seulement ont du talent technique mais qui en plus se payent le luxe de narguer l'industrie de la sécu. Ce serait presque drôle... si c'était pas du vol de données en bande organisée.

Source

PDFSider, c'est le nom d'un nouveau malware utilisé par un groupe de ransomware pour déployer des charges malveillantes sur les machines Windows.

Le post Le malware PDFSider utilisé par des groupes de ransomware pour cibler Windows a été publié sur IT-Connect.

Après l'attaque massive de septembre 2025 qui a vérolé 18 packages ultra-populaires (coucou debug et chalk ) et la campagne Shai-Hulud 2.0 qui a siphonné les credentials cloud de 25 000 dépôts GitHub, on peut le dire, on est officiellement dans la sauce. Surtout si vous êtes du genre à faire un npm install comme on traverse l'autoroute les yeux bandés ! Il est donc temps de changer vos habitudes parce qu'entre les crypto-stealers qui vident vos portefeuilles en 2 heures et les malwares qui exfiltrent vos clés AWS, l'écosystème JavaScript ressemble de plus en plus à un champ de mines.

Le rayon d'action de la campagne Shai-Hulud 2.0 - une véritable moisson de secrets ( Source )

D'ailleurs, beaucoup se demandent comment savoir si un package npm est vraiment sûr. Et la réponse classique, c'est de lire le code de toutes les dépendances. Ahahaha... personne ne fait ça, soyons réalistes. Du coup, on se base sur la popularité, sauf que c'est justement ce qu'exploitent les attaques supply chain en ciblant les mainteneurs les plus influents pour injecter leurs saloperies.

C'est là qu'intervient safe-npm , une petite pépite qui va vous éviter bien des sueurs froides. Cela consiste à ne jamais installer une version de package publiée depuis moins de 90 jours. Pourquoi ? Parce que l'Histoire nous apprend que la plupart des compromissions massives sont détectées et signalées par la communauté dans les premiers jours ou semaines. Ainsi, en imposant ce délai de "quarantaine", vous laissez aux experts en sécurité le temps de faire le ménage avant que le malware n'arrive sur votre bécane.

Et hop, un souci en moins !

La supply chain npm, le nouveau terrain de jeu préféré des attaquants ( Source )

Concrètement, si vous voulez react@^18 et que la version 18.5.0 est sortie hier, safe-npm va poliment l'ignorer et installer la version précédente ayant passé le test des 90 jours.

Pour l'installer, c'est du classique :

npm install -g @dendronhq/safe-npm

Des chercheurs en cybersécurité ont remonté la piste d'une nouvelle plateforme malveillante visant les environnements Linux. Baptisée VoidLink, cette boîte à outils sophistiquée est pensée pour infiltrer durablement des environnements cloud et s'adapter en fonction de l'infrastructure ciblée.

Dans un article de blog publié le 5 janvier 2026, les chercheurs de l’entreprise de cybersécurité Securonix mettent en lumière une nouvelle campagne cybercriminelle visant en particulier les établissements hôteliers européens.​ Baptisée PHALT#BLYX, cette opération dissimule son piège derrière un faux écran bleu de la mort de Windows.

MacOS a été pris pour cible par une nouvelle variante du logiciel malveillant MacSync capable de contourner Gatekeeper, grâce à une application Swift signée.

Le post MacOS : cette nouvelle version du malware MacSync contourne la sécurité de Gatekeeper a été publié sur IT-Connect.

Deux extensions malveillantes ont été découvertes sur la Marketplace de Visual Studio Code, dissimulant un infostealer capable de dérober des données sensibles.

Le post Visual Studio Code : ces 2 extensions malveillantes volent vos données avec un malware infostealer a été publié sur IT-Connect.

Dans une étude parue le 20 novembre 2025, les chercheurs de Threat Fabric mettent en lumière les capacités d'espionnage exceptionnelles d'un nouveau malware prêt à être déployé sur les téléphones Android. Son nom ? Sturnus.

Depuis plusieurs mois, une vaste campagne de phishing particulièrement vicieuse piège les clients d'hôtels à travers le monde. La force de cette opération ? Les assaillants connaissent l'établissement, les dates et même le prix exact de la réservation. Voici comment une telle arnaque a pu être mise en place.

Du 10 au 13 novembre 2025, Europol a mené la dernière phase de l'opération Endgame. Les cibles de cet ultime coup de filet ? Le logiciel espion Rhadamanthys, le botnet Elysium et le cheval de Troie VenomRAT. Ce démantèlement est le fruit d'une collaboration entre 11 pays.

C'est une attaque informatique qui progresse : appelée ClickFix, elle cherche à pousser la victime inattentive à commettre une faute, en pensant exécuter une série d'actions inoffensives.

Dans un article publié le 5 novembre 2025, Google Threat Intelligence dévoile ses dernières analyses sur les menaces cyber. Le rapport met en avant un nouveau type de malwares exploitant les IA génératives pour renforcer leurs attaques. Parmi eux, PROMPTFLUX, un logiciel capable de réécrire son code source chaque heure pour échapper à la détection.

Le 3 novembre 2025, l’unité d’enquête cybernétique de la police de Gyeonggi Nambu, en Corée du Sud, a annoncé l’arrestation de cinq individus soupçonnés d’avoir mené une opération d’extorsion en ligne visant une soixantaine de victimes. Le point de départ de l'affaire ? Une fausse application de gestion de clientèle destinée aux salons de massage.

Dans un rapport publié le 23 octobre 2025, la société de services réseaux Infoblox met en lumière la face cachée du navigateur Universe Browser. L'outil, téléchargé des millions de fois, promettait à ses utilisateurs un respect de leur vie privée et la possibilité de contourner la censure dans les pays où les jeux d'argent en ligne sont interdits.

Cet article a été réalisé en collaboration avec ESET

Se prémunir contre les nouvelles arnaques en ligne est bien plus simple que vous ne l’imaginez. Le tout est de s’équiper du bon outil, pensé pour contrer les nouvelles formes de cybermenaces. ESET Home Security en fait partie et profite en prime d’une offre attractive.

Cet article a été réalisé en collaboration avec ESET

Il s’agit d’un contenu créé par des rédacteurs indépendants au sein de l’entité Humanoid xp. L’équipe éditoriale de Numerama n’a pas participé à sa création. Nous nous engageons auprès de nos lecteurs pour que ces contenus soient intéressants, qualitatifs et correspondent à leurs intérêts.

En savoir plus