Faille sur Microsoft Authenticator Android 🔑, Faux supports Teams et ransomwares 🎭, Jetons GitHub piratés pour piller le cloud ☁️

Bonjour, voici ta veille Cybere du 27 octobre 2026 !

Une faille critique dans Microsoft Authenticator Android permet à des applications malveillantes de dérober des jetons d'accès. En parallèle, des campagnes d'ingénierie sociale sur Teams usurpent le support informatique pour diffuser des ransomwares. Enfin, la campagne Gheist exploite des jetons GitHub compromis pour moissonner les secrets cloud.

Retrouve les trois articles à la une du jour :

• Faille Microsoft Authenticator Android (CVE-2026-80097) : un défaut de contrôle d'identité d'un composant autorise le vol de jetons d'accès
• Usurpation sur Teams : des cybercriminels se font passer pour le support IT afin d'installer des outils d'accès distant et d'injecter le ransomware Chaos
• Campagne Gheist : plus de 13 500 branches malveillantes créées sur GitHub pour extraire en toute discrétion les secrets des infrastructures cloud

Microsoft Authenticator Android laissait des applications voler des jetons d'accès

Des chercheurs d'Enclave ont révélé une faille dans Microsoft Authenticator pour Android, corrigée par la CVE-2026-80097 (CVSS 8.6) publiée par Microsoft le 8 septembre 2026. Toutes les versions antérieures à 6.2606.4246 sont affectées, et une application malveillante, sans aucune permission, pouvait obtenir des jetons d'accès à un compte professionnel.

Sur Android, Authenticator fait office de broker pour Teams ou Outlook. D'après Enclave, l'un de ses composants, ouvert à toute application, ne vérifiait pas l'identité réelle de l'appelant et se fiait à ses déclarations. L'application de test a ainsi lu et envoyé des e-mails, accédé aux fichiers, au calendrier et à SharePoint, puis envoyé des messages Teams.

Points d'attention

• Un contrôle existait, mais il restait facile à falsifier : Authenticator comparait la requête aux détails de l'application Teams installée, des informations lisibles par n'importe quelle application.
• En se faisant passer pour Authenticator lui-même, l'application pouvait modifier les méthodes de connexion et créer une passkey, ce qui maintient l'accès après sa suppression.
• L'attaque suppose l'installation préalable d'une application malveillante, mais le vol reste ensuite silencieux, sans invite ni alerte affichée à l'utilisateur.

→ Lire la source

Des faux supports informatiques sur Teams diffusent des ransomwares

Arctic Wolf Labs a décrit un schéma d'ingénierie sociale récurrent, observé dans des centaines de cas. Des attaquants détournent la création de chats externes de Microsoft Teams pour usurper le support informatique et diffuser des malwares. L'activité correspond à STAC4749, dont les attaques ont mené au ransomware Chaos, selon Sophos.

Les messages suivent une saturation de la boîte mail et proviennent de tenants Microsoft 365 jetables, souvent en onmicrosoft[.]com (30 à 40 % des cas). Par vishing (arnaques vocales liées au phishing), les victimes ouvrent un outil d'accès à distance comme Quick Assist ou AnyDesk. Les attaquants installent alors la backdoor GoGRPC, atteignent les contrôleurs de domaine, exfiltrent des données puis lancent le ransomware.

Points d'attention

• Les attaquants évitent de coller une URL dans Teams, ce qui déclencherait l'analyse Safe Links et ZAP, et accèdent eux-mêmes au payload pendant la session distante.
• Dans un cas, une commande PowerShell télécharge un MSI depuis Azure Blob Storage. Il extrait un implant Python qui interroge Active Directory en LDAP sur tous les ordinateurs et utilisateurs.
• Arctic Wolf note un virage vers des domaines payants pour les tenants: environ 50 % en .top, 40 % en .com et un peu plus de 5 % en multi-niveaux.

→ Lire la source

Des jetons GitHub volés alimentent le vol de secrets cloud

Wiz Research a documenté Gheist, une campagne en cours qui exploite des jetons GitHub compromis pour récolter des secrets cloud dans des dépôts de développeurs. Selon son rapport, plus de 13 500 branches malveillantes ont été créées sur plus de 850 comptes compromis, des projets personnels aux dépôts privés d'entreprise.

Le mécanisme repose sur un workflow nommé sync-check, ajouté dans .github/workflows/sync-check.yml sur des branches ci-sync- suivies de six caractères. Il affiche les secrets dans son journal, récupéré via l'API GitHub, puis supprime l'exécution en quelques secondes. Wiz suit l'activité depuis le 15 septembre et la juge toujours active au 24 octobre.

Points d'attention

• Le commit non signé apparaît au nom du propriétaire du jeton, et les secrets encodés en Base32 transitent par l'API GitHub, sans domaine à bloquer.
• Les protections introduites par GitHub en juillet couvrent les dépôts publics, mais ne s'appliquent plus une fois un identifiant d'entreprise compromis, explique Rami McCarthy de Wiz.
• Les jetons proviennent surtout d'infostealers et de compromissions antérieures, et des comptes touchés recoupent d'autres campagnes, ce qui suggère un partage entre acteurs.

→ Lire la source

Autres actus importantes

• Une faille de sécurité oblige un grand hôpital du Nouveau-Mexique à détourner les patients et fermer des cliniques
• Des pirates infectent 953 boutiques en ligne avec un JavaScript contournant les détecteurs, principalement sur Magento
• La fuite de données de l'Université de Copenhague expose les données de 525 000 personnes
• L'Ukraine avertit que des pirates exploitent les caméras de surveillance Dahua de fabrication chinoise

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere