Mises à jour cPGuard piégées 🛠️, Cyberattaque sur des congélateurs EFS ❄️, Vol de 6,3 milliards chez Binance 🕵️

Bonjour, voici ta veille Cybere du 4 novembre 2026 !

L'infrastructure de mise à jour du logiciel cPGuard a été piégée pour distribuer une backdoor sur des milliers de serveurs Linux. En France, une cyberattaque visant un prestataire de l'Établissement français du sang a déréglé la température de congélateurs conservant du plasma. Enfin, un faux recruteur nord-coréen a piégé un ingénieur de Binance pour orchestrer un vol record de 6,3 milliards de dollars.

Retrouve les trois articles à la une du jour :

• Supply chain attack sur cPGuard : l'injection d'un script malveillant dans les mises à jour compromet près de 3 000 serveurs
• Incident Coolworld : une attaque informatique modifie les consignes de température de chambres froides stockant des poches de plasma
• Braquage crypto chez Binance : le groupe nord-coréen TraderTraitor piège un salarié via une fausse offre d'emploi et dérobe 6,3 milliards

Des pirates détournent les mises à jour de cPGuard

Des attaquants ont compromis l'infrastructure de mise à jour de cPGuard, suite de sécurité pour serveurs web Linux, afin de distribuer une backdoor et un script de vol de données. D'après l'éditeur OpsShield, l'attaque a débuté le 2 novembre à 02:06 UTC et touche les versions 5.88.12 à 5.88.19.

Le script visait les hashes de mots de passe Linux, la configuration root de MariaDB/MySQL, l'historique du shell root et les fichiers SSH d'autorisation et known-hosts. OpsShield évoque 2946 serveurs affectés et une copie de sa base de facturation. Selon l'éditeur, la version 5.88.25 supprime la backdoor, mais les identifiants volés restent à invalider.

Points d'attention

• L'origine des identifiants légitimes utilisés pour accéder au CDN de distribution d'OpsShield reste inconnue, l'éditeur n'ayant pas établi comment l'attaquant les a obtenus.
• Les données transitaient par le serveur de licences d'OpsShield via un compte compromis: l'enquête établit que 32 fichiers ont été récupérés par client.
• Certains serveurs ont pu ne pas recevoir le script, les vérifications de mise à jour s'effectuant à intervalles précis, selon OpsShield.

→ Lire la source

Une cyberattaque dérègle les congélateurs d'un prestataire de l'EFS

Une cyberattaque visant Coolworld, prestataire de l'Établissement français du sang (EFS), a modifié dans la nuit du 1er au 2 novembre 2026 les températures d'équipements conservant des produits sanguins, notamment en Bourgogne-Franche-Comté. Selon Le Canard enchaîné, qui a révélé l'incident le 3 novembre, du plasma congelé destiné aux transfusions figurait parmi les produits concernés.

Les congélateurs, réglés autour de -30 °C, auraient été programmés pour atteindre 110 °C. Un technicien d'astreinte a repéré la hausse anormale des températures. Le ministère de la Santé affirme qu'aucune conséquence opérationnelle n'est à déplorer, mais le nombre d'installations touchées et la durée des perturbations n'ont pas été communiqués.

Points d'attention

• Le chiffre de 110 °C désigne une consigne programmée, non une température mesurée dans les chambres froides ou les poches de plasma.
• L'alerte CERTFR-2026-ALE-012 de l'ANSSI vise des contrôleurs Danfoss, Copeland et Dixell, mais rien ne prouve que Coolworld utilisait ces équipements.
• Devant le Sénat le 21 octobre, Vincent Strubel (ANSSI) avait cité pharmacies et laboratoires parmi les utilisateurs de ces installations frigorifiques, moins de deux semaines avant l'incident.

→ Lire la source

Un faux recruteur nord-coréen a mené au vol chez Binance

Des pirates nord-coréens ont dérobé 6,3 milliards de dollars à Binance le 29 octobre, après avoir piégé un ingénieur logiciel lors de faux entretiens d'embauche. Le FBI a attribué le vol à TraderTraitor, une opération liée au Lazarus Group, tandis que le rapport d'incident publié mardi par Binance décrit une campagne en plusieurs étapes.

En septembre, un faux directeur de projet a contacté l'ingénieur via une plateforme d'emploi légitime. Lors du second entretien, un faux PDG lui a fait télécharger un dépôt de code piégé, qui a remplacé un composant d'outil de développement et contacté un serveur externe. Le 20 octobre, les attaquants ont exploité un outil d'IA interne.

Points d'attention

• Le script substitue au binaire pyenv 2.8.0 une version de 3 414 octets puis lance zsh, sans détection immédiate par les outils de sécurité.
• Dès juin, une installation Homebrew malveillante avait exposé l'équipe d'infrastructure des portefeuilles, malgré le remplacement de l'appareil et la rotation des identifiants concernés.
• Un jeton de déploiement de conteneurs resté sur le poste de l'ingénieur A a servi, depuis celui de l'ingénieur C, à lancer le script de vol.

→ Lire la source

Autres actus importantes

• WorkOS : un attaquant a utilisé ARTEX AI pour compromettre une application commerciale interne
• Le groupe APT Gorbag cible les tribunaux et conseils municipaux ukrainiens avec un malware autodestrupteur
• Les attaques contre des chaînes frigorifiques européennes raviven les préoccupations sur la sécurité de la chaîne du froid
• La Russie démantèle l'infrastructure du groupe de cybercriminalité VasyGrek et arrête trois suspects

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere