Arch Linux bloque les paquets AUR 🛑, CISA durcit les SBOM 📋, phishing OAuth 2.0 explose 🎯
• 3 minutes de lecture
Bonjour, voici ta veille Cybere du 1 août 2026 !
Entre la suspension des adoptions sur le dépôt AUR d'Arch Linux pour contrer un infostealer, le durcissement des règles de la CISA sur la traçabilité des dépendances et l'émergence de kits industrialisant le phishing OAuth 2.0, l'actualité du jour illustre les vulnérabilités qui touchent les composants logiciels et les flux d'autorisation.
Retrouve les trois articles à la une du jour :
- Des paquets AUR malveillants installent un infostealer Rust via des tâches cron
- La CISA impose des signatures numériques et la couverture des dépendances dans les SBOM
- Des kits comme EvilTokens exploitent OAuth 2.0 pour contourner l’authentification multifacteur
Arch Linux suspend l'adoption de paquets AUR face à une vague de malveillances
Le projet Arch Linux a temporairement désactivé l'adoption de paquets sur l'Arch User Repository suite à une recrudescence des détournements malveillants de paquets existants. IFIN a analysé la campagne débutée le 29 juillet. Un utilisateur Reddit affirme que cette campagne s'est étendue à plus de 200 paquets AUR, dont openconnect-sso, boringssl-git et icloudpd.
Le malware fonctionne en deux étapes : un chargeur initial détecte les environnements d'analyse et les machines virtuelles avant d'installer des services systemd et des tâches cron pour assurer sa persistance. Il télécharge ensuite un client Tor masqué en dbus-daemon pour récupérer un infostealer Rust qui vole identifiants de navigateur, portefeuilles de cryptomonnaie, clés SSH et tokens de messagerie, tout en offrant un accès à distance chiffré.
Points d'attention
- Le premier étage inclut une détection des debuggers, sandboxes et environnements CI/CD avant d'établir la persistance, ce qui indique une sophistication visant à déjouer les analyses automatisées.
- La campagne actuelle présente des similitudes avec la précédente, notamment l'usage du réseau Tor. L'attaque de juin, elle, touchait 400 paquets AUR en distribuant un rootkit et un infostealer.
- Le chercheur suivant la campagne (utilisateur Reddit) suggère que la compromission a exploité soit des comptes de mainteneurs contrôlés, soit l'adoption de paquets orphelins, mais aucune liste officielle des 200 paquets malveillants n'a été publiée au moment de la publication.
La CISA renforce les exigences de nomenclature logicielle (SBOM)
La CISA et 16 autres agences gouvernementales mondiales ont publié des directives mises à jour sur les éléments minimaux que doivent contenir les listes de nomenclature logicielle (SBOM). Le document, élaboré à partir de 90 commentaires d'organisations comme Google, Microsoft et AWS, remplace les lignes directrices de 2021 de la NTIA.
Les dix nouveaux champs incluent une signature numérique pour l'intégrité de la SBOM et l'identification de l'outil générateur. Le remplacement sémantique du champ « profondeur » par « couverture » oblige désormais à documenter les dépendances transitives sans limite de profondeur, améliorant la visibilité sur les chaînes logicielles.
Points d'attention
- Jeff Williams, fondateur d'OWASP, estime que ces modifications procédurales ne traitent pas la question centrale : la vraie mesure du succès réside dans la réduction du risque réel, non dans l'exhaustivité du catalogue.
- Le guide omet l'intégration formelle de VEX (Vulnerability Exploitability eXchange), norme NTIA permettant de contextualiser l'exploitabilité effective des vulnérabilités détectées dans la chaîne logicielle.
- Ces directives restent consultatives : la responsabilité incombe aux régulateurs et surtout aux clients, qui exigent par contrat que leurs fournisseurs respectent les bonnes pratiques en matière de SBOM interopérables.
Le phishing par code d'appareil franchit l'échelle industrielle
L'exploitation du flux d'autorisation OAuth 2.0 sur les appareils, autrefois technique d'équipe red team, s'est transformée en menace à grande échelle en moins de six mois. Présenté pour la première fois par les chercheurs en 2020, le vecteur a basculé vers les campagnes de masse après l'arrivée du kit EvilTokens en février 2026, Microsoft rapportant dix à quinze nouvelles campagnes quotidiennes en avril.
Contrairement au phishing AiTM traditionnel, cette technique contourne toutes les formes d'authentification multifacteur, y compris les clés d'accès, car elle cible la couche d'autorisation après que l'authentification soit déjà réussie. Push Security répertorie actuellement plus de vingt-cinq kits distincts en circulation, nombre qui croît hebdomadairement. Barracuda a enregistré sept millions d'attaques en quatre semaines.
Points d'attention
- L'attaque exploite la séparation entre authentification et autorisation : la victime déjà connectée à son compte Microsoft copie simplement un code court et l'approuve sur une page légitime, contournant tous les mécanismes MFA.
- Les kits de phishing-as-a-service intègrent désormais la technique en standard, avec des capacités comme la persistance PRT, l'accès aux boîtes aux lettres et l'automatisation BEC, accélérant la banalisation criminelle.
- Le flux OAuth 2.0 des appareils est un standard multiplateforme : si 99 % des attaques visent aujourd'hui Microsoft, d'autres acteurs comme GitHub, AWS et Salesforce constituent des cibles potentielles.
Autres actus importantes
- Le chargeur HollowFrame déploie la porte dérobée Matryoshka dans une attaque de harponnage contre un cabinet d'avocats
- Un hacker utilise DeepSeek AI pour attaquer de manière autonome des serveurs vulnérables
- ESET suit l'augmentation des compétences malveillantes en IA et des malwares adaptables
- L'UE va renforcer la lutte contre les deepfakes, les images illicites et le piratage avec une nouvelle équipe à Bruxelles
Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️
À demain pour la prochaine veille 🔐 – Kilian de Cybere