Veeam : Faille d'élévation de privilèges 🔓, 105 cyberattaques lancées par 3 agents IA 🤖, Microsoft démantèle EvilTokens 🎭

Veille
• 4 minutes de lecture
Kilian PICHARD profile image Kilian PICHARD

Bonjour, voici ta veille Cybere du 25 septembre 2026 !

Un ticket de session à privilèges laissé en clair dans les logs de l'agent Veeam, un attaquant sinophone qui orchestre plus d'une centaine d'intrusions à l'aide de trois agents IA autonomes, et le démantèlement par Microsoft d'une infrastructure de phishing dopée aux LLM : l'actualité du jour confirme l'intégration massive et opérationnelle de l'IA dans l'arsenal offensif des cybercriminels.

Retrouve les trois articles à la une du jour :

  • Veeam Agent pour Windows expose un ticket de session SYSTEM dans un journal d'événements lisible en local (CVE-2026-32996)
  • Automatisation offensive : un opérateur sinophone utilise Hermes, Strix et Cairn pour compromettre 27 entreprises en cinq jours
  • Microsoft neutralise la plateforme EvilTokens, un service de phishing M365 utilisant l'IA pour générer du leurre ultra-contextuel

Veeam Agent pour Windows expose un ticket de session SYSTEM dans un fichier lisible par tous

Veeam a corrigé le 27 mai 2026 la CVE-2026-32996 (CVSS 7.3), une faille d'élévation de privilèges locale dans Veeam Agent pour Windows versions 13.0.1.2067 et antérieures. Un exploit public circule depuis le 14 septembre 2026, mais l'exploitation en conditions réelles reste incertaine après qu'Arctic Wolf a retiré son bulletin évoquant des attaques actives.

Le service VeeamEndpointBackupSvc écrit en clair l'identifiant de session d'un administrateur dans un fichier journal accessible à tous les utilisateurs de la machine. Un attaquant local peut récupérer ce ticket et exécuter des commandes avec les privilèges SYSTEM, à condition qu'un administrateur ait ouvert l'agent en mode élevé et que sa session soit encore active. Le correctif est intégré à partir du build 13.0.3.1220 de l'agent. La version de l'agent autonome actuelle est la 13.1.1.700, publiée le 13 août 2026.

Points d'attention

  • Le ticket de session expire quand l'interface est fermée, après un délai d'inactivité ou quand l'utilisateur se déconnecte, ce qui limite la fenêtre d'exploitation.
  • Arctic Wolf a publié puis supprimé un bulletin signalant une exploitation active, et Veeam ne mentionne aucune attaque dans son avis de sécurité, laissant planer le doute sur l'usage réel de la faille.
  • La vulnérabilité ne permet pas d'obtenir un accès initial sur une machine, elle sert uniquement à élever les privilèges après la compromission d'un compte utilisateur standard disposant déjà d'un accès local.

→ Lire la source

Un attaquant orchestre 105 attaques quasi-autonomes grâce à trois agents IA open source

Un opérateur sinophone a compromis au moins 27 entreprises entre le 10 et le 15 septembre en combinant trois agents IA open source : Hermes, Strix et Cairn. Parmi les victimes figurent une compagnie aérienne américaine, un groupe hôtelier du Fortune 500 et un distributeur industriel. L'attaquant a dérobé plus de 600 000 numéros de cartes bancaires et déployé des skimmers sur au moins 19 sites de commerce en ligne, le tout pour un coût estimé entre 12 000 et 18 000 dollars.

Hermes orchestrait la campagne avec Claude Opus 4.6 et 121 compétences dont 78 offensives, Strix scannait les vulnérabilités via GLM 5.2 puis DeepSeek v4 Pro, et Cairn exploitait les failles avec DeepSeek v4.1 Flash. Selon Gambit, qui a récupéré le serveur de préparation, les agents opéraient à un rythme qu'aucun humain ne peut soutenir : l'exploitation s'est souvent achevée en quelques heures, réduisant drastiquement la fenêtre de remédiation pour les défenseurs.

Points d'attention

  • L'attaquant a chargé un persona « SOUL - Red Team Operator » sur Hermes et saisi 1 951 instructions en chinois pour piloter les trois agents, dont une compétence qui désactive les filtres de sécurité du modèle.
  • Strix a tourné 633 heures cumulées en 195 heures réelles pour scanner 138 cibles, montrant une parallélisation massive que l'opérateur humain n'aurait jamais atteint seul.
  • Le déploiement de skimmers s'effectuait le plus souvent en ajoutant le code à un fichier JavaScript existant, technique confirmée sur 19 sites et détectée par le chercheur Varys sur plus de 100 domaines liés.

→ Lire la source

Microsoft démantèle une plateforme de phishing dopée à l'IA

Microsoft a démantelé EvilTokens, un service de phishing-as-a-service alimenté par intelligence artificielle qui a compromis plus de 12 000 comptes Microsoft 365 répartis dans 6 500 domaines. La plateforme exploitait l'IA pour cibler spécifiquement les environnements d'entreprise et contourner l'authentification multifacteur.

Le service reposait sur une technique de fraude au code d'appareil qui détournait le flux légitime d'authentification sans voler les mots de passe. Un chatbot analysait les boîtes mail compromises pour identifier les contacts clés et générer des messages de leurre contextualisés, rendant les attaques beaucoup plus crédibles. Commercialisée sur Telegram pour 1 500 dollars d'entrée et 500 dollars mensuels, la plateforme a généré plus d'un million de dollars en cryptomonnaies selon Coinbase.

Points d'attention

  • L'automatisation par IA synthétisait les conversations des victimes pour créer des messages frauduleux adaptés à chaque organisation, transformant le phishing massif en attaques ciblées et pertinentes.
  • La fraude au code d'appareil contourne l'authentification multifacteur en détournant le processus légitime d'appairage, sans nécessiter le vol des identifiants classiques ni l'interception de codes OTP.
  • Les secteurs visés incluent la finance, la santé et la distribution, révélant une diversification stratégique pour maximiser les revenus et l'impact des compromissions à travers différentes industries.

→ Lire la source

Autres actus importantes

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere