Destructions massives sur Azure 💥, ZaWoo industrialise l'extorsion par IA 🤖, Apple : faille CoreGraphics exploitée 🍎

Veille

29 septembre 2026 • 4 minutes de lecture

Bonjour, voici ta veille Cybere du 29 septembre 2026 !

Un raid destructif de 18 heures ciblant les ressources cloud Azure d'une entreprise, l'émergence d'une plateforme d'extorsion entièrement automatisée et codée par IA, et des correctifs d'urgence publiés par Apple pour une faille zero-day hautement ciblée : l'actualité du jour illustre la rapidité de l'évolution des menaces, du piratage cloud jusqu'aux terminaux mobiles.

Retrouve les trois articles à la une du jour :

Microsoft alerte sur Storm-3168 : l'acteur derrière JadePuffer a exploité deux identités de service pour détruire plus de 100 comptes Azure
Le groupe ZaWoo déploie un site d'extorsion automatisé dont les traces dans le code révèlent un développement assisté par IA
Apple corrige en urgence la CVE-2026-86950 dans CoreGraphics, une vulnérabilité d'écriture hors limites exploitée contre des cibles spécifiques

Microsoft signale des attaques destructives sur Azure menées par l'acteur derrière JadePuffer

Microsoft a détecté Storm-3168, l'acteur déjà lié au premier ransomware agentique JadePuffer révélé cet été par Sysdig, dans une nouvelle campagne destructive. Début juin, l'attaquant a compromis deux identités de service (service principals) Azure appartenant au même tenant et les a exploitées durant 18 heures pour détruire des ressources cloud et collecter des identifiants.

La première identité a mené 15 heures et 30 minutes de reconnaissance, effectuant plus de 300 opérations de lecture sur des machines virtuelles, des groupes de ressources et des abonnements. La seconde a tenté en 35 minutes plus de 150 actions destructives ou de vol d'identifiants : suppression de plus de 100 comptes de stockage Azure (majoritairement réussie), d'un Key Vault, d'une Function App et d'un plan App Service, puis collecte de clés d'accès via plus de 30 requêtes ListKeys. Aucune note de rançon n'a été observée.

Points d'attention

Microsoft ignore comment Storm-3168 a initialement compromis les service principals, mais un employé de l'organisation ciblée avait exposé en clair des client IDs, secrets et tenant IDs dans une issue GitHub publique.
Les tentatives de suppression de bases SQL Azure ont toutes échoué en raison d'une version d'API non supportée, tandis que des verrous de ressources ont bloqué quelques destructions de comptes de stockage.
Storm-3168 a visé des ressources de sauvegarde et de récupération (Azure Site Recovery, Azure Backup), ce qui selon Microsoft évoque une préparation de ransomware, bien qu'aucune rançon n'ait été réclamée.

→ Lire la source

ZaWoo automatise l'extorsion numérique jusqu'au code de son site de fuite

Le groupe cybercriminel ZaWoo a déployé une plateforme d'extorsion entièrement automatisée qui affichait 18 cibles au moment de l'analyse par ZATAZ, dont 14 déjà publiées. L'infrastructure utilise des identifiants anonymes baptisés Company ID pour masquer temporairement l'identité des victimes tout en leur permettant de se reconnaître.

L'analyse du code source révèle des commentaires inhabituels tels que « IMPORTANT FIX », « pid is not defined is fixed here » ou « MOVE CAROUSEL HERE », qui ressemblent à des traces d'échanges avec une intelligence artificielle. L'Allemagne concentre neuf des quatorze victimes dévoilées. La France est affichée via 5 victimes. La plateforme comprend un mécanisme d'authentification permettant d'accéder à des espaces protégés, transformant l'extorsion en processus industrialisé.

Points d'attention

Le code conserve des instructions pédagogiques impératives comme « These MUST remain separate » ou « Do NOT put projectId here », vocabulaire typique d'une réponse automatisée corrigeant des erreurs de développement.
Les commentaires techniques subsistent après correction, notamment « 401 here is NORMAL if user has not logged in yet », alors qu'un code nettoyé avant production les supprimerait habituellement.
Le contraste entre commentaires courts traditionnels et blocs explicatifs détaillés suggère plusieurs phases de génération assistée, illustrant comment l'IA sert désormais à construire rapidement des infrastructures cybercriminelles complètes.

→ Lire la source

Apple corrige une faille CoreGraphics exploitée en conditions réelles

Apple a publié des correctifs d'urgence pour la CVE-2026-86950 (CVSS non précisé), une vulnérabilité d'exécution de code arbitraire exploitée lors d'attaques ciblées contre des versions antérieures d'iOS, iPadOS et macOS. Découverte par Meta Product Security, la faille touche le composant CoreGraphics et peut mener à l'exécution de code arbitraire lors du traitement d'un fichier malveillant.

Le vecteur repose sur une écriture hors limites déclenchée par le traitement d'un fichier forgé. Apple qualifie l'attaque d'« extrêmement sophistiquée » et confirme qu'elle visait des individus spécifiques sur iOS antérieur à la version 27. Les versions iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 et macOS Sequoia 15.8.1 corrigent la faille. L'éditeur n'a divulgué ni le nombre de cibles ni le taux de réussite des tentatives d'exploitation.

Points d'attention

Apple ne précise ni combien d'individus ont été ciblés, ni si les tentatives ont abouti, ni à quelle date la première exploitation a eu lieu.
Meta Product Security a découvert et signalé la faille, exploitée dans une attaque qualifiée d'« extrêmement sophistiquée » par Apple.
En février, Apple avait déjà corrigé la CVE-2026-20700 (CVSS 7.8) dans dyld, elle aussi exploitée dans des campagnes ciblées de haut niveau.

→ Lire la source

Autres actus importantes

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere