Nucleon Security lève 3 millions d’euros pour renforcer la cybersécurité en Afrique

Juillet 2025 – Une nouvelle campagne de cyberattaque sophistiquée a été mise au jour par les chercheurs en cybersécurité de Sekoia et Trend Micro. Cette opération, en apparence discrète, exploite des sites web compromis pour rediriger les internautes vers des serveurs malveillants, à travers une chaîne complexe de redirections multi-niveaux. Plutôt que de se reposer sur une attaque directe, les cybercriminels misent ici sur une approche furtive et conditionnelle, ciblant uniquement les utilisateurs qui répondent à certains critères, afin d’éviter la détection par les systèmes de sécurité et les chercheurs. Une architecture d’infection en plusieurs couches La particularité de cette campagne réside dans sa structure en couches, qui permet de masquer le but final jusqu’au dernier moment. Le schéma d’attaque suit généralement les étapes suivantes : Infection initiale via site compromisL’utilisateur visite un site web légitime, souvent basé sur WordPress, qui a été compromis par les attaquants. Redirections multiples via des scripts obfusquésLe site initial déclenche une série de redirections via du JavaScript obscurci, souvent vers plusieurs domaines relais contrôlés par les attaquants. Filtrage comportemental et environnementalAvant de livrer la charge utile, le système analyse le profil de la victime (géolocalisation, système d’exploitation, signatures de sandbox, outils d’analyse, etc.). Déclenchement conditionnel du malwareSi l’environnement est jugé « légitime » (non-analytique, non-automatisé), l’utilisateur est redirigé vers une page contenant soit un malware, soit du phishing. Une exploitation massive des sites WordPress vulnérables Les attaquants ont ciblé en priorité des sites WordPress mal sécurisés. Ces derniers sont utilisés comme : Relais de redirection : des scripts injectés dans les pages redirigent l’utilisateur vers un second domaine contrôlé par les attaquants. Stockage de scripts malveillants : certains sites servent directement des charges utiles déguisées (ex. : fichiers JS, ZIP, EXE, extensions de navigateur). Serveurs de commandes temporaires : les domaines changent régulièrement pour échapper aux listes de blocage. Les chercheurs notent que le nombre de sites compromis est élevé, avec une infrastructure en constante évolution pour maintenir la pérennité de l’attaque. Un ciblage intelligent basé sur des critères contextuels L’un des éléments les plus pernicieux de cette campagne est sa capacité à filtrer les cibles avant de livrer son contenu malveillant. Parmi les critères utilisés : Adresse IP et localisation géographiquePour éviter certains pays ou services de renseignement. Empreintes de navigateur et système d’exploitationPour adapter la charge utile au système ciblé (Windows, macOS, Android, etc.). Présence d’outils de surveillance ou de sandboxPour éviter d’être analysé dans un environnement virtuel. Historique de navigation ou cookiesPour déterminer si la cible est un utilisateur légitime ou un chercheur en sécurité. Ce filtrage rend la détection extrêmement difficile, car la charge malveillante n’apparaît que dans des conditions très spécifiques. Objectifs finaux : phishing, malwares, vols de données Selon les analyses, les redirections aboutissent principalement à deux types de contenus : Pages de phishing personnaliséesDéguisées en fausses pages de connexion (Google, Microsoft, Apple, etc.) ou en portails bancaires. Téléchargements malveillants Faux installeurs d’outils populaires (ex. : VLC, Adobe, Zoom) Extensions de navigateur corrompues Fichiers ZIP ou EXE contenant des chevaux de Troie (trojans), stealers ou ransomware Dans certains cas, les chercheurs ont également observé des malwares de type infostealer, conçus pour siphonner les informations d’identification et les données bancaires, ou encore des loaders servant à installer d’autres malwares à distance. Évasion active et renouvellement constant des domaines Les cybercriminels derrière cette opération démontrent une stratégie d’évasion avancée : Changement fréquent des noms de domaine utilisés dans les redirections Utilisation de services de CDN et d’obfuscation de DNS Hébergement des scripts sur des services cloud temporaires Injection dynamique de scripts via des plugins vulnérables Ces techniques permettent de prolonger la durée de vie de la campagne et de rendre son démantèlement plus complexe pour les équipes de réponse à incident. Recommandations pour les entreprises et les webmasters Face à cette menace, les experts recommandent une vigilance accrue, notamment sur les plateformes web exposées. Voici quelques bonnes pratiques : Mettre à jour régulièrement WordPress et ses extensions Surveiller les modifications de fichiers système ou de thèmes Mettre en place une détection comportementale côté serveur Utiliser des solutions EDR/NGAV dotées d’analyse heuristique Bloquer les redirections suspectes au niveau du proxy ou DNS Mettre en quarantaine automatiquement les URL issues de sites compromis connus Conclusion : une campagne symptomatique de l’évolution des menaces web Cette campagne de redirections multi-niveaux marque une nouvelle étape dans la sophistication des attaques par le web. En combinant des techniques de compromission de sites légitimes, de filtrage conditionnel et de diffusion ciblée de malware, les cybercriminels parviennent à contourner les barrières classiques de sécurité. Elle met en lumière plusieurs enjeux : La nécessité de renforcer la sécurité des CMS open source largement utilisés Le besoin d’une détection basée sur le comportement, et non uniquement sur des signatures L’importance de surveiller en permanence les flux web, même lorsqu’ils semblent provenir de domaines « sûrs » Enfin, cette attaque illustre le fait que la confiance dans les sites légitimes ne suffit plus. Dans un contexte de menaces évolutives, la sécurité web doit être abordée de manière globale, dynamique et proactive.

Une vulnérabilité majeure a été identifiée dans la pile logicielle eSIM (eUICC) développée par Kigen, un fournisseur basé en Irlande dont la technologie équipe plus de 2 milliards de dispositifs IoT à travers le monde. Cette faille permet à un attaquant ayant un accès physique à un appareil de compromettre l’eUICC, d’en extraire les certificats cryptographiques sensibles et d’accéder frauduleusement à des profils opérateurs mobiles. La vulnérabilité, révélée par la société de cybersécurité Security Explorations, remet en question les fondations de la chaîne de confiance sur laquelle repose l’écosystème eSIM. Détails techniques Le problème provient d’un composant standardisé : le Generic Test Profile défini par la spécification TS.48 de la GSMA, utilisé pour les tests radio lors de la certification des appareils. Les versions de cette spécification antérieures à la v7.0 présentent une faiblesse importante : elles permettent le chargement d’applets JavaCard non authentifiées, à l’aide de clés connues et non sécurisées. Une fois qu’un attaquant a installé une applet malveillante, il est en mesure de déverrouiller le contenu sécurisé de la carte eUICC, y compris les clés privées et les certificats d’identité. Ces éléments permettent ensuite de télécharger ou modifier des profils eSIM légitimes à distance, tout en contournant les restrictions imposées par les opérateurs. Chaîne d’exploitation Le scénario d’attaque comprend plusieurs étapes critiques : Accès physique à l’appareil ciblé : condition préalable pour toute exploitation. Activation du profil de test générique (GTP) : souvent laissé activé pendant les phases de fabrication ou de certification. Utilisation de clés par défaut pour installer un applet malveillant. Extraction des identifiants (certificats et clés) de la carte eSIM. Utilisation frauduleuse de profils eSIM : téléchargement, modification ou clonage des profils opérateurs. Conséquences potentielles Les impacts de cette vulnérabilité sont graves, en particulier dans les cas d’attaques ciblées ou d’espionnage à grande échelle : Vol d’identité numérique des appareils. Manipulation des communications mobiles en modifiant les profils opérateurs. Surveillance des utilisateurs via des canaux eSIM compromis. Propagation à grande échelle, car les profils compromis peuvent être réutilisés pour attaquer d’autres dispositifs. Références aux vulnérabilités passées Cette faille s’inscrit dans la continuité de découvertes similaires effectuées en 2019, lorsque des vulnérabilités JavaCard avaient été révélées par la même société de recherche, affectant notamment les cartes SIM de marques comme Gemalto. Mesures correctives Face à cette menace, plusieurs actions ont été engagées : La GSMA a publié une nouvelle version TS.48 (v7.0), corrigeant les failles identifiées. Kigen a diffusé un bulletin de sécurité et recommande vivement à ses clients de mettre à jour leur firmware. Les versions antérieures de la spécification TS.48 sont désormais obsolètes et ne doivent plus être utilisées dans les processus de test. Conclusion Cette vulnérabilité met en lumière une faiblesse structurelle dans l’écosystème eSIM, notamment dans les processus de certification et de test. Elle démontre que, sans un contrôle rigoureux de l’accès aux profils de test et une gestion stricte des clés, la sécurité de l’ensemble de la chaîne mobile peut être compromise. Les entreprises, fabricants d’appareils et opérateurs doivent agir rapidement en appliquant les mises à jour nécessaires et en adoptant les dernières recommandations de la GSMA et de Kigen

Des chercheurs de Koi Security ont découvert une campagne de grande ampleur dans le Firefox Add‑ons Store : plus de 40 extensions usurpant des portefeuilles connus (MetaMask, Coinbase, Trust Wallet, Phantom, Exodus, OKX…) ont été repérées. Actives depuis au moins avril 2025, certaines ont été mises en ligne aussi récemment que la semaine dernière arstechnica.com+12thehackernews.com+12bleepingcomputer.com+12.  Méthodes d’usurpation et collecte de données Les extensions se présentent sous les noms et logos officiels de portefeuilles populaires pour masquer leur nature malveillante thehackernews.com. La majorité sont des clones de solutions open-source : le code légitime est reproduit, puis une logique malveillante est insérée pour extraire les clés privées et phrases mnémoniques, et les transmettre à un serveur distant bleepingcomputer.com. Certains scripts interceptent les champs de saisie dès que l’utilisateur entre plus de 30 caractères—typiquement la longueur d’une vraie clé ou phrase de récupération . Les extensions affichent de faux avis 5 étoiles en grand nombre pour tromper l’utilisateur quant à leur popularité thehackernews.com. Profil de l’attaquant Les analyses du code source et des métadonnées révèlent des indices d’un groupe parlant russe .  Réponse de Mozilla La quasi-totalité de ces extensions (sauf MyMonero Wallet) ont été retirées du store cryptonews.com+2thehackernews.com+2bleepingcomputer.com+2. Mozilla a également indiqué avoir mis en place un système de détection précoce pour bloquer les extensions de portefeuille crypto malicieuses dès qu’elles sont identifiées thehackernews.com.  Recommandations pour les utilisateurs N’installez que depuis des auteurs vérifiés, et évitez les versions VSIX ou sources non officielles. Vérifiez les statistiques de téléchargement et les avis : un écart anormal entre nombre d’installations et reviews est suspect. Si vous avez déjà installé une extension de portefeuille, supprimez-la immédiatement et surveillez vos comptes pour toute activité inhabituelle. Privilégiez les solutions open source et transparentes, comme uBlock Origin, pour limiter les risques d’expositions en.wikipedia.org.  Contexte général Cette vague malveillante s’inscrit dans une montée en puissance des menaces sur les extensions navigateur. Firefox, avec ses API souples, facilite l’injection de comportements malveillants, comme le démontre une étude récente signalant qu’un tiers des extensions malveillantes détectées sur Chrome étaient encore actives malgré les contrôles réguliers . À retenir Impact : des crypto-actifs volés directement via le navigateur, irréversibles et invisibles à l’utilisateur. Souplesse exploitée : les API Firefox permettent cette manipulation, car elles sont plus permissives que celles de Chrome . Nécessité : vigilance accrue lors de l’ajout d’extensions, contrôles réguliers, et utilisation de sources fiables.