Alors là, accrochez-vous à votre clavier parce que je vais vous parler d’un truc qui défrise. Si je vous disais qu’il est possible de simuler l’univers entier, sa structure à grande échelle, ses milliards de galaxies… sur votre MacBook Air ??

Pas besoin de réserver du temps sur un supercalculateur, pas besoin de faire la queue pendant des semaines pour obtenir vos résultats. Hé bien c’est ce que permet de faire Effort.jl, et c’est de la bombe pour astrophysiciens !

Mais avant que je vous retourne le cerveau encore une fois, voici un peu de contexte. En mars 2025, le projet DESI a lâché une nouvelle incroyable : l’énergie noire, cette force mystérieuse qui fait accélérer l’expansion de l’univers, pourrait ne pas être constante mais évoluer dans le temps. C’est potentiellement le plus gros bouleversement en cosmologie depuis des décennies, sauf que pour prouver ça, il faut analyser des quantités astronomiques de données (j’assume ce jeu de mots), et c’est là que ça coince.

Le problème, c’est que modéliser la “cosmic web” (cette toile cosmique gigantesque où les galaxies forment des amas reliés par des filaments de matière) ça nécessite des calculs d’une complexité monstrueuse. On utilise pour ça la théorie des champs effectifs de la structure à grande échelle ( EFTofLSS pour les intimes), et une seule analyse peut prendre des jours entiers sur un supercalculateur. Multiplié par les milliers d’analyses nécessaires pour faire de la science solide, on arrive vite à des mois de calculs !!

C’est là qu’intervient Marco Bonici de l’Université de Waterloo et son équipe. Plutôt que de continuer à se battre avec des files d’attente interminables sur les supercalculateurs, ils ont eu une idée géniale : Apprendre à une IA comment la physique fonctionne, et la laisser faire les calculs à notre place.

Effort.jl, c’est donc un peu comme le DLSS de Nvidia mais pour l’univers. Vous savez le DLSS c’est cette techno qui utilise l’IA pour calculer des images haute définition sans faire suer votre GPU. Bon bah là, au lieu de cracher des graphismes de jeux vidéo, on crache… l’univers lui-même. Et le résultat est incroyable… C’est une accélération de x1000 fois par rapport aux méthodes traditionnelles de génération.

La beauté du truc, c’est que l’équipe n’a pas juste balancé des données dans un réseau de neurones en espérant que ça marche. Non, ils ont intégré dès le départ les lois physiques connues dans l’architecture même de leur IA. Comme l’explique Bonici dans une interview , c’est comme décrire l’eau dans un verre. Plutôt que de calculer le mouvement de chaque molécule (ce qui serait impossible), on encode les propriétés microscopiques importantes et on regarde leur effet au niveau macroscopique.

Le réseau de neurones d’Effort.jl est donc relativement simple. Il est constitué de 5 couches cachées de 64 neurones chacune, entraînées sur 60 000 combinaisons de paramètres cosmologiques. Ainsi grâce à l’intégration intelligente de la physique, il peut calculer en 15 microsecondes ce qui prenait des heures avant. Et niveau précision c’est identique, voire parfois meilleure que les modèles originaux.

En plus, tout est codé en Julia , un langage de programmation scientifique qui monte en flèche. L’équipe a même créé deux backends différents : SimpleChains.jl pour faire tourner ça sur CPU (ultra rapide) et Lux.jl pour exploiter les GPU si vous en avez. Et cerise sur le gâteau, tout est différentiable, ce qui veut dire que l’IA peut non seulement calculer les résultats, mais aussi comprendre comment ils changent quand on modifie légèrement les paramètres.

Pour valider leur bébé, l’équipe a donc fait tourner Effort.jl sur les vraies données du Baryon Oscillation Spectroscopic Survey (BOSS) et le résultat est ouf.. On obtient exactement les mêmes conclusions que les méthodes traditionnelles, mais en seulement quelques minutes sur un laptop au lieu de plusieurs jours sur un cluster. C’est testé, validé, et ça marche.

Au-delà de l’exploit technique, Effort.jl arrive à un moment important car avec les télescopes comme DESI et Euclid qui génèrent des téraoctets de données, et surtout cette découverte potentielle que l’énergie noire évolue, on a besoin d’outils capables de suivre le rythme. Bah oui, c’est fini le temps où les chercheurs passaient plus de temps à attendre le résultat de leurs calculs qu’à faire de la science.

Et en plus, Effort.jl est totalement open source et sur GitHub . N’importe qui peut donc télécharger le code, l’installer sur son laptop, et commencer à explorer l’univers depuis son canap'.

Alors oui, on pourrait dire que c’est “juste” une accélération de calculs, mais en réalité, c’est bien plus que ça. C’est la différence entre attendre des mois pour tester une hypothèse et pouvoir explorer des milliers de scénarios en temps réel. C’est la possibilité pour des équipes sans accès aux supercalculateurs de faire de la recherche de pointe. Et c’est, potentiellement, ce qui nous permettra de comprendre enfin ce qu’est cette foutue énergie noire qui compose 70% de l’univers…

Bref, l’IA quand elle est bien utilisée et combinée avec une vraie compréhension de la physique, ça décuple les capacités de la science et ça c’est beau !

Source

Si vous êtes sous Mac, je pense que comme moi, vous passez votre temps à chercher des fichiers ou lancer des applications avec Spotlight… Si vous ne connaissez pas cet outil, c’est un truc super pratique d’Apple qui indexe tout votre disque dur pour vous faire gagner du temps. Command+Espace, trois lettres tapées, et hop, votre document apparaît. Pratique, non ?

Sauf que voilà, depuis presque 10 ans maintenant, ce même Spotlight peut servir de cheval de Troie pour siphonner vos données les plus privées. Et le pire, c’est qu’Apple le sait et n’arrive toujours pas à vraiment colmater la brèche.

Patrick Wardle, le chercheur en sécurité derrière plusieurs outils populaires comme LuLu , vient d’expliquer sur son blog Objective-See une technique ahurissante qui permet à un plugin Spotlight malveillant de contourner toutes les protections TCC de macOS. Pour info, TCC (Transparency, Consent and Control), c’est le système qui vous demande si telle application peut accéder à vos photos, vos contacts, votre micro… Bref, c’est censé être le garde du corps de votre vie privée sous Mac.

Alors comment ça marche ?

Hé bien au lieu d’essayer de forcer les portes blindées du système, le plugin malveillant utilise les notifications Darwin comme une sorte de morse numérique. Chaque byte du fichier à voler est encodé dans le nom d’une notification (de 0 à 255), et un processus externe n’a qu’à écouter ces notifications pour reconstruire le fichier original, octet par octet. C’est du génie dans sa simplicité !

Ce qui rend cette histoire encore plus dingue, c'est que cette vulnérabilité a été présentée pour la première fois par Wardle lui-même lors de sa conférence #OBTS v1.0 en 2018. Il avait déjà montré comment les notifications pouvaient permettre aux applications sandboxées d'espionner le système.

Plus récemment, Microsoft a “redécouvert” une variante de cette technique cette année et l’a baptisée “ Sploitlight ”. Ils ont même obtenu un joli CVE tout neuf (CVE-2025-31199) pour leur méthode qui consistait à logger les données dans les journaux système. Apple a corrigé cette variante dans macOS Sequoia 15.4… mais la méthode originale de Wardle fonctionne toujours, même sur macOS 26 (Tahoe) !

Et sinon, savez-vous ce que ces plugins peuvent voler exactement ?

Il y a notamment un fichier bien particulier sur votre Mac, caché dans les profondeurs du système, qui s’appelle knowledgeC.db. Cette base de données SQLite est littéralement le journal intime de votre Mac. Elle contient tout :

• Quelles applications vous utilisez et pendant combien de temps
• Vos habitudes de navigation web avec Safari (historique détaillé, fréquence des visites, interactions)
• Quand vous branchez votre téléphone
• Quand vous verrouillez votre écran
• Vos trajets en voiture avec CarPlay
• Vos routines quotidiennes et patterns comportementaux

C’est le genre de données qui raconte votre vie mieux que vous ne pourriez le faire vous-même. Et avec les nouvelles fonctionnalités d’Apple Intelligence dans macOS Tahoe, cette base de données alimente directement l’IA d’Apple pour personnaliser votre expérience.

Avec ce fichier, quelqu’un pourrait non seulement voir ce que vous faites maintenant sur votre Mac, mais aussi reconstituer vos habitudes des 30 derniers jours. À quelle heure vous commencez votre journée, quelles apps vous lancez en premier, combien de temps vous passez sur tel ou tel site… C’est le rêve de n’importe quel espion ou publicitaire, et c’est accessible via une simple vulnérabilité Spotlight.

Apple a bien sûr essayé de corriger le tir. Dans macOS 15.4, ils ont ajouté de nouveaux événements TCC au framework Endpoint Security pour mieux surveiller qui accède à quoi. Ils ont aussi corrigé la variante découverte par Microsoft (CVE-2025-31199).

Mais… la vulnérabilité de base présentée par Wardle fonctionne toujours sur macOS 26 (Tahoe), même en version Release Candidate avec SIP activé ! C’est comme ajouter une serrure supplémentaire sur la porte alors que tout le monde passe par la fenêtre depuis 10 ans.

Wardle a une idée toute simple pour régler définitivement le problème : Apple pourrait exiger une notarisation pour les plugins Spotlight, ou au minimum demander l’authentification et l’approbation explicite de l’utilisateur avant leur installation. Actuellement, n’importe quel plugin peut s’installer tranquillement dans ~/Library/Spotlight/ et commencer à espionner vos données, sans même nécessiter de privilèges administrateur.

Alors bien sûr, avant que vous ne couriez partout comme une poule sans tête, il faut relativiser :

1. Cette attaque nécessite un accès local à votre système - on ne parle pas d’une vulnérabilité exploitable à distance
2. Il faut qu’un malware ou un attaquant installe d’abord le plugin malveillant sur votre Mac
3. La “bande passante” est limitée - transmettre octet par octet n’est pas très efficace pour de gros fichiers
4. macOS affiche une notification quand un nouveau plugin Spotlight est installé (même si cette alerte peut être contournée)

Ça fait quand même quelques conditions… mais le fait que cette faille existe depuis près de 10 ans et fonctionne toujours sur la dernière version de macOS reste préoccupant.

Cette histoire nous rappelle que les outils les plus dangereux sont souvent ceux auxquels on fait le plus confiance… Wardle fournit même un proof-of-concept complet sur son site pour que la communauté puisse tester et comprendre le problème. Espérons qu’Apple prendra enfin cette vulnérabilité au sérieux et implémentera les mesures de sécurité suggérées.

En attendant, restez vigilants sur les applications que vous installez et gardez un œil sur les notifications système concernant l’installation de nouveaux plugins Spotlight !

Alors celle-là, je ne l’avais pas vue venir… Vous utilisez BitLocker depuis des années pour protéger vos données sensibles, vous dormez sur vos deux oreilles en pensant que votre laptop est un vrai coffre-fort… et puis paf, on découvre qu’il y avait une faille MONUMENTALE dans TOUS les boot managers de Windows créés entre 2005 et 2022 ! Et oui, la vulnérabilité affecte même des boot managers sortis un an avant que BitLocker n’existe !

L’équipe de SySS a analysé dernièrement cette vulnérabilité baptisée BitPixie (CVE-2023-21563) et comme j’ai trouvé leur article intéressant, je me permet de vous le partager. En fait, le bug dormait tranquillement dans le Windows Boot Manager depuis octobre 2005, et personne ne s’en était rendu compte. BitLocker est ensuite arrivé en 2006 avec Windows Vista, et a donc été bâti littéralement sur des fondations déjà pourries.

L’attaque paraît simple en surface… un câble réseau, un clavier et environ 5 minutes si tout est préparé. De plus, son exploitation est totalement non-invasive et ne laisse aucune trace permanente sur l’appareil. Mais attention, derrière cette simplicité apparente se cache quand même pas mal de technique… Il faut créer un fichier BCD personnalisé (Boot Configuration Data), configurer un serveur TFTP/DHCP, et dans certains cas exploiter une faille Linux (CVE-2024-1086) pour contourner les protections du kernel. Donc bon, c’est pas non plus à la portée du premier venu, mais ça reste faisable pour quelqu’un de motivé.

Concrètement, voilà comment ça marche. L’attaquant modifie le fichier BCD pour activer le démarrage réseau, puis effectue ce qu’on appelle un “PXE soft reboot” en utilisant un ancien boot manager non patché (celui de 2011 fait très bien l’affaire). Le problème, c’est que pendant ce redémarrage PXE, le système oublie complètement de nettoyer la mémoire où est stockée la clé maître du volume BitLocker (VMK pour Volume Master Key). Du coup, on peut tranquillement démarrer sur un Linux, scanner la mémoire, récupérer la clé et déverrouiller le disque. C’est aussi simple que ça…

Faut savoir que le TPM (cette puce de sécurité dans votre ordi) utilise des trucs appelés PCR (Platform Configuration Registers) pour vérifier que personne n’a trafiqué le processus de démarrage. Normalement, si quelque chose change, pouf, le TPM refuse de donner la clé BitLocker. Sauf que l’attaque BitPixie arrive à contourner ça en exploitant le fait que le redémarrage PXE ne réinitialise pas correctement la mémoire.

Même les systèmes configurés avec l’authentification pré-démarrage (PBA) et protection par code PIN restent partiellement vulnérables. Alors attention, nuance importante ici : si vous avez mis un code PIN et qu’un voleur pique votre laptop, il sera bien embêté car l’attaque ne marchera pas sans le PIN. Par contre, si l’attaquant connaît le PIN (genre un employé mécontent ou quelqu’un qui vous a vu le taper), il peut toujours escalader ses privilèges locaux via des techniques de manipulation mémoire. Donc votre PIN à 4 chiffres est une protection, oui, mais pas la muraille de Chine face à un insider malveillant avec BitPixie.

D’ailleurs, certains systèmes résistent mieux que d’autres. Plusieurs ordinateurs portables HP, par exemple, ne permettent pas de démarrer des boot managers tiers, ce qui bloque l’attaque. Mais bon, on peut pas vraiment compter là-dessus comme stratégie de sécurité…

C’est le chercheur Rairii qui a découvert cette vulnérabilité en août 2022, mais ce n’est qu’en février 2023 que Microsoft l’a publiquement divulguée. Entre temps, ils ont sorti le patch KB5025885 en mai 2023. Ce patch remplace l’ancien certificat Microsoft de 2011 par le nouveau certificat Windows UEFI CA 2023, et il ajoute l’ancien certificat à la liste de révocation. Comme ça, impossible de faire une attaque par downgrade avec un vieux boot manager. Sauf que… à cause de certaines limitations dans le standard Secure Boot, la vulnérabilité reste exploitable aujourd’hui sur les systèmes qui n’ont pas appliqué ce patch.

Ce qui est sûr c’est que Microsoft savait pertinemment que leurs certificats allaient expirer. D’après le support Microsoft , les trois certificats Microsoft (Microsoft Corporation KEK CA 2011, Microsoft Windows Production PCA 2011, et Microsoft UEFI CA 2011) expirent tous en juin 2026. C’est cette expiration qui va enfin forcer tout le monde à mettre à jour. Il aura donc fallu attendre une contrainte administrative pour que tout le monde corrige une faille critique vieille de presque 20 ans.

Compass Security a même publié un PoC (Proof of Concept) montrant comment exploiter BitPixie avec une édition WinPE personnalisée.

Alors là, accrochez-vous à votre clavier parce que je vais vous parler d’un truc qui défrise. Si je vous disais qu’il est possible de simuler l’univers entier, sa structure à grande échelle, ses milliards de galaxies… sur votre MacBook Air ??

Pas besoin de réserver du temps sur un supercalculateur, pas besoin de faire la queue pendant des semaines pour obtenir vos résultats. Hé bien c’est ce que permet de faire Effort.jl, et c’est de la bombe pour astrophysiciens !

Mais avant que je vous retourne le cerveau encore une fois, voici un peu de contexte. En mars 2025, le projet DESI a lâché une nouvelle incroyable : l’énergie noire, cette force mystérieuse qui fait accélérer l’expansion de l’univers, pourrait ne pas être constante mais évoluer dans le temps. C’est potentiellement le plus gros bouleversement en cosmologie depuis des décennies, sauf que pour prouver ça, il faut analyser des quantités astronomiques de données (j’assume ce jeu de mots), et c’est là que ça coince.

Le problème, c’est que modéliser la “cosmic web” (cette toile cosmique gigantesque où les galaxies forment des amas reliés par des filaments de matière) ça nécessite des calculs d’une complexité monstrueuse. On utilise pour ça la théorie des champs effectifs de la structure à grande échelle ( EFTofLSS pour les intimes), et une seule analyse peut prendre des jours entiers sur un supercalculateur. Multiplié par les milliers d’analyses nécessaires pour faire de la science solide, on arrive vite à des mois de calculs !!

C’est là qu’intervient Marco Bonici de l’Université de Waterloo et son équipe. Plutôt que de continuer à se battre avec des files d’attente interminables sur les supercalculateurs, ils ont eu une idée géniale : Apprendre à une IA comment la physique fonctionne, et la laisser faire les calculs à notre place.

Effort.jl, c’est donc un peu comme le DLSS de Nvidia mais pour l’univers. Vous savez le DLSS c’est cette techno qui utilise l’IA pour calculer des images haute définition sans faire suer votre GPU. Bon bah là, au lieu de cracher des graphismes de jeux vidéo, on crache… l’univers lui-même. Et le résultat est incroyable… C’est une accélération de x1000 fois par rapport aux méthodes traditionnelles de génération.

La beauté du truc, c’est que l’équipe n’a pas juste balancé des données dans un réseau de neurones en espérant que ça marche. Non, ils ont intégré dès le départ les lois physiques connues dans l’architecture même de leur IA. Comme l’explique Bonici dans une interview , c’est comme décrire l’eau dans un verre. Plutôt que de calculer le mouvement de chaque molécule (ce qui serait impossible), on encode les propriétés microscopiques importantes et on regarde leur effet au niveau macroscopique.

Le réseau de neurones d’Effort.jl est donc relativement simple. Il est constitué de 5 couches cachées de 64 neurones chacune, entraînées sur 60 000 combinaisons de paramètres cosmologiques. Ainsi grâce à l’intégration intelligente de la physique, il peut calculer en 15 microsecondes ce qui prenait des heures avant. Et niveau précision c’est identique, voire parfois meilleure que les modèles originaux.

En plus, tout est codé en Julia , un langage de programmation scientifique qui monte en flèche. L’équipe a même créé deux backends différents : SimpleChains.jl pour faire tourner ça sur CPU (ultra rapide) et Lux.jl pour exploiter les GPU si vous en avez. Et cerise sur le gâteau, tout est différentiable, ce qui veut dire que l’IA peut non seulement calculer les résultats, mais aussi comprendre comment ils changent quand on modifie légèrement les paramètres.

Pour valider leur bébé, l’équipe a donc fait tourner Effort.jl sur les vraies données du Baryon Oscillation Spectroscopic Survey (BOSS) et le résultat est ouf.. On obtient exactement les mêmes conclusions que les méthodes traditionnelles, mais en seulement quelques minutes sur un laptop au lieu de plusieurs jours sur un cluster. C’est testé, validé, et ça marche.

Au-delà de l’exploit technique, Effort.jl arrive à un moment important car avec les télescopes comme DESI et Euclid qui génèrent des téraoctets de données, et surtout cette découverte potentielle que l’énergie noire évolue, on a besoin d’outils capables de suivre le rythme. Bah oui, c’est fini le temps où les chercheurs passaient plus de temps à attendre le résultat de leurs calculs qu’à faire de la science.

Et en plus, Effort.jl est totalement open source et sur GitHub . N’importe qui peut donc télécharger le code, l’installer sur son laptop, et commencer à explorer l’univers depuis son canap'.

Alors oui, on pourrait dire que c’est “juste” une accélération de calculs, mais en réalité, c’est bien plus que ça. C’est la différence entre attendre des mois pour tester une hypothèse et pouvoir explorer des milliers de scénarios en temps réel. C’est la possibilité pour des équipes sans accès aux supercalculateurs de faire de la recherche de pointe. Et c’est, potentiellement, ce qui nous permettra de comprendre enfin ce qu’est cette foutue énergie noire qui compose 70% de l’univers…

Bref, l’IA quand elle est bien utilisée et combinée avec une vraie compréhension de la physique, ça décuple les capacités de la science et ça c’est beau !

Source

Si vous êtes sous Mac, je pense que comme moi, vous passez votre temps à chercher des fichiers ou lancer des applications avec Spotlight… Si vous ne connaissez pas cet outil, c’est un truc super pratique d’Apple qui indexe tout votre disque dur pour vous faire gagner du temps. Command+Espace, trois lettres tapées, et hop, votre document apparaît. Pratique, non ?

Sauf que voilà, depuis presque 10 ans maintenant, ce même Spotlight peut servir de cheval de Troie pour siphonner vos données les plus privées. Et le pire, c’est qu’Apple le sait et n’arrive toujours pas à vraiment colmater la brèche.

Patrick Wardle, le chercheur en sécurité derrière plusieurs outils populaires comme LuLu , vient d’expliquer sur son blog Objective-See une technique ahurissante qui permet à un plugin Spotlight malveillant de contourner toutes les protections TCC de macOS. Pour info, TCC (Transparency, Consent and Control), c’est le système qui vous demande si telle application peut accéder à vos photos, vos contacts, votre micro… Bref, c’est censé être le garde du corps de votre vie privée sous Mac.

Alors comment ça marche ?

Hé bien au lieu d’essayer de forcer les portes blindées du système, le plugin malveillant utilise les notifications Darwin comme une sorte de morse numérique. Chaque byte du fichier à voler est encodé dans le nom d’une notification (de 0 à 255), et un processus externe n’a qu’à écouter ces notifications pour reconstruire le fichier original, octet par octet. C’est du génie dans sa simplicité !

Ce qui rend cette histoire encore plus dingue, c'est que cette vulnérabilité a été présentée pour la première fois par Wardle lui-même lors de sa conférence #OBTS v1.0 en 2018. Il avait déjà montré comment les notifications pouvaient permettre aux applications sandboxées d'espionner le système.

Plus récemment, Microsoft a “redécouvert” une variante de cette technique cette année et l’a baptisée “ Sploitlight ”. Ils ont même obtenu un joli CVE tout neuf (CVE-2025-31199) pour leur méthode qui consistait à logger les données dans les journaux système. Apple a corrigé cette variante dans macOS Sequoia 15.4… mais la méthode originale de Wardle fonctionne toujours, même sur macOS 26 (Tahoe) !

Et sinon, savez-vous ce que ces plugins peuvent voler exactement ?

Il y a notamment un fichier bien particulier sur votre Mac, caché dans les profondeurs du système, qui s’appelle knowledgeC.db. Cette base de données SQLite est littéralement le journal intime de votre Mac. Elle contient tout :

• Quelles applications vous utilisez et pendant combien de temps
• Vos habitudes de navigation web avec Safari (historique détaillé, fréquence des visites, interactions)
• Quand vous branchez votre téléphone
• Quand vous verrouillez votre écran
• Vos trajets en voiture avec CarPlay
• Vos routines quotidiennes et patterns comportementaux

C’est le genre de données qui raconte votre vie mieux que vous ne pourriez le faire vous-même. Et avec les nouvelles fonctionnalités d’Apple Intelligence dans macOS Tahoe, cette base de données alimente directement l’IA d’Apple pour personnaliser votre expérience.

Avec ce fichier, quelqu’un pourrait non seulement voir ce que vous faites maintenant sur votre Mac, mais aussi reconstituer vos habitudes des 30 derniers jours. À quelle heure vous commencez votre journée, quelles apps vous lancez en premier, combien de temps vous passez sur tel ou tel site… C’est le rêve de n’importe quel espion ou publicitaire, et c’est accessible via une simple vulnérabilité Spotlight.

Apple a bien sûr essayé de corriger le tir. Dans macOS 15.4, ils ont ajouté de nouveaux événements TCC au framework Endpoint Security pour mieux surveiller qui accède à quoi. Ils ont aussi corrigé la variante découverte par Microsoft (CVE-2025-31199).

Mais… la vulnérabilité de base présentée par Wardle fonctionne toujours sur macOS 26 (Tahoe), même en version Release Candidate avec SIP activé ! C’est comme ajouter une serrure supplémentaire sur la porte alors que tout le monde passe par la fenêtre depuis 10 ans.

Wardle a une idée toute simple pour régler définitivement le problème : Apple pourrait exiger une notarisation pour les plugins Spotlight, ou au minimum demander l’authentification et l’approbation explicite de l’utilisateur avant leur installation. Actuellement, n’importe quel plugin peut s’installer tranquillement dans ~/Library/Spotlight/ et commencer à espionner vos données, sans même nécessiter de privilèges administrateur.

Alors bien sûr, avant que vous ne couriez partout comme une poule sans tête, il faut relativiser :

1. Cette attaque nécessite un accès local à votre système - on ne parle pas d’une vulnérabilité exploitable à distance
2. Il faut qu’un malware ou un attaquant installe d’abord le plugin malveillant sur votre Mac
3. La “bande passante” est limitée - transmettre octet par octet n’est pas très efficace pour de gros fichiers
4. macOS affiche une notification quand un nouveau plugin Spotlight est installé (même si cette alerte peut être contournée)

Ça fait quand même quelques conditions… mais le fait que cette faille existe depuis près de 10 ans et fonctionne toujours sur la dernière version de macOS reste préoccupant.

Cette histoire nous rappelle que les outils les plus dangereux sont souvent ceux auxquels on fait le plus confiance… Wardle fournit même un proof-of-concept complet sur son site pour que la communauté puisse tester et comprendre le problème. Espérons qu’Apple prendra enfin cette vulnérabilité au sérieux et implémentera les mesures de sécurité suggérées.

En attendant, restez vigilants sur les applications que vous installez et gardez un œil sur les notifications système concernant l’installation de nouveaux plugins Spotlight !

Alors celle-là, je ne l’avais pas vue venir… Vous utilisez BitLocker depuis des années pour protéger vos données sensibles, vous dormez sur vos deux oreilles en pensant que votre laptop est un vrai coffre-fort… et puis paf, on découvre qu’il y avait une faille MONUMENTALE dans TOUS les boot managers de Windows créés entre 2005 et 2022 ! Et oui, la vulnérabilité affecte même des boot managers sortis un an avant que BitLocker n’existe !

L’équipe de SySS a analysé dernièrement cette vulnérabilité baptisée BitPixie (CVE-2023-21563) et comme j’ai trouvé leur article intéressant, je me permet de vous le partager. En fait, le bug dormait tranquillement dans le Windows Boot Manager depuis octobre 2005, et personne ne s’en était rendu compte. BitLocker est ensuite arrivé en 2006 avec Windows Vista, et a donc été bâti littéralement sur des fondations déjà pourries.

L’attaque paraît simple en surface… un câble réseau, un clavier et environ 5 minutes si tout est préparé. De plus, son exploitation est totalement non-invasive et ne laisse aucune trace permanente sur l’appareil. Mais attention, derrière cette simplicité apparente se cache quand même pas mal de technique… Il faut créer un fichier BCD personnalisé (Boot Configuration Data), configurer un serveur TFTP/DHCP, et dans certains cas exploiter une faille Linux (CVE-2024-1086) pour contourner les protections du kernel. Donc bon, c’est pas non plus à la portée du premier venu, mais ça reste faisable pour quelqu’un de motivé.

Concrètement, voilà comment ça marche. L’attaquant modifie le fichier BCD pour activer le démarrage réseau, puis effectue ce qu’on appelle un “PXE soft reboot” en utilisant un ancien boot manager non patché (celui de 2011 fait très bien l’affaire). Le problème, c’est que pendant ce redémarrage PXE, le système oublie complètement de nettoyer la mémoire où est stockée la clé maître du volume BitLocker (VMK pour Volume Master Key). Du coup, on peut tranquillement démarrer sur un Linux, scanner la mémoire, récupérer la clé et déverrouiller le disque. C’est aussi simple que ça…

Faut savoir que le TPM (cette puce de sécurité dans votre ordi) utilise des trucs appelés PCR (Platform Configuration Registers) pour vérifier que personne n’a trafiqué le processus de démarrage. Normalement, si quelque chose change, pouf, le TPM refuse de donner la clé BitLocker. Sauf que l’attaque BitPixie arrive à contourner ça en exploitant le fait que le redémarrage PXE ne réinitialise pas correctement la mémoire.

Même les systèmes configurés avec l’authentification pré-démarrage (PBA) et protection par code PIN restent partiellement vulnérables. Alors attention, nuance importante ici : si vous avez mis un code PIN et qu’un voleur pique votre laptop, il sera bien embêté car l’attaque ne marchera pas sans le PIN. Par contre, si l’attaquant connaît le PIN (genre un employé mécontent ou quelqu’un qui vous a vu le taper), il peut toujours escalader ses privilèges locaux via des techniques de manipulation mémoire. Donc votre PIN à 4 chiffres est une protection, oui, mais pas la muraille de Chine face à un insider malveillant avec BitPixie.

D’ailleurs, certains systèmes résistent mieux que d’autres. Plusieurs ordinateurs portables HP, par exemple, ne permettent pas de démarrer des boot managers tiers, ce qui bloque l’attaque. Mais bon, on peut pas vraiment compter là-dessus comme stratégie de sécurité…

C’est le chercheur Rairii qui a découvert cette vulnérabilité en août 2022, mais ce n’est qu’en février 2023 que Microsoft l’a publiquement divulguée. Entre temps, ils ont sorti le patch KB5025885 en mai 2023. Ce patch remplace l’ancien certificat Microsoft de 2011 par le nouveau certificat Windows UEFI CA 2023, et il ajoute l’ancien certificat à la liste de révocation. Comme ça, impossible de faire une attaque par downgrade avec un vieux boot manager. Sauf que… à cause de certaines limitations dans le standard Secure Boot, la vulnérabilité reste exploitable aujourd’hui sur les systèmes qui n’ont pas appliqué ce patch.

Ce qui est sûr c’est que Microsoft savait pertinemment que leurs certificats allaient expirer. D’après le support Microsoft , les trois certificats Microsoft (Microsoft Corporation KEK CA 2011, Microsoft Windows Production PCA 2011, et Microsoft UEFI CA 2011) expirent tous en juin 2026. C’est cette expiration qui va enfin forcer tout le monde à mettre à jour. Il aura donc fallu attendre une contrainte administrative pour que tout le monde corrige une faille critique vieille de presque 20 ans.

Compass Security a même publié un PoC (Proof of Concept) montrant comment exploiter BitPixie avec une édition WinPE personnalisée.

*Trigger warning : On va parler caca, popotin et toilettes… lol *

Imaginez… Vous êtes dans des toilettes publiques en Chine, et vous venez de repeindre le chiotte. Vient alors le moment de s’essuyer les fesses (désolé hein, c’est la nature ^^) et face à vous, un distributeur de papier toilette vous demande de scanner un QR code.

Pas le choix, vous sortez votre smartphone, vous scannez, et boom : une publicité de 30 secondes pour des couches-culottes se lance sur votre écran. Félicitations, vous venez de gagner… six feuilles de papier toilette.

Et si 6 feuilles ne suffisent pas (spoiler : ça ne suffit jamais), vous avez deux options : regarder une autre pub ou payer 0,5 Yuan, soit environ 7 centimes d’euro.

Bon alors, on pourrait se dire que c’est juste une blague, une expérimentation isolée dans un coin perdu de Shenzhen, mais non. D’après Oddity Central , ces distributeurs intelligents se multiplient dans les espaces publics chinois. Les autorités présentent ça comme une mesure anti-gaspillage, parce que oui, apparemment, le vrai problème de la Chine en 2025, c’est les gens qui volent ou utilisent trop de papier toilette dans les chiottes publiques.

Votre navigateur ne supporte pas la lecture de vidéos HTML5. Voici un
<a href="/chine-toilettes-publiques-publicite-papier/chine-toilettes-publiques-publicite-papier-1.mp4">lien vers la vidéo</a>.

Comment ça NotPetya ???

Mais siiiii, cette saloperie de malware qui a paralysé la planète en 2017 et qui s’est révélée être en fait un programme destructeur déguisé en ransomware. Eh bien, tenez-vous bien : selon les équipes d’ESET , un petit nouveau vient d’arriver sur la scène, et il s’appelle HybridPetya. Et ce petit gars a appris des nouveaux tours que son grand-père NotPetya ne maîtrisait pas à l’époque.

Martin Smolár, le chercheur d’ESET qui a découvert cette petite merveille, explique que HybridPetya combine le pire des deux mondes : les capacités destructrices de NotPetya ET la récupération possible des données de Petya. Mais surtout, et c’est là que ça devient technique, ce truc est capable de contourner Secure Boot sur les systèmes UEFI.

Pour ceux qui auraient oublié l’enfer de 2017, je vous fais un petit rappel historique. Petya, c’était le ransomware “gentil” qui chiffrait vos données mais vous permettait théoriquement de les récupérer si vous payiez la rançon. NotPetya, son cousin maléfique, c’était le faux ransomware qui détruisait tout sur son passage. Cette saloperie a causé plus de 10 milliards de dollars de dégâts dans le monde, principalement en Ukraine où elle a été initialement déployée via une mise à jour piégée du logiciel de comptabilité M.E.Doc.

Maintenant, là où HybridPetya innove, c’est qu’il récupère le meilleur (ou le pire, selon le point de vue) des deux. Il peut détruire comme NotPetya, mais aussi permettre la récupération des données comme Petya. Une sorte de ransomware à géométrie variable, quoi.

Sauf que ce n’est pas le plus inquiétant…

Le truc vraiment flippant avec HybridPetya, c’est sa capacité à s’installer directement dans le firmware UEFI de votre machine. Pour les non-initiés, UEFI c’est le système qui s’occupe du démarrage de votre ordinateur, avant même que Windows ne se réveille. En gros, si un malware réussit à s’installer là-dedans, il survit à tout : formatage du disque dur, réinstallation complète du système, et même changement de disque dur. C’est un niveau persistance maximale.

Alors, comment il fait ça, ce HybridPetya ? Eh bien, il utilise deux méthodes d’attaque. La première, c’est l’installation directe de charges utiles malveillantes sur la partition système EFI. Une fois là-dedans, il chiffre la Master File Table (MFT) de votre système NTFS, ce qui rend tous vos fichiers complètement inaccessibles. Et surtout, il sait exploiter la vulnérabilité CVE-2024-7344 pour contourner Secure Boot.

Cette faille, découverte également par les équipes d’ESET, se trouve dans l’application Howyar Reloader UEFI. En gros, cette application, qui est normalement signée par Microsoft et donc considérée comme fiable, contient une vulnérabilité qui permet de charger du code non-signé pendant le processus de démarrage. C’est comme si vous donniez les clés de votre maison à quelqu’un en lui disant “tu peux faire rentrer qui tu veux, je te fais confiance”.

Après pas de panique les amis, car il faut préciser que pour l’instant, HybridPetya n’a été repéré que sur VirusTotal, la plateforme d’analyse de malwares. Aucune autre infection dans la nature n’a été détectée par les télémétries d’ESET. Il s’agit donc probablement d’un proof-of-concept développé par un chercheur en sécurité ou un groupe de hackers pour démontrer que c’était possible. Mais le fait que ça existe, ça veut surtout dire que d’autres peuvent s’en inspirer.

Toutefois, HybridPetya rejoint désormais un club très fermé car il est maintenant le quatrième malware connu capable de contourner UEFI Secure Boot, après BlackLotus (qui exploite CVE-2022-21894 ), Bootkitty (qui cible Linux), et le PoC Hyper-V Backdoor. Comme le souligne Martin Smolár : “Cela montre que les contournements de Secure Boot ne sont pas seulement possibles… ils deviennent plus courants et attractifs pour les chercheurs comme pour les attaquants”.

BlackLotus, pour rappel, c’était déjà du lourd. Découvert en 2023 , ce malware était vendu 5 000 dollars sur le dark web et était capable de tourner sur des systèmes Windows 11 entièrement à jour avec Secure Boot activé. Il pouvait désactiver BitLocker, HVCI, et Windows Defender, et installer des pilotes malveillants au niveau kernel. Du grand art, dans le mauvais sens du terme.

Maintenant concrètement, comment on se protège contre ce genre de menaces ? Parce que bon, c’est bien beau de faire peur aux gens, mais il faut aussi donner les solutions.

Et bien première chose, maintenez vos systèmes à jour. Microsoft a corrigé la vulnérabilité CVE-2024-7344 dans le Patch Tuesday de janvier 2025 donc si vous avez appliqué cette mise à jour ou une version ultérieure, vous êtes protégés contre HybridPetya. C’est la base, mais c’est crucial.

Deuxième chose, activez et configurez correctement UEFI Secure Boot. Même si des contournements existent, Secure Boot reste une barrière importante. Assurez-vous qu’il soit activé et que vos listes de révocation soient à jour. Microsoft révoque régulièrement les certificats compromis, et ces révocations sont normalement appliquées automatiquement sur Windows.

Troisième conseil, surveillez votre partition système EFI. Selon les recommandations de CISA , les équipes de sécurité devraient être capables d’auditer, gérer et mettre à jour les composants UEFI, et surveiller les logs d’activité UEFI pour détecter toute modification suspecte. Utilisez des solutions de sécurité capables de détecter les modifications au niveau UEFI… Certains antivirus modernes incluent des fonctionnalités de protection du firmware. Ce n’est pas infaillible, mais ça ajoute une couche de protection. En gros, il faut traiter ce firmware comme n’importe quel autre logiciel avec une surveillance et des mises à jour régulières.

Quatrième point, et c’est important, limitez les privilèges administrateur. Pour déployer HybridPetya, il faut des droits d’administrateur local sur Windows ou root sur Linux pour accéder à la partition système EFI. Moins il y a d’utilisateurs avec ces privilèges, mieux c’est.

Et puis, il y a les bonnes pratiques classiques qui restent valables telles que les sauvegardes régulières (et déconnectées !), la formation des utilisateurs, de la surveillance réseau, et une restriction des droits d’accès. Parce qu’au final, même le malware le plus sophistiqué a besoin d’un vecteur d’infection initial.

Quoiqu’il en soit, ces bootkits UEFI représentent une escalade significative dans la sophistication des malwares car ils opèrent à un niveau si bas qu’ils sont extrêmement difficiles à détecter et à supprimer pour les solutions de sécurité traditionnelles.

C’est intéressant également de noter que HybridPetya ne semble pas avoir les capacités de propagation réseau agressives du NotPetya original. Rappelez-vous, NotPetya utilisait l’exploit EternalBlue (développé initialement par la NSA) pour se propager de machine en machine sur les réseaux et c’est cette capacité de ver informatique qui avait permis à NotPetya de causer autant de dégâts en si peu de temps.

De son côté HybridPetya semble plus axé sur la persistance que sur la propagation massive. C’est probablement un choix tactique car plutôt que de faire du bruit et d’alerter tout le monde, mieux vaut s’installer discrètement et durablement sur les systèmes ciblés.

Depuis quelques années, les groupes APT (Advanced Persistent Threat) privilégient de plus en plus la furtivité et la persistance plutôt que l’impact immédiat visible, car un malware qui survit silencieusement pendant des mois ou des années peut collecter bien plus d’informations sensibles qu’un ransomware qui chiffre tout en quelques heures.

Bref, gardez vos systèmes à jour, surveillez vos logs, et surtout, ne sous-estimez jamais l’ingéniosité des types qui passent leurs journées à trouver des moyens créatifs de péter vos systèmes….

*Trigger warning : On va parler caca, popotin et toilettes… lol *

Imaginez… Vous êtes dans des toilettes publiques en Chine, et vous venez de repeindre le chiotte. Vient alors le moment de s’essuyer les fesses (désolé hein, c’est la nature ^^) et face à vous, un distributeur de papier toilette vous demande de scanner un QR code.

Pas le choix, vous sortez votre smartphone, vous scannez, et boom : une publicité de 30 secondes pour des couches-culottes se lance sur votre écran. Félicitations, vous venez de gagner… six feuilles de papier toilette.

Et si 6 feuilles ne suffisent pas (spoiler : ça ne suffit jamais), vous avez deux options : regarder une autre pub ou payer 0,5 Yuan, soit environ 7 centimes d’euro.

Bon alors, on pourrait se dire que c’est juste une blague, une expérimentation isolée dans un coin perdu de Shenzhen, mais non. D’après Oddity Central , ces distributeurs intelligents se multiplient dans les espaces publics chinois. Les autorités présentent ça comme une mesure anti-gaspillage, parce que oui, apparemment, le vrai problème de la Chine en 2025, c’est les gens qui volent ou utilisent trop de papier toilette dans les chiottes publiques.

Votre navigateur ne supporte pas la lecture de vidéos HTML5. Voici un
<a href="/chine-toilettes-publiques-publicite-papier/chine-toilettes-publiques-publicite-papier-1.mp4">lien vers la vidéo</a>.

Comment ça NotPetya ???

Mais siiiii, cette saloperie de malware qui a paralysé la planète en 2017 et qui s’est révélée être en fait un programme destructeur déguisé en ransomware. Eh bien, tenez-vous bien : selon les équipes d’ESET , un petit nouveau vient d’arriver sur la scène, et il s’appelle HybridPetya. Et ce petit gars a appris des nouveaux tours que son grand-père NotPetya ne maîtrisait pas à l’époque.

Martin Smolár, le chercheur d’ESET qui a découvert cette petite merveille, explique que HybridPetya combine le pire des deux mondes : les capacités destructrices de NotPetya ET la récupération possible des données de Petya. Mais surtout, et c’est là que ça devient technique, ce truc est capable de contourner Secure Boot sur les systèmes UEFI.

Pour ceux qui auraient oublié l’enfer de 2017, je vous fais un petit rappel historique. Petya, c’était le ransomware “gentil” qui chiffrait vos données mais vous permettait théoriquement de les récupérer si vous payiez la rançon. NotPetya, son cousin maléfique, c’était le faux ransomware qui détruisait tout sur son passage. Cette saloperie a causé plus de 10 milliards de dollars de dégâts dans le monde, principalement en Ukraine où elle a été initialement déployée via une mise à jour piégée du logiciel de comptabilité M.E.Doc.

Maintenant, là où HybridPetya innove, c’est qu’il récupère le meilleur (ou le pire, selon le point de vue) des deux. Il peut détruire comme NotPetya, mais aussi permettre la récupération des données comme Petya. Une sorte de ransomware à géométrie variable, quoi.

Sauf que ce n’est pas le plus inquiétant…

Le truc vraiment flippant avec HybridPetya, c’est sa capacité à s’installer directement dans le firmware UEFI de votre machine. Pour les non-initiés, UEFI c’est le système qui s’occupe du démarrage de votre ordinateur, avant même que Windows ne se réveille. En gros, si un malware réussit à s’installer là-dedans, il survit à tout : formatage du disque dur, réinstallation complète du système, et même changement de disque dur. C’est un niveau persistance maximale.

Alors, comment il fait ça, ce HybridPetya ? Eh bien, il utilise deux méthodes d’attaque. La première, c’est l’installation directe de charges utiles malveillantes sur la partition système EFI. Une fois là-dedans, il chiffre la Master File Table (MFT) de votre système NTFS, ce qui rend tous vos fichiers complètement inaccessibles. Et surtout, il sait exploiter la vulnérabilité CVE-2024-7344 pour contourner Secure Boot.

Cette faille, découverte également par les équipes d’ESET, se trouve dans l’application Howyar Reloader UEFI. En gros, cette application, qui est normalement signée par Microsoft et donc considérée comme fiable, contient une vulnérabilité qui permet de charger du code non-signé pendant le processus de démarrage. C’est comme si vous donniez les clés de votre maison à quelqu’un en lui disant “tu peux faire rentrer qui tu veux, je te fais confiance”.

Après pas de panique les amis, car il faut préciser que pour l’instant, HybridPetya n’a été repéré que sur VirusTotal, la plateforme d’analyse de malwares. Aucune autre infection dans la nature n’a été détectée par les télémétries d’ESET. Il s’agit donc probablement d’un proof-of-concept développé par un chercheur en sécurité ou un groupe de hackers pour démontrer que c’était possible. Mais le fait que ça existe, ça veut surtout dire que d’autres peuvent s’en inspirer.

Toutefois, HybridPetya rejoint désormais un club très fermé car il est maintenant le quatrième malware connu capable de contourner UEFI Secure Boot, après BlackLotus (qui exploite CVE-2022-21894 ), Bootkitty (qui cible Linux), et le PoC Hyper-V Backdoor. Comme le souligne Martin Smolár : “Cela montre que les contournements de Secure Boot ne sont pas seulement possibles… ils deviennent plus courants et attractifs pour les chercheurs comme pour les attaquants”.

BlackLotus, pour rappel, c’était déjà du lourd. Découvert en 2023 , ce malware était vendu 5 000 dollars sur le dark web et était capable de tourner sur des systèmes Windows 11 entièrement à jour avec Secure Boot activé. Il pouvait désactiver BitLocker, HVCI, et Windows Defender, et installer des pilotes malveillants au niveau kernel. Du grand art, dans le mauvais sens du terme.

Maintenant concrètement, comment on se protège contre ce genre de menaces ? Parce que bon, c’est bien beau de faire peur aux gens, mais il faut aussi donner les solutions.

Et bien première chose, maintenez vos systèmes à jour. Microsoft a corrigé la vulnérabilité CVE-2024-7344 dans le Patch Tuesday de janvier 2025 donc si vous avez appliqué cette mise à jour ou une version ultérieure, vous êtes protégés contre HybridPetya. C’est la base, mais c’est crucial.

Deuxième chose, activez et configurez correctement UEFI Secure Boot. Même si des contournements existent, Secure Boot reste une barrière importante. Assurez-vous qu’il soit activé et que vos listes de révocation soient à jour. Microsoft révoque régulièrement les certificats compromis, et ces révocations sont normalement appliquées automatiquement sur Windows.

Troisième conseil, surveillez votre partition système EFI. Selon les recommandations de CISA , les équipes de sécurité devraient être capables d’auditer, gérer et mettre à jour les composants UEFI, et surveiller les logs d’activité UEFI pour détecter toute modification suspecte. Utilisez des solutions de sécurité capables de détecter les modifications au niveau UEFI… Certains antivirus modernes incluent des fonctionnalités de protection du firmware. Ce n’est pas infaillible, mais ça ajoute une couche de protection. En gros, il faut traiter ce firmware comme n’importe quel autre logiciel avec une surveillance et des mises à jour régulières.

Quatrième point, et c’est important, limitez les privilèges administrateur. Pour déployer HybridPetya, il faut des droits d’administrateur local sur Windows ou root sur Linux pour accéder à la partition système EFI. Moins il y a d’utilisateurs avec ces privilèges, mieux c’est.

Et puis, il y a les bonnes pratiques classiques qui restent valables telles que les sauvegardes régulières (et déconnectées !), la formation des utilisateurs, de la surveillance réseau, et une restriction des droits d’accès. Parce qu’au final, même le malware le plus sophistiqué a besoin d’un vecteur d’infection initial.

Quoiqu’il en soit, ces bootkits UEFI représentent une escalade significative dans la sophistication des malwares car ils opèrent à un niveau si bas qu’ils sont extrêmement difficiles à détecter et à supprimer pour les solutions de sécurité traditionnelles.

C’est intéressant également de noter que HybridPetya ne semble pas avoir les capacités de propagation réseau agressives du NotPetya original. Rappelez-vous, NotPetya utilisait l’exploit EternalBlue (développé initialement par la NSA) pour se propager de machine en machine sur les réseaux et c’est cette capacité de ver informatique qui avait permis à NotPetya de causer autant de dégâts en si peu de temps.

De son côté HybridPetya semble plus axé sur la persistance que sur la propagation massive. C’est probablement un choix tactique car plutôt que de faire du bruit et d’alerter tout le monde, mieux vaut s’installer discrètement et durablement sur les systèmes ciblés.

Depuis quelques années, les groupes APT (Advanced Persistent Threat) privilégient de plus en plus la furtivité et la persistance plutôt que l’impact immédiat visible, car un malware qui survit silencieusement pendant des mois ou des années peut collecter bien plus d’informations sensibles qu’un ransomware qui chiffre tout en quelques heures.

Bref, gardez vos systèmes à jour, surveillez vos logs, et surtout, ne sous-estimez jamais l’ingéniosité des types qui passent leurs journées à trouver des moyens créatifs de péter vos systèmes….

Vous le savez, j’ai toujours eu un faible pour les outils qui font des trucs qu’ils ne devraient pas pouvoir faire. Et mas-cli , c’est exactement ça : un petit utilitaire en ligne de commande qui permet d’automatiser le Mac App Store depuis votre terminal

Si vous êtes sous Mac et que comme moi, vous trouvez l’App Store d’Apple lent et peu pratique, cet outil open-source écrit en Swift va peut-être vous changer la vie. Il utilise des frameworks Apple privés non-documentés pour automatiser un store qui n’a jamais été pensé pour ça. C’est beau comme du Bruno Le Maire dans le texte…

Les développeurs Mac, supposés accepter l’expérience voulue par Apple, recréent donc secrètement leur propre système de paquets à la Unix. L’amour c’est compliqué, je sais…

Installation

L’installation se fait très simplement via Homebrew :

brew install mas

Vous pouvez aussi récupérer directement le binaire si vous préférez.

Utilisation au quotidien

Une fois installé, vous pouvez vous connecter à l’App Store directement depuis un terminal avec :

mas signin votre@adressemail.fr

Pour lister vos applications installées via l’App Store :

mas list

Lancer une recherche d’app :

mas search MOTCLÉ

Et installer l’application de votre choix en utilisant son ID :

mas install 123456789

Gestion des mises à jour

Pour lister les applications qui n’ont pas été mises à jour :

mas outdated

Pour mettre une application spécifique à jour, utilisez l’ID de l’app en question :

mas upgrade 123456789

Et pour tout mettre à jour d’un coup :

mas upgrade

L’automatisation ultime

Là où ça devient vraiment intéressant, c’est que mas-cli, avec son intégration à homebrew-bundle, permet de scripter complètement l’installation d’un nouvel environnement Mac. Vous pouvez définir dans un Brewfile toutes vos apps, y compris celles du Mac App Store, et tout installer d’un coup. C’est exactement ce dont rêvent tous les développeurs qui passent leur vie dans un terminal.

Ça va être particulièrement pratique pour scripter 2 ou 3 trucs afin de gérer au mieux la mise à jour de vos applications ou la récupération régulière d’une liste de softs installés. Tout ça depuis votre terminal, sans jamais ouvrir l’interface graphique du Mac App Store.

Les limites à connaître

Comme l’expliquent les développeurs eux-mêmes , mas-cli utilise des frameworks Apple privés non-documentés qui peuvent changer sans préavis. C’est génial sur le papier, mais dans la réalité, vous ne saurez jamais si ça marchera encore demain car Apple peut décider de changer ses API.

Mais bon, en attendant que ça casse, profitons-en pour automatiser tout ce qui peut l’être !

Merci à Lorenper pour le partage.

Article paru initialement le 09/02/2017, mis à jour le 17/09/2025

Alors là, j’avoue que l’info m’a fait sourire.

15 groupes de hackers qui annoncent leur retraite en même temps après 72 heures de silence radio, c’est, je crois, du jamais vu dans le milieu. Scattered Spider, ShinyHunters, Lapsus$ et une douzaine d’autres ont publié un manifeste commun sur BreachForums pour dire qu’ils raccrochaient les claviers. Voilà, terminé, ils partent “dans le silence” après avoir, je cite, “atteint leurs objectifs”

Du coup, j’ai envie de vous conter une histoire. Mais pas celle que tout le monde se raconte en ce moment sur cette “retraite”, mais plutôt celle d’une mise en scène qui nous en dit long sur ces artistes du chaos qui ont compris que leur plus grande œuvre, c’était peut-être leur propre légende.

D’après leur communiqué officiel , ils disent en effet avoir passé trois jours à “vérifier leurs plans” et à “passer du temps en famille”. Sérieux ? Qui peut croire ça ? Des cybercriminels endurcis qui synchronisent tous ensemble leurs agendas familiaux pour se faire un week-end détente avant d’annonce qu’ils arrêtent tout le lundi suivant… C’est beau comme récit non ?

Pompompurin, le créateur du forum, a fini par écoper de 3 ans de prison après avoir violé plusieurs fois ses conditions de liberté surveillée , notamment en utilisant un VPN pour accéder à Discord. De la surveillance 24h/24 à la prison ferme, le chemin a été super rapide, et pendant ce temps, ses petits copains montent sur scène pour leur grand final. Un timing parfait… trop parfait même.

En fat, tous ces groupes ont compris qu’à notre époque, la perception compte plus que la réalité. Ils ont quand même revendiqué de grosses attaques contre Jaguar, Google (4 tentatives quand même !), Salesforce et CrowdStrike et évidemment, les experts en sécurité restent sceptiques face à cette annonce de retraite.

Et perso, je pense qu’ils ont raison. ReliaQuest a même détecté une attaque sophistiquée de Scattered Spider sur une banque américaine APRÈS l’annonce de retraite.

Alors, vous y croyez toujours ?

En fait, j’ai l’impression qu’on assiste à la naissance d’un nouveau genre de cybercriminels où les mecs ne se contentent plus de voler des données, mais créent des récits montés de toutes pièces, des mythes. Et ce manifeste, c’est leur œuvre d’art. Ils y parlent de “leçons apprises à Langley” (siège de la CIA), évoquent leurs “millions accumulés” et leurs “golden parachutes”. Ça pue la comédie quand même…

Le plus drôle dans tout ça, c’est qu’ils auraient même prévu le coup des arrestations. Huit personnes sont en taule, dont quatre en France , et dans leur manifeste, ils les appellent “boucs émissaires”. Ils auraient donc volontairement laissé des fausses pistes bien en amont pour protéger les vrais acteurs et laisser des hommes de paille se faire attraper. Vous voyez le niveau de mise en scène ? C’est du Nolan avant l’heure.

Cette “retraite” et cette façon dont elle est scénarisée, c’est surtout, je pense, une stratégie de survie car la pression des autorités monte, les arrestations se multiplient, et annoncer qu’on arrête tout, c’est un bon moyen de calmer le jeu. Puis surtout, ce serait pas la première fois… On a déjà vu ça avec GandCrab en 2019 qui est revenu sous la forme de REvil. Les noms changent mais les personnes restent.

Au final, ce que je retiens de cette annonce, c’est que le cybercrime est devenu un spectacle. Ces groupes ne sont plus juste des criminels, ce sont des influenceurs qui savent jouer avec les médias, les autorités et même leurs propres victimes. Leur vraie force n’est plus seulement technique… elle est également narrative car vous le savez, contrôler le récit, c’est contrôler la réalité.

Alors voilà… quinze groupes de hackers prennent leur “retraite” mais vous le savez aussi bien que moi, même quand le rideau tombe, les acteurs sont toujours derrière, prêts pour attaquer le prochain acte. C’est pour cela que quelque chose me dit qu’on n’a pas fini d’entendre parler d’eux…

Vous le savez, j’ai toujours eu un faible pour les outils qui font des trucs qu’ils ne devraient pas pouvoir faire. Et mas-cli , c’est exactement ça : un petit utilitaire en ligne de commande qui permet d’automatiser le Mac App Store depuis votre terminal

Si vous êtes sous Mac et que comme moi, vous trouvez l’App Store d’Apple lent et peu pratique, cet outil open-source écrit en Swift va peut-être vous changer la vie. Il utilise des frameworks Apple privés non-documentés pour automatiser un store qui n’a jamais été pensé pour ça. C’est beau comme du Bruno Le Maire dans le texte…

Les développeurs Mac, supposés accepter l’expérience voulue par Apple, recréent donc secrètement leur propre système de paquets à la Unix. L’amour c’est compliqué, je sais…

Installation

L’installation se fait très simplement via Homebrew :

brew install mas

Vous pouvez aussi récupérer directement le binaire si vous préférez.

Utilisation au quotidien

Une fois installé, vous pouvez vous connecter à l’App Store directement depuis un terminal avec :

mas signin votre@adressemail.fr

Pour lister vos applications installées via l’App Store :

mas list

Lancer une recherche d’app :

mas search MOTCLÉ

Et installer l’application de votre choix en utilisant son ID :

mas install 123456789

Gestion des mises à jour

Pour lister les applications qui n’ont pas été mises à jour :

mas outdated

Pour mettre une application spécifique à jour, utilisez l’ID de l’app en question :

mas upgrade 123456789

Et pour tout mettre à jour d’un coup :

mas upgrade

L’automatisation ultime

Là où ça devient vraiment intéressant, c’est que mas-cli, avec son intégration à homebrew-bundle, permet de scripter complètement l’installation d’un nouvel environnement Mac. Vous pouvez définir dans un Brewfile toutes vos apps, y compris celles du Mac App Store, et tout installer d’un coup. C’est exactement ce dont rêvent tous les développeurs qui passent leur vie dans un terminal.

Ça va être particulièrement pratique pour scripter 2 ou 3 trucs afin de gérer au mieux la mise à jour de vos applications ou la récupération régulière d’une liste de softs installés. Tout ça depuis votre terminal, sans jamais ouvrir l’interface graphique du Mac App Store.

Les limites à connaître

Comme l’expliquent les développeurs eux-mêmes , mas-cli utilise des frameworks Apple privés non-documentés qui peuvent changer sans préavis. C’est génial sur le papier, mais dans la réalité, vous ne saurez jamais si ça marchera encore demain car Apple peut décider de changer ses API.

