FBI saisit 7 domaines chinois ⚖️, Midnight Mimosa infecte Android 📱, CrocoRat se cache dans les DNS 🐊

Bonjour, voici ta veille Cybere du 9 octobre 2026 !

Entre opérations de neutralisation et nouvelles méthodes de persistance, la veille du jour est particulièrement dense. Du côté des autorités, le FBI frappe un coup dur contre Flax Typhoon en saisissant sept domaines clés. Sur le segment des smartphones d'entrée de gamme, Bitdefender identifie la campagne Midnight Mimosa, implantée directement au niveau du firmware. Enfin, côté techniques malveillantes, CrocoRat innove en dissimulant ses instructions dans des requêtes DNS.

Retrouve les trois articles à la une du jour :

• Le FBI neutralise sept domaines de Flax Typhoon utilisés pour la reconnaissance et l'exploitation d'infrastructures critiques
• Campagne Midnight Mimosa : un cheval de Troie préinstallé dans le firmware de mobiles Android MediaTek crée des proxys résidentiels
• Menace ClickFix : le malware CrocoRat utilise des enregistrements DNS TXT pour dissimuler et exécuter son code malveillant en mémoire

Le FBI saisit sept domaines du groupe chinois Flax Typhoon

Le FBI a saisi sept domaines utilisés par le groupe Flax Typhoon, soutenu par la Chine, pour exploiter les outils MicroScan et FishHub. Selon le département de la Justice, ces plateformes, attribuées à Integrity Technology Group, ont servi à scanner puis à compromettre des infrastructures critiques aux États-Unis et ailleurs.

D'après l'affidavit du FBI, MicroScan s'appuyait sur un botnet Mirai pour repérer ses cibles, tandis que FishHub servait au spear-phishing et à l'exfiltration de données. Un avis conjoint du FBI, de la CISA et de la NSA recense huit failles couramment visées, dont CVE-2016-3081 (Apache Struts), CVE-2019-11510 (Pulse Secure) et CVE-2021-22205 (GitLab).

Points d'attention

• MicroScan, écrit en Python, embarque plus de 1 300 scripts de test d'intrusion visant notamment Oracle WebLogic, Apache Struts, WordPress et Jenkins, selon l'avis conjoint.
• L'affidavit confirme la compromission de deux universités taïwanaises, mais ne précise pas si l'électricien sud-carolinien ou les aéroports japonais et polonais ont été compromis.
• En septembre 2024, la Justice américaine avait déjà perturbé un botnet Mirai de plus de 200 000 appareils exploité par Integrity Tech, sanctionnée ensuite par le Royaume-Uni et l'Union européenne.

→ Lire la source

Midnight Mimosa infecte des milliers de smartphones Android économiques

Des chercheurs de Bitdefender ont révélé la campagne Midnight Mimosa, un malware intégré au firmware de smartphones Android économiques équipés de puces MediaTek. Selon Bitdefender, elle a touché des milliers d'appareils dans plus de 150 pays en environ deux ans, surtout au Mexique, en France et en Italie.

Doté de privilèges système, le malware installe et supprime des applications, accorde des permissions et exécute du code téléchargé sans action de l'utilisateur. Il sert à la fraude publicitaire et transforme les appareils en proxys résidentiels. Les Doogee S200 X et Cubot KINGKONG X sont concernés, mais l'origine de la compromission dans la chaîne d'approvisionnement reste inconnue.

Points d'attention

• Le malware désactive temporairement le Play Store (com.android.vending) avant chaque installation silencieuse, afin d'éviter la détection par Google Play Protect, puis le réactive pour ne pas éveiller les soupçons.
• Bitdefender a constaté que l'infrastructure de commande du proxy accepte les enregistrements, mais son appareil de test n'a reçu aucune cible de relais : le transfert de trafic n'est pas confirmé.
• Un propriétaire de Doogee Fire 3 Max rapporte qu'une mise à jour officielle a installé le malware, disparu après le retour à un ancien firmware.

→ Lire la source

Un nouveau RAT ClickFix masque sa charge malveillante dans le DNS

Flare a analysé un RAT jusqu'alors inconnu, baptisé CrocoRat, qui prolonge les attaques ClickFix en récupérant ses instructions via des enregistrements DNS TXT. Assaf Morag, chercheur de Flare, a observé plusieurs versions entre fin août et fin septembre 2026, avec des modifications régulières des fichiers, du chiffrement et de l'infrastructure.

La commande PowerShell collée par la victime via Windows+R semble interroger un enregistrement TXT associé à google.com. La requête est en réalité dirigée vers un serveur DNS contrôlé par l'attaquant, qui renvoie le code malveillant exécuté en mémoire. Ce code n'apparaît donc jamais dans la commande copiée dans le presse-papiers.

Points d'attention

• Flare estime que les éléments disponibles ne permettent pas d'attribuer CrocoRat à un groupe, bien que des commentaires en russe suggèrent un développeur russophone.
• Un lanceur Python distingue environnements professionnels et personnels, mais Flare ne l'a pas observé en cours d'exécution dans les échantillons analysés.
• Flare a d'abord cru à une variante inédite avant d'identifier des campagnes antérieures aux mécanismes similaires, ce qui relativise la nouveauté de la technique.

→ Lire la source

Autres actus importantes

• « AgentCorruption » met en danger les environnements AWS avec un simple prompt
• Le ver Shai-Hulud franchit le pas vers l'infrastructure IA avec la compromission de Tensorlake
• Une coalition internationale saisit les outils utilisés par le cabinet de cybersécurité derrière Flax Typhoon
• Anthropic lance un programme d'« engagement à long terme » pour sécuriser les infrastructures critiques et les logiciels open source

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere