Faille Ray IA exploitée 🎯, autoradios Android en botnets proxys 🚗, identifiants en clair chez Johnson Controls 🔐
• 3 minutes de lecture
Bonjour, voici ta veille Cybere du 23 août 2026 !
Du détournement de frameworks d'IA via un simple navigateur à l'infection d'autoradios Android pour en faire des nœuds de botnet, en passant par des mots de passe conservés en clair en mémoire dans des logiciels industriels : l'actualité du jour montre à quel point les composants périphériques et les outils spécialisés deviennent des cibles privilégiées.
Retrouve les trois articles à la une du jour :
- La CISA ajoute la faille RCE critique du framework IA Ray à son catalogue d'exploitations actives
- Le groupe MoYu infecte des autoradios Android via une mise à jour système pour bâtir un réseau de proxys
- Johnson Controls corrige une vulnérabilité de stockage d'identifiants en clair dans Simplex Incident Manager
CISA inscrit la faille Ray exploitée à son registre KEV
La CISA a ajouté le 18 août la CVE-2025-62593 (CVSS 9.4) au catalogue des vulnérabilités exploitées activement. Cette faille critique touche Ray, framework Python distribué destiné aux charges de travail en intelligence artificielle et apprentissage automatique, et permet l'exécution de code à distance via des navigateurs web.
L'exploitation repose sur une attaque par réattribution DNS lancée depuis un navigateur comme Mozilla Firefox ou Apple Safari. L'absence de mécanisme d'authentification sur des endpoints critiques comme /api/jobs et /api/job_agent/jobs/, combinée à la modification de l'en-tête User-Agent, permet à un attaquant de cibler un développeur qui consulte un site malveillant ou affichage publicitaire compromis. Ray 2.52.0 corrige la faille, et la CISA avait demandé aux agences fédérales civiles de la corriger avant le 20 août 2026.
Points d'attention
- La réattribution DNS transforme un navigateur en intermédiaire confus pour cibler des instances Ray internes sur un réseau privé d'entreprise, amplifiant le risque au-delà des environnements de développement isolés.
- Le botnet RondoDox a intégré la vulnérabilité deux jours avant sa divulgation publique le 26 novembre 2025, grâce à la disponibilité d'une preuve de concept, ce qui raccourcit la fenêtre avant exploitation de masse.
- La campagne ShadowRay 2.0 exploite les instances Ray non corrigées dotées de GPU NVIDIA pour les convertir en mineurs de cryptomonnaie auto-réplicatifs au sein de clusters infectés.
Des autoradios Android automobiles infectées par botnet proxy
Des chercheurs de Kaspersky ont révélé une attaque de chaîne d'approvisionnement ciblant les autoradios Android dans les véhicules. Le groupe MoYu exploite une application de mise à jour système de DoFun, fournisseur chinois de logiciels automobiles, pour distribuer le malware JarService. Celui-ci transforme les appareils en nœuds de botnet proxy.
Le malware, sans interface apparente, s'exécute en deux étapes : déchiffrement d'un chargeur, puis communication avec un serveur de commande et contrôle. Il supporte neuf commandes incluant l'ouverture d'URL, l'exécution de code arbitraire et des requêtes HTTP. L'opérateur charge notamment un module reverse-proxy nommé zhima, qui convertit l'autoradio en proxy résidentiel pour la fraude publicitaire et la monétisation du trafic internet.
Points d'attention
- MoYu est précédemment associé au botnet BadBox et cette opération marque le premier cas documenté de chaîne d'infection de malware conçue spécifiquement pour les autoradios automobiles.
- L'application système légitime TWCore reçoit ses instructions via le serveur MQTT hébergé à cardoor[.]cn, et le malware n'interfère pas avec les systèmes critiques de conduite du véhicule.
- Kaspersky a notifié DoFun qui a déclaré avoir résolu le problème, sans précision sur le vecteur initial d'intrusion ou la portée de l'infection.
Johnson Controls corrige une faille de stockage en clair d'identifiants
La CVE-2026-27875 (CVSS 5.8) affecte Simplex Incident Manager en version ≤ V2.01 et expose un stockage non chiffré des identifiants utilisateur en mémoire. Selon la CISA, cette vulnérabilité permet à un attaquant local disposant de privilèges réduits d'extraire des mots de passe et tokens d'authentification, compromettant l'accès à l'application et aux systèmes connectés.
La faille touche des secteurs critiques mondialement, notamment la fabrication critique, les installations commerciales, les services gouvernementaux et les systèmes de transport. Johnson Controls a publié une version corrigée (v2.01.01) et recommande une restriction stricte de l'accès local aux machines exécutant Simplex Incident Manager, combinée à la supervision des outils de vidage mémoire.
Points d'attention
- L'exploitation requiert un accès local avec des privilèges faibles et une complexité d'attaque élevée, ce qui restreint l'exposition aux assaillants disposant déjà d'une présence sur le système ou aux acteurs internes malveillants.
- Aucune exploitation publique connue de cette vulnérabilité n'a été signalée à la CISA à ce jour.
- Le CWE-316 décrit le stockage en clair de données sensibles en mémoire : les mots de passe et tokens ne sont jamais chiffrés durant l'exécution, les rendant accessibles aux outils d'analyse mémoire.
Autres actus importantes
- Attaques sur les canaux nommés : sécuriser la communication interprocessus Windows
- Les troyens bancaires Manic, Grandoreiro et ToxicPanda 2.0 sous les projecteurs
- La CISA ordonne aux agences fédérales de corriger les failles activement exploitées de TrueConf Server
- Corée du Sud : des responsables politiques ciblés par une fuite de données
Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️
À demain pour la prochaine veille 🔐 – Kilian de Cybere