Nouvelles menaces informatiques : OAuth Trap, EDR Killer et phishing Signal

OAuth Trap, EDR Killer, phishing sur Signal, Zombie ZIP, piratages de plateformes d’IA, ce n’est pas une liste « buzzword », c’est le menu du moment. Le point commun, c’est la discrétion. Les attaques se cachent derrière des flux d’authentification crédibles, du trafic chiffré et des outils qui ressemblent à ceux des équipes IT. Résultat, tu peux avoir une organisation « à jour » sur le papier et quand même te faire surprendre.

Les bulletins de veille de ces dernières semaines montrent une tendance nette: le phishing est devenu l’une des menaces d’entreprise les plus difficiles à détecter tôt, parce qu’il s’appuie sur des infrastructures de confiance et des parcours de connexion légitimes. Dans le même temps, des vulnérabilités sont exploitées « dans la nature », comme celles visant Cisco sur Catalyst SD-WAN Manager, avec des identifiants CVE-2026-20122 et un score CVSS 7,1. Tu n’as pas besoin d’un scénario hollywoodien, une chaîne d’actions banales suffit.

OAuth Trap banalise le vol de session via des connexions « propres »

OAuth Trap, c’est l’attaque qui profite de ton automatisme, cliquer, valider, passer à autre chose. L’idée n’est plus de t’envoyer un exécutable louche, mais de te faire entrer dans un flux d’authentification qui ressemble à ce que tu vois tous les jours, connexion SSO, fenêtre d’autorisation, consentement d’accès. Quand le parcours paraît légitime, la vigilance baisse, et l’attaquant récupère un jeton ou un accès persistant sans déclencher d’alerte évidente.

Ce type de mécanique s’inscrit dans l’évolution décrite par plusieurs veilles: le phishing moderne se sert d’infrastructures de confiance, de pages qui « font vrai », et de trafic chiffré qui masque les signaux faibles. Dans la pratique, tu peux voir un e-mail qui renvoie vers un domaine propre, une page d’authentification cohérente, puis une demande d’accès à une application. C’est ce moment-là qui devient critique, parce que l’utilisateur croit « se connecter », alors qu’il « autorise ».

Concrètement, le risque n’est pas seulement le compte compromis, c’est l’accès délégué. Une fois l’autorisation accordée, l’attaquant peut conserver une présence même si le mot de passe change. C’est pour ça que les équipes sécurité parlent de durcir les politiques de consentement et de surveiller les applications tierces. Le débat est souvent mal posé, on accuse « l’utilisateur » d’avoir cliqué, alors que le design même des parcours OAuth pousse à accepter vite.

Mesure défensive, tu ne t’en sors pas avec une seule règle magique. Il faut combiner une revue régulière des applications autorisées, des alertes sur les consentements anormaux, et des politiques d’accès conditionnel. Et il faut aussi accepter une nuance: trop de friction casse la productivité et pousse au contournement. Le bon compromis, c’est de limiter les consentements utilisateurs, de réserver les demandes sensibles à un circuit d’approbation, et de tracer finement les événements liés à OAuth, aux jetons et au SSO.

EDR Killer et BYOVD visent la défense avant le chiffrement

EDR Killer, c’est le rappel que beaucoup d’attaques commencent par neutraliser l’alarme. Dans les bulletins récents, on voit des familles de ransomware intégrer des techniques pour désactiver les outils de sécurité, notamment via des approches de type « Bring Your Own Vulnerable Driver ». L’objectif est simple, faire baisser la visibilité et empêcher la remédiation automatique avant de déployer le reste, exfiltration, mouvement latéral, chiffrement.

Le point gênant, c’est que la chaîne d’attaque peut ressembler à une opération d’administration. Un pilote vulnérable, une action à privilèges, une désactivation de composants, ce sont des gestes qui existent aussi dans des scénarios légitimes. Tu peux avoir des journaux qui montrent des commandes « propres » et des binaires signés. Et quand l’attaquant choisit bien ses outils, l’EDR, même bon, peut se retrouver aveugle sur un segment de la séquence.

Un RSSI me disait récemment, « on dépense beaucoup pour détecter, mais pas assez pour empêcher la désactivation ». C’est une critique qui pique, mais elle a du sens. La défense doit inclure des contrôles de durcissement, blocage de pilotes non approuvés, règles de réduction de surface d’attaque, et surveillance des événements qui indiquent une tentative de sabotage. Dans un incident, le temps compte, si la télémétrie disparaît, la réponse devient immédiatement plus lente et plus coûteuse.

Ce que ces cas mettent sur la table, c’est une hiérarchie des priorités. Tu peux avoir une détection parfaite des ransomwares, si l’attaquant coupe l’EDR avant, tu perds l’avantage. Les organisations qui s’en sortent le mieux ajoutent des couches, journalisation centralisée hors poste, contrôles d’intégrité, et segmentation. Et elles testent, vraiment, des scénarios « EDR down ». La question n’est pas « si », mais « quand », surtout avec des techniques comme BYOVD, des variantes de ransomware et des outils d’EDR ciblés.

Signal phishing exploite la confiance dans les messageries chiffrées

Le phishing sur Signal illustre une autre bascule, les attaquants n’ont plus besoin de passer par l’e-mail pour toucher une cible. Ils vont là où les équipes discutent vite, où les notifications sont nombreuses, et où la confiance est plus forte. Une messagerie chiffrée donne une impression de sécurité, et c’est vrai sur le transport, mais ça ne protège pas contre l’ingénierie sociale. Si le message te pousse à agir, le chiffrement ne t’aide pas.

Le scénario typique, c’est un faux contact « interne », une demande urgente, un lien vers une page de connexion, ou une procédure « IT » à valider. Dans une entreprise, ça marche parce que tout le monde a déjà reçu un message du support, du manager, ou d’un prestataire. Sur une messagerie, tu lis plus vite, tu vérifies moins, tu réponds dans le flux. Et si le lien ouvre un parcours d’authentification crédible, tu retombes sur les mêmes pièges que phishing et OAuth.

Ce déplacement vers les messageries complique la défense, car les contrôles e-mail classiques, filtrage, sandbox, DMARC, ne voient rien. Les équipes sécurité doivent travailler avec les métiers, définir des règles simples, pas de liens d’authentification envoyés par chat, pas de demande de codes, double validation sur les actions sensibles. C’est moins « technique » que déployer un outil, mais c’est souvent plus efficace dans les premières semaines.

Il faut aussi être lucide sur un point, si tu interdis tout, les gens vont basculer sur d’autres canaux. La bonne approche, c’est d’outiller les usages, des canaux officiels vérifiés, des procédures de vérification d’identité, et une sensibilisation centrée sur des exemples récents. Tu montres un faux message, tu expliques le mécanisme, et tu fais pratiquer. Dans ce registre, la défense, c’est de réduire les automatismes, surtout quand Signal devient une surface d’attaque via liens et usurpation.

Zombie ZIP et les archives piégées relancent le risque côté postes

Zombie ZIP, c’est le retour des pièges « simples » mais efficaces, l’archive compressée qui cache autre chose que ce que tu crois. Les campagnes modernes misent sur des formats courants, des fichiers qui passent les contrôles basiques, et des contenus qui s’ouvrent sans alerter. La nouveauté n’est pas le ZIP en lui-même, c’est la manière de le rendre trompeur, au point que l’utilisateur et parfois l’outil de sécurité n’identifient pas tout de suite le comportement attendu.

Dans un contexte d’entreprise, les archives circulent partout, partage de documents, exports, pièces jointes, dépôts. Une archive peut contenir une arborescence qui noie le fichier dangereux, ou un nom qui imite un PDF. Et si la charge finale est récupérée plus tard, via un téléchargement chiffré, tu cumules les angles morts. Les veilles insistent sur ce point, le trafic chiffré et les flux « légitimes » rendent l’exposition précoce plus difficile.

La conséquence, c’est une pression accrue sur la politique poste de travail. Si tu laisses les utilisateurs exécuter n’importe quoi depuis Téléchargements, tu joues à pile ou face. Les organisations qui réduisent l’impact appliquent des règles de contrôle d’application, restreignent les macros et scripts, et surveillent les comportements post-ouverture, création de processus, connexions sortantes, persistance. Ce n’est pas glamour, mais ça coupe la chaîne au moment où elle devient visible.

Et il y a une nuance importante, trop de filtrage peut bloquer des échanges légitimes, surtout dans des métiers qui manipulent des archives toute la journée. La solution passe souvent par des exceptions cadrées, des espaces de dépôt analysés, et des outils de désarchivage côté serveur plutôt que sur poste. Zombie ZIP rappelle que la sécurité ne se joue pas seulement sur des failles « 0-day », mais aussi sur des objets quotidiens, ZIP, pièces jointes et poste de travail.

Cisco Catalyst SD-WAN Manager: deux failles exploitées, la course au patch continue

Dans le flot des menaces, il y a aussi les vulnérabilités exploitées activement, celles qui transforment une dette de patch en incident. Cisco a indiqué que deux failles touchant Catalyst SD-WAN Manager, anciennement vManage, sont exploitées « dans la nature ». Parmi elles, CVE-2026-20122, notée CVSS 7,1, décrite comme une vulnérabilité d’écrasement de fichiers arbitraires permettant à un attaquant distant authentifié d’écraser des fichiers sur le système local.

Le détail « attaquant authentifié » est souvent mal compris. Beaucoup entendent « donc c’est moins grave ». Dans la vraie vie, l’authentification se vole, se devine, se réutilise, ou s’obtient via un compte déjà compromis. Et dans un environnement réseau, un outil de gestion SD-WAN est une cible à haute valeur, parce qu’il touche la connectivité, les politiques, parfois les secrets d’accès. Une fois dedans, l’attaquant peut chercher à étendre son contrôle ou à préparer une interruption.

Cette actualité s’inscrit dans un contexte plus large, les bulletins sécurité mentionnent régulièrement des vagues de correctifs, comme des lots de dizaines de vulnérabilités, dont plusieurs « zero-days » exploités. Même si tous les environnements ne sont pas concernés, la leçon est la même, la fenêtre entre divulgation et exploitation se réduit. Et quand les équipes IT manquent de temps, elles priorisent mal, ou elles patchent tard, faute de tests et de créneaux de maintenance.

La réponse réaliste, ce n’est pas « patcher tout immédiatement », c’est de classer et d’anticiper. Inventaire précis, exposition réelle, segmentation, et surveillance des signes d’exploitation sur les systèmes critiques. Et surtout, un plan de mise à jour qui n’attend pas l’urgence. Quand une exploitation est confirmée, tu ne veux pas découvrir que personne ne sait qui administre l’équipement, ni où il est. Dans ce registre, SD-WAN, vManage et les CVE rappellent que la cybersécurité, c’est aussi de l’organisation.