RadioCSIRT – Votre actu cybersécurité du Jeudi 11 décembre 2025 (Ép.514)

Bienvenue sur votre podcast quotidien consacré à la cybersécurité.

Le noyau Linux 5.4 atteint officiellement sa fin de vie. Après plusieurs années de support LTS, cette version massivement déployée dans Ubuntu, ChromeOS, Android et systèmes embarqués ne reçoit plus aucun correctif de sécurité upstream. Les équipements industriels, IoT et appliances réseau restent figés sur cette version sans voie de migration rapide. Techniquement, migrer vers les kernels 6.1 ou 6.6 LTS nécessite une validation des drivers propriétaires et modules personnalisés. L’exposition réglementaire concerne particulièrement les organisations sous contraintes RGPD ou sectorielles.

Check Point publie une analyse complète du backdoor ValleyRAT incluant un rootkit kernel-mode. Le builder, leaked publiquement en mars 2025, révèle 19 plugins principaux dont le Driver Plugin embarquant un rootkit 64-bit signé. Basé sur le rootkit Hidden modifié, il implémente file hiding, registry filtering, process protection et injection APC user-mode. Capacité critique : suppression forcée de drivers EDR/AV et installation stealthy via technique MalSeclogon. Sept variantes de rootkit détectées en production avec certificats expirés mais signés avant 2015, donc chargeables via exceptions Windows Driver Signing Policy même sur Windows 11 fully patched. Statistique alarmante : 85% des 6000 samples ValleyRAT détectés apparaissent dans les six derniers mois, corrélés au leak public du builder.

Google corrige la CVE-2025-13223, huitième zero-day Chrome activement exploité en 2025. Cette vulnérabilité de type type-confusion dans le moteur V8 JavaScript a été signalée par le Threat Analysis Group de Google. Les versions corrigées sont 144.0.7444.175 pour Windows et Linux, et 144.0.7444.176 pour macOS. L’année 2025 cumule déjà huit zero-days Chrome, majoritairement dans V8, exploités par des APTs et acteurs spyware avant déploiement des patches.

Des hackers anonymes violent l’infrastructure de Mikord, développeur présumé du registre militaire russe unifié. Le groupe a contacté l’ONG russe anti-guerre Idite Lesom, transmettant documents internes incluant code source et dossiers techniques. Le site web Mikord est offline depuis plusieurs jours. Le média letton Important Stories a vérifié les matériaux volés confirmant la participation de Mikord au projet. Le Ministère de la Défense russe dément toute intrusion. Ce breach intervient dans un contexte d’escalade cyber bidirectionnelle, après les attaques russes présumées contre les registres d’État ukrainiens début décembre.

Flare identifie 10456 images Docker Hub exposant des credentials actifs lors d’un scan en novembre 2025. Plus de 100 organisations sont affectées, incluant une Fortune 500 et une banque nationale majeure. 42% des containers exposent cinq secrets ou plus par image. La catégorie dominante : 4000 tokens API de modèles IA. Pattern critique : comptes personnels Docker Hub de développeurs ou contractors hors monitoring corporate. Statistique aggravante : 25% des développeurs suppriment le secret exposé sous 48 heures, mais 75% ne révoquent jamais la clé sous-jacente, laissant les credentials valides et exploitables.

La CISA ajoute les CVE-2025-6218 et CVE-2025-62221 au catalogue KEV avec deadline au 30 décembre 2025. La CVE-2025-6218 est une vulnérabilité path traversal dans WinRAR avec score CVSS de 7.8, permettant l’exécution de code arbitraire. La CVE-2025-62221 est un use-after-free dans Windows Cloud Files Mini Filter Driver, également CVSS 7.8, permettant une élévation de privilèges vers SYSTEM. L’inclusion au KEV signale une exploitation active confirmée.

On ne réfléchit pas, on patch !

Sources :

• Linux Journal : https://www.linuxjournal.com/content/linux-kernel-54-reaches-end-life-time-retire-workhorse
• Check Point Research : https://research.checkpoint.com/2025/cracking-valleyrat-from-builder-secrets-to-kernel-rootkits/
• Malwarebytes : https://www.malwarebytes.com/blog/news/2025/12/another-chrome-zero-day-under-attack-update-now
• The Record : https://therecord.media/hackers-reportedly-breach-developer-involved-in-russian-military-database
• BleepingComputer / Flare : https://flare.io/learn/resources/docker-hub-secrets-exposed/
• Security Affairs : https://securityaffairs.com/185523/security/u-s-cisa-adds-microsoft-windows-and-winrar-flaws-to-its-known-exploited-vulnerabilities-catalog.html

Vos retours sont les bienvenus.
Répondeur : 07 68 72 20 09
Email : radiocsirt@gmail.com
Site web : www.radiocsirt.org
Newsletter Hebdo : https://radiocsirt.substack.com