Expert cyber sur la BBC qui n'a jamais entendu parler de PHP avant la faille #PHP2Shell Ça va me refaire m'a journée celle-ci ! Après tout pourquoi pas 🙄🤭

L'histoire cyber totalement WTF du jour... Quand l'IA attaque en totale autonomie 🍿👇🏾 Un groupe criminel mexicain a monté sa propre « équipe » d'IA pour attaquer plus de 400 banques, fintechs et applis de paiement en Amérique latine... en utilisant Claude, Grok ou encore Kimi. Les faits 👉🏾 L'info date du 21 octobre et vient de Straiker -une startup spécialisée dans la sécurité des agents IA-, en exclusivité pour The Information -média tech américain-. L'attaque a été lancée par groupe cybercriminel, CyberCartel, actif depuis 2012 et en lien avec des mexicains. Pour rappel, un agent IA c'est lorsqu'on donne à un modèle comme Claude des outils pour agir tout seul : lancer des commandes, naviguer sur des sites, récupérer des infos, exécuter du code, ... Leur système, baptisé CARLIY0S, repose sur PentAGI -un outil open source de tests piratage automatisé- et fait travailler plusieurs IA commerciales ensemble. Straiker dit avoir récupéré le 24 septembre un instantané de leur base de données : 4493 enregistrements, dont des mots de passe, des clés d'API et 903 numéros de comptes bancaires. Là où ça devient totalement WTF 👉🏾 Ils ont organisé leurs IA comme une vraie équipe de hackers : - 1 « commandant » Claude qui distribue le travail - 3 agents Claude qui débattent de chaque cible : un qui écrit les exploits, un qui fait la reconnaissance, un qui cherche les failles à exploiter - 1 agent « arbitre » qui tranche et rend une seule décision - 5 « espions / récupérateurs » Grok qui collectent les identifiants volés... 🥶 Et pour faire sauter les garde-fous des IA, rien de sophistiqué : ils leur faisaient croire qu'il s'agissait d'un pentest autorisé ou d'un CTF -une compétition de hacking-. Le prompt disait « c'est un exercice », l'IA répondait « ok chef ». 🙄 Et le meilleur 👉🏾 Quand les modèles Kimi -l'IA du chinois Moonshot AI- refusaient de coopérer, le système basculait automatiquement sur un fichier de code d'attaque écrit à l'avance... *Même les cybercriminels ont un plan B et des backups. ⚠️ Retenez que ce qui change, ce n'est absolument pas la nature des attaques... Depuis des années, c'est tjrs les mêmes basiques, l'hygiène numérique déplorable de bcp d'entreprises ! On parle encore et toujours des mots de passe, des clés d'API et autres. Désormais, une personne peut mettre à terre une multinationale, plusieurs entités d'un pays... pour cela il a juste besoin d'un cerveau/orchestrateur IA et un essaim dagents IA qui font désormais le travail d'une grosse équipe de hackers chevronné ! Pour rappel, en Afrique, les banques et les fintechs du mobile money ont exactement le même profil de cible : des systèmes qui se numérisent à toute vitesse, des API exposées et des équipes sécurité souvent trop petites lorsqu'elles ne sont pas inexistantes ! Cybèrement vôtre, SaxX ¯\_(ツ)_/¯

Sicherheit hat mich heute um 6:12 Uhr morgens angerufen. „Patchen Sie jeden PHP-Server sofort.“ Ich fragte, was passiert sei. „Zwei kritische Schwachstellen. Remote-Code-Ausführung. Keine Authentifizierung erforderlich.“ Cool. Wie viele PHP-Server haben wir? Laut Inventar: 12 Laut Realität: Niemand weiß es. Wir haben einen gefunden, der WordPress läuft. Drei, die alte interne Tools betreiben. Einen unter dem Schreibtisch von jemandem. Zwei in Vendor-Geräten. Ein vergessenes Mitarbeiterverzeichnis aus 2016. Und einen Server namens: PHP-OLD-DO-NOT-TOUCH Natürlich betreibt der die Gehaltsabrechnungen. Dann haben wir einen PHP-5.6-Box gefunden. Ich fragte, wem er gehört. Die Dokumentation sagte: BRIAN. Brian ist 2019 gegangen. Wir haben Brian angerufen. Er sagte: „Oh wow, der läuft immer noch?“ Ausgezeichnet. Um 8 Uhr morgens hat die Führungsebene dem Incident-Call beigetreten. CEO: „Können Hacker wirklich reinkommen?“ Sicherheit: „Potenziell ja.“ CEO: „Ohne Passwort?“ Sicherheit: „Ja.“ CEO: „Warum brauchen dann WIR Passwörter?“ Nicht die Lektion. Die Finanzabteilung fragte, ob wir nicht bis zum Wochenende mit dem Patchen warten könnten, weil Ausfälle den Umsatz beeinträchtigen. Sicherheit erklärte, dass die Alternative darin besteht, Fremden Code auf unseren Servern ausführen zu lassen. Die Finanzabteilung verlangte einen Kostenvergleich. Um 9:17 Uhr schlug jemand vor, die anfälligen Websites vorübergehend offline zu nehmen. Marketing weigerte sich. „Unsere Kampagne ist live.“ Also hat das Unternehmen in der nächsten Stunde offiziell beschlossen, dass das Aufrechterhalten einer Landingpage für 20 % Rabatt auf Webinar-Registrierungen wichtiger ist als die Verhinderung einer Remote-Serverübernahme. Wir haben schließlich alles gepatcht, was wir finden konnten. Dann entdeckte unser Scanner einen weiteren PHP-Server. Hostname: TEMP-PHP-2014 Laufzeit: 4.512 Tage. Niemand weiß, was er tut. Niemand besitzt ihn. Niemand kann ihn abschalten. Aber jedes Mal, wenn wir den Netzwerkzugriff blockieren, hört das Lager auf, Versandlabels zu drucken. Sicherheit hat ihn als kritische Infrastruktur eingestuft. Er läuft PHP 5.4. Die Schwachstelle existiert länger als die Hälfte unserer Mitarbeiter. Der Notfall-Patch hat vier Stunden gedauert. Herausfinden, was PHP tatsächlich betreibt, hat elf. Das Internet wird nicht mit Code zusammengehalten. Es wird mit Servern zusammengehalten, vor denen sich jeder fürchtet, sie auszuschalten.

Imagine, t'as un site PHP servi via HTTPS via un cert TLS signé par eMuhdra, hébergé sur une VM dont la machine hôte est un linux pas mis à jour #pwnescape, et à coté du site, un service basé sur NodeJS, qui tente d'appeler des web services hébergés chez Orange... #nightmare

J’ai vu un couple au restaurant hier soir. La meuf a passé 45 minutes à lui faire des reproches sur un truc qui s'est passé en 2022. Le mec mangeait ses frites en silence, le regard vide, prêt à abdiquer. Je suis repassée devant eux 1h plus tard : elle boudait encore, lui regardait le vide. Les filles, par pitié : quand un mec rentre du boulot ou vous invite au resto, donnez-lui de la PAIX, un bon repas et du soutien et du bon sex. Vous verrez qu'il sera prêt à vous offrir la terre entière sans broncher et surtout à tout vous dire.

Pro and tell » 😏 Apple a envoyé ses invitations pour le 28 octobre, sans la moindre subtilité. Le clou du spectacle devrait être un MacBook Pro à écran tactile. Le grand virage, enfin ? macg.co/mac/2026/10/ne-lappe…

🤣🤣🤣

🔵 INFO LE PARISIEN | L'adolescent suspecté d'avoir tiré au fusil de chasse dans son collège à Aubagne était accro à Call of Duty ➡️ l.leparisien.fr/kzgU

Et si un pirate prenait le contrôle des compteurs Linky et coupait le courant de toute la France ? La question n'est pas absurde. Le Linky permet bel et bien à Enedis de couper ou de limiter l'électricité à distance, sans envoyer de technicien. Cette fonction existe, et c'est elle qu'un attaquant chercherait à détourner. En 2014, deux chercheurs espagnols ont d'ailleurs montré à la conférence Black Hat qu'ils pouvaient prendre le contrôle de compteurs communicants en Espagne et couper le courant d'un foyer. Mais le Linky ne parle pas à internet. Il communique par le câble électrique jusqu'à un concentrateur installé dans le transformateur du quartier, et seul ce concentrateur échange avec Enedis. Les échanges sont chiffrés et le compteur a été certifié par l'ANSSI. À ce jour, aucune attaque à distance réussie contre un Linky n'a été rendue publique. Pirater votre compteur depuis un canapé, donc, non. Le vrai scénario, ce serait une attaque contre les systèmes d'Enedis eux-mêmes. Et là, ce n'est plus votre compteur qui serait en jeu, c'est le réseau électrique du pays. La question n'est pas de savoir si votre Linky est piratable. C'est de savoir si celui qui le commande est imprenable.

Un Ledger peut passer tous les tests d'authenticité… et envoyer tes 24 mots à un inconnu par réseau mobile. ❌ Pour moi, c'est terminé. Je raccroche les hardware wallets. Et ça me fait mal de l'écrire. Pendant des années, c'était LE conseil. "Not your keys, not your coins." Achète un Ledger, range ta seed, dors tranquille. Je l'ai répété moi-même. Ce qu'on a trouvé dans des Nano X vendus neufs, sous blister intact : 1️⃣ Une deuxième carte cachée derrière l'écran, à la place du coussinet 2️⃣ Une batterie remplacée par une plus petite pour faire de la place 3️⃣ Une puce, une antenne, une eSIM et un modem 4G L'implant ne touche pas la puce sécurisée. Il lit l'écran au moment où ta phrase de récupération s'affiche, puis il l'envoie. Le "Genuine Check" reste au vert. Ledger a confirmé un implant dans l'appareil d'une victime. Plus de 70 millions de dollars auraient été vidés chez des clients d'un revendeur officiel en Asie du Sud-Est. 🚨 Et ça ne resterait pas en Asie. Un acheteur affirme avoir trouvé des câbles en trop dans un Ledger acheté en magasin, chez un revendeur officiel européen. Selon Mark Karpelès (ex-patron de Mt. Gox), l'antenne porterait une étiquette "version eurasienne". Il pourrait donc y en avoir d'autres en circulation. 📍 Et le plus beau : la réponse officielle. Leurs systèmes ne sont pas compromis et il faut acheter chez le fabricant ou chez un revendeur agréé. Et devinez quoi ? Le revendeur était agréé. ⚫ Rien ne prouve que tous les Ledger soient piégés. Mais c'est justement le problème : tu ne peux plus le prouver toi-même. Tout le trajet entre l'usine et ton salon est une boîte noire. Le hardware wallet n'avait qu'une seule promesse : ne faire confiance à personne. Aujourd'hui, il faut faire confiance à l'usine, au transporteur, au revendeur, au magasin… et à un tournevis. 🚩Je pense que cette industrie n'a plus d'avenir. Pas parce que la puce est mauvaise. Parce que la confiance ne se répare pas avec un firmware.

🚨🇫🇷 INCROYABLE | La GENDARMERIE MOBILE de Brest (Finistère) a été CAMBRIOLÉE en pleine nuit ! Cinq individus se seraient introduits dans l’enceinte militaire pour dérober des caisses de GAZ LACRYMOGÈNE, des boucliers, des casques de protection, un bélier, des gilets pare-balles et un gilet lourd. (Ouest France)

❗️ [ 🇮🇷 IRAN | 🇫🇷 FRANCE ] 🔸 L’Iran a convoqué l’ambassadeur de France à Téhéran pour protester contre le traitement des manifestants lycéens en France.

Le champion du monde du 10.000 mètres s’interroge sur les revendications des lycéens en dénonçant les dégradations et en défendant les valeurs d’effort et de travail en France.

Ce virus est transmis à l’homme par des moustiques Culex s’étant nourris du sang d’un oiseau contaminé.→l.lefigaro.fr/DDrG