Ep.765 – RadioCSIRT Flash info cybersécurité du mardi 29 septembre 2026

🪟 L’éditeur Microsoft décrit NeedyMantis, un malware chargé par DLL sideloading via des programmes légitimes comme Poedit ou TightVNC, qu’il observe depuis octobre 2025 dans des intrusions ciblées contre des opérateurs télécoms, des universités, des organismes intergouvernementaux et des sous-traitants gouvernementaux. Microsoft compte parmi ses utilisateurs le groupe Storm-3069, lié à la compromission des installeurs de DAEMON Tools Lite du 8 avril au 5 mai 2026, et situe son origine probable en Chine sans attribution étatique. L’éditeur publie des indicateurs et des requêtes de hunting pour Defender XDR et Microsoft Sentinel, limitées à sept jours de recul, et précise qu’un fichier WinSparkle.dll dans le dossier de Poedit se vérifie par son hash. L’éditeur de DAEMON Tools demande de désinstaller la version Lite 12.5.1 téléchargée pendant la période touchée, de lancer une analyse complète et d’installer la version 12.6.

🐛 L’agence de recherche militaire américaine DARPA retient la société Xint, issue de Theori et lauréate du concours AIxCC doté de 29,5 millions de dollars, pour analyser par IA le code source et les binaires des messageries du département de la Guerre. L’outil examine l’application, le noyau et les composants intermédiaires, classe les failles selon leur accessibilité pour un attaquant et génère des correctifs. Xint propose le service en SaaS à ses clients commerciaux ; selon Andrew Wesie, son directeur technique, une version installée chez le client reste en développement.

🎣 L’éditeur ESET décrit un phishing conçu pour passer les contrôles habituels : le QR code, présent dans un email de phishing détecté sur neuf dans sa télémétrie du premier semestre 2026, l’attaque ConsentFix, qui obtient des jetons OAuth sans demande de mot de passe ni de MFA quand une session Microsoft est ouverte, et les variantes de ClickFix comme AI-fix et CrashFix. ESET relève que des salariés suppriment les messages de phishing faute de canal de signalement établi. L’éditeur recommande une authentification résistante au phishing, des contrôles de session et la confirmation des demandes de paiement par un canal vérifié, avec un second approbateur.

🤖 Le fabricant Nvidia lance l’Open Agent Safety Platform, qui associe le logiciel open source OpenShell, chargé de confiner les agents IA dans une sandbox et de contrôler leurs requêtes sortantes, et Sentry, une couche de surveillance matérielle qui tourne sur les processeurs de données BlueField-4. Chaque décision de politique est journalisée, et un agent ne peut pas approuver ses propres demandes de droits. OpenShell est disponible sur GitHub, et les systèmes Vera équipés de BlueField-4 activent Sentry par une mise à jour logicielle. Nvidia cite parmi ses partenaires Anthropic, Salesforce, SAP, CrowdStrike et Microsoft.

Sources :

• Hackers Use NeedyMantis to Maintain Long-Term Access in Breached Networks. The Hacker News : https://thehackernews.com/2026/09/hackers-use-needymantis-to-maintain.html
• DARPA Selects Xint to Use AI in Securing Military Messaging Apps. SecurityWeek : https://www.securityweek.com/darpa-selects-xint-to-use-ai-in-securing-military-messaging-apps/
• The devil is still in the email, but wears a new mask. WeLiveSecurity : https://www.welivesecurity.com/en/business-security/devil-email-wearing-new-mask/
• Nvidia Launches AI Agent Safety Platform to Prevent Rogue Activities. Dark Reading : https://www.darkreading.com/cyber-risk/nvidia-launches-ai-agent-safety-platform-prevent-rogue-activities

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #NeedyMantis #Microsoft #DLLSideloading #DAEMONTools #SupplyChain #DARPA #Xint #AIxCC #AppSec #ESET #Phishing #ConsentFix #ClickFix #QRCode #Nvidia #AIAgents #OpenShell #RadioCSIRT