Bulletin de Sécurité : Arrestations liées aux "SMS Blasters", Malwares npm et 3,4 Millions de Serveurs Remote Access Exposés

TL;DR

Cette semaine, l'actualité cyber est marquée par l'arrestation de fraudeurs canadiens utilisant de fausses antennes relais et la découverte d'un package npm malveillant ciblant directement les développeurs. Par ailleurs, de nouveaux rapports révèlent une exposition massive de serveurs RDP/VNC sur Internet, tandis que des extensions de navigateur vendent légalement vos données. La vigilance reste de mise, particulièrement pour les administrateurs systèmes gérant des accès distants et les développeurs JavaScript.

---

Dans le monde de la cybersécurité, les menaces évoluent aussi vite que nos environnements de développement. Pour la communauté tech marocaine — des développeurs web d'Agadir aux sysadmins de Casablanca — les alertes de cette semaine soulignent une réalité brutale : la confiance dans nos outils (npm) et nos infrastructures (VPN/RDP) est constamment mise à l'épreuve.

SMS Blasters : De fausses tours de téléphonie pour piéger les utilisateurs

Les autorités canadiennes ont procédé à l'arrestation de trois individus pour l'utilisation d'un SMS blaster. C'est la première fois qu'une telle technologie est officiellement détectée au Canada. Les suspects font face à 44 chefs d'accusation.

Qu'est-ce qu'un SMS Blaster ? Il s'agit d'un appareil qui imite une antenne relais légitime (BTS). Lorsqu'un téléphone passe à proximité, il se connecte par erreur à cette fausse tour. L'attaquant peut alors envoyer des SMS frauduleux (phishing) qui apparaissent sur le téléphone comme provenant de sources de confiance (banques, services publics), contournant ainsi les filtres des opérateurs télécoms de l'utilisateur.

Supply Chain Attack : Le package npm 'tanstack' vole vos variables d'environnement

Un incident critique a touché l'écosystème JavaScript. Un acteur nommé "sh20raj" (Shaswat Raj) a publié un package malveillant exploitant le brand-squatting (le fait d'utiliser un nom très proche d'une librairie connue pour tromper les développeurs).

Le package, nommé simplement tanstack (à ne pas confondre avec les packages officiels @tanstack/...), exfiltrait silencieusement les fichiers .env, .env.local et .env.production vers un serveur distant lors de l'installation. Les versions 2.0.4 à 2.0.7 sont confirmées comme malveillantes. Le développeur à l'origine de l'attaque a admis les faits, prétendant qu'il s'agissait de "tests" et a même tenté de réclamer une rançon de 10 000 $ à Tanner Linsley, le créateur original de TanStack.

Note pour les juniors : Les variables d'environnement contiennent souvent des secrets critiques (clés API Stripe, mots de passe de base de données, secrets JWT). Ne tapez jamais npm install sans vérifier scrupuleusement le nom exact du package.

3,4 Millions de serveurs RDP et VNC à nu sur le web

Un nouveau rapport de Forescout tire la sonnette d'alarme sur l'exposition des accès distants. Environ 1,8 million de serveurs RDP (Remote Desktop Protocol) et 1,6 million de serveurs VNC sont accessibles publiquement sur Internet.

Les chiffres sont inquiétants :

• 60 000 serveurs VNC n'ont absolument aucune authentification activée.
• Plus de 19 000 serveurs RDP sont toujours vulnérables à la faille BlueKeep (CVE-2019-0708), une vulnérabilité critique datant de 2019.
• Environ 18 % des serveurs RDP tournent encore sur des versions de Windows en fin de vie (End-of-Life).

Plus grave encore, 670 de ces accès VNC non sécurisés mènent directement à des panneaux de contrôle industriels (OT/ICS).

Komari : Un outil d'administration détourné en porte dérobée (Backdoor)

L'outil Komari, initialement conçu pour la gestion et le monitoring légitime, a été observé pour la première fois dans une cyberattaque réelle. Des attaquants ont utilisé des identifiants VPN volés pour accéder au réseau d'une organisation, puis ont utilisé l'outil smbexec.py (de la suite Impacket) pour déployer Komari avec des privilèges SYSTEM.

Komari est particulièrement dangereux car il offre par défaut :

1. L'exécution de commandes via PowerShell.
2. Un reverse shell interactif directement dans le navigateur de l'attaquant.
3. Des capacités de scan réseau (ping).

Données personnelles : Vos extensions de navigateur vous vendent

Une analyse de LayerX révèle qu'au moins 80 extensions de navigateur vendent légalement les données de 6,5 millions d'utilisateurs. Contrairement aux malwares classiques, ces extensions indiquent explicitement cette pratique dans leurs conditions d'utilisation. Le réseau comprend notamment 12 bloqueurs de publicités (ad blockers) totalisant 5,5 millions d'installations.

Recommandations pour les professionnels

• Pour les devs : Nettoyez vos caches npm et vérifiez que vous n'utilisez pas le package tanstack. Utilisez uniquement les packages sous le scope officiel @tanstack/.
• Pour les sysadmins : Désactivez RDP et VNC sur les interfaces publiques. Si l'accès distant est nécessaire, utilisez un VPN sécurisé avec authentification multi-facteurs (MFA).
• Mise à jour : Appliquez les correctifs pour CVE-2019-0708 sur tous les systèmes Windows Server encore en activité.
• Hygiène numérique : Examinez les politiques de confidentialité des extensions installées sur les postes de travail de l'entreprise.

Source : The Hacker News - ThreatsDay Bulletin