Mais bon, en attendant que ça casse, profitons-en pour automatiser tout ce qui peut l’être !

Merci à Lorenper pour le partage.

Article paru initialement le 09/02/2017, mis à jour le 17/09/2025

Alors là, j’avoue que l’info m’a fait sourire.

15 groupes de hackers qui annoncent leur retraite en même temps après 72 heures de silence radio, c’est, je crois, du jamais vu dans le milieu. Scattered Spider, ShinyHunters, Lapsus$ et une douzaine d’autres ont publié un manifeste commun sur BreachForums pour dire qu’ils raccrochaient les claviers. Voilà, terminé, ils partent “dans le silence” après avoir, je cite, “atteint leurs objectifs”

Du coup, j’ai envie de vous conter une histoire. Mais pas celle que tout le monde se raconte en ce moment sur cette “retraite”, mais plutôt celle d’une mise en scène qui nous en dit long sur ces artistes du chaos qui ont compris que leur plus grande œuvre, c’était peut-être leur propre légende.

D’après leur communiqué officiel , ils disent en effet avoir passé trois jours à “vérifier leurs plans” et à “passer du temps en famille”. Sérieux ? Qui peut croire ça ? Des cybercriminels endurcis qui synchronisent tous ensemble leurs agendas familiaux pour se faire un week-end détente avant d’annonce qu’ils arrêtent tout le lundi suivant… C’est beau comme récit non ?

Pompompurin, le créateur du forum, a fini par écoper de 3 ans de prison après avoir violé plusieurs fois ses conditions de liberté surveillée , notamment en utilisant un VPN pour accéder à Discord. De la surveillance 24h/24 à la prison ferme, le chemin a été super rapide, et pendant ce temps, ses petits copains montent sur scène pour leur grand final. Un timing parfait… trop parfait même.

En fat, tous ces groupes ont compris qu’à notre époque, la perception compte plus que la réalité. Ils ont quand même revendiqué de grosses attaques contre Jaguar, Google (4 tentatives quand même !), Salesforce et CrowdStrike et évidemment, les experts en sécurité restent sceptiques face à cette annonce de retraite.

Et perso, je pense qu’ils ont raison. ReliaQuest a même détecté une attaque sophistiquée de Scattered Spider sur une banque américaine APRÈS l’annonce de retraite.

Alors, vous y croyez toujours ?

En fait, j’ai l’impression qu’on assiste à la naissance d’un nouveau genre de cybercriminels où les mecs ne se contentent plus de voler des données, mais créent des récits montés de toutes pièces, des mythes. Et ce manifeste, c’est leur œuvre d’art. Ils y parlent de “leçons apprises à Langley” (siège de la CIA), évoquent leurs “millions accumulés” et leurs “golden parachutes”. Ça pue la comédie quand même…

Le plus drôle dans tout ça, c’est qu’ils auraient même prévu le coup des arrestations. Huit personnes sont en taule, dont quatre en France , et dans leur manifeste, ils les appellent “boucs émissaires”. Ils auraient donc volontairement laissé des fausses pistes bien en amont pour protéger les vrais acteurs et laisser des hommes de paille se faire attraper. Vous voyez le niveau de mise en scène ? C’est du Nolan avant l’heure.

Cette “retraite” et cette façon dont elle est scénarisée, c’est surtout, je pense, une stratégie de survie car la pression des autorités monte, les arrestations se multiplient, et annoncer qu’on arrête tout, c’est un bon moyen de calmer le jeu. Puis surtout, ce serait pas la première fois… On a déjà vu ça avec GandCrab en 2019 qui est revenu sous la forme de REvil. Les noms changent mais les personnes restent.

Au final, ce que je retiens de cette annonce, c’est que le cybercrime est devenu un spectacle. Ces groupes ne sont plus juste des criminels, ce sont des influenceurs qui savent jouer avec les médias, les autorités et même leurs propres victimes. Leur vraie force n’est plus seulement technique… elle est également narrative car vous le savez, contrôler le récit, c’est contrôler la réalité.

Alors voilà… quinze groupes de hackers prennent leur “retraite” mais vous le savez aussi bien que moi, même quand le rideau tombe, les acteurs sont toujours derrière, prêts pour attaquer le prochain acte. C’est pour cela que quelque chose me dit qu’on n’a pas fini d’entendre parler d’eux…

Et si je vous disais qu’un mec a réussi à prédire l’avenir avec la précision d’un oracle ? Et pas une vague prédiction à la Nostradamus où on peut interpréter n’importe quoi… Non, non, une vraie prédiction scientifique du style : “Ce truc devrait crasher vers septembre 2025”. Et devinez quoi ? Ça a effectivement crashé.

L’histoire commence en 2023, quand un certain Minki décide de tester une théorie complètement barrée. Le mec lit un article technique sur le moteur de DOOM et remarque un truc bizarre : une variable qui compte les démos du jeu qui s’incrémente en permanence, y compris quand une nouvelle démo commence. Cette variable se compare constamment avec sa valeur précédente, mais elle continue de grimper, encore et encore, jusqu’à… jusqu’à quoi exactement ?

Bah justement, c’est là que ça devient intéressant car Minki sort sa calculatrice et commence à faire ses petits calculs. Il sait que selon la documentation technique de DOOM , le moteur utilise des integers 16 bits pour optimiser les performances. Traduction pour les non-geeks : les nombres ont une limite, et quand on la dépasse, c’est le drame ! Un peu comme quand vous essayez de rentrer votre gros cul dans un ascenseur bondé. Sauf qu’ici, au lieu d’un ascenseur bloqué, on a un jeu qui explose.

Donc notre ami fait ses calculs et arrive à cette conclusion : DOOM devrait crasher après environ 2 ans et demi de fonctionnement continu. Et franchement, qui penserait à vérifier un truc pareil ? La plupart d’entre nous, on lance DOOM pour se défouler 30 minutes et on passe à autre chose. Mais minki, lui, il voit plus loin.

Alors il fait quoi ? Il prend un vieux PDA (si si, ces trucs qu’on utilisait avant les smartphones), il bricole une alimentation avec des batteries 18650 et un chargeur USB branché sur son routeur, et il lance DOOM. Puis il attend. Deux ans et demi. Pour de vrai.

Pendant ce temps, vous et moi, on a changé trois fois de téléphone, bingé 47 séries Netflix, survécu à François Bayrou, vu l’IA devenir mainstream… Et Minki ? Bah lui, il avait DOOM qui tournait dans un coin de son appart…

Et le plus dingue, c’est que ça a marché exactement comme prévu. Selon le post original sur LenOwO , le jeu a crashé “seulement quelques heures après avoir passé les deux ans et demi”. Boom. Prédiction confirmée. Le mec a calculé la mort de DOOM avec une précision chirurgicale.

Ici, pas besoin d’exploits sophistiqués ou d’outils de pentest dernier cri. Juste de la curiosité, des maths, et une patience de moine tibétain. Et c’est comme ça que Minki a transformé un bug théorique en prédiction concrète, puis en réalité observable.

En fait, les bugs d’overflow de DOOM sont légion . Si vous avez plus de 64 lignes défilantes, ça crash. Si une balle traverse plus de 128 objets, ça bug. Si vous construisez une zone de plus de 2500 unités de hauteur, le moteur panique. C’est un peu comme si le jeu était construit sur un château de cartes, où chaque limite non vérifiée est une catastrophe qui attend son heure.

Bref, vous l’aurez compris, cette expérience c’est bien plus qu’un simple “j’ai fait tourner DOOM pendant longtemps lol”. C’est une démonstration de la prédictibilité des systèmes informatiques. Ça montre que quand on comprend vraiment comment un programme fonctionne, on peut littéralement voir dans l’avenir…

Bien joué Minki !

Et si je vous disais qu’un mec a réussi à prédire l’avenir avec la précision d’un oracle ? Et pas une vague prédiction à la Nostradamus où on peut interpréter n’importe quoi… Non, non, une vraie prédiction scientifique du style : “Ce truc devrait crasher vers septembre 2025”. Et devinez quoi ? Ça a effectivement crashé.

L’histoire commence en 2023, quand un certain Minki décide de tester une théorie complètement barrée. Le mec lit un article technique sur le moteur de DOOM et remarque un truc bizarre : une variable qui compte les démos du jeu qui s’incrémente en permanence, y compris quand une nouvelle démo commence. Cette variable se compare constamment avec sa valeur précédente, mais elle continue de grimper, encore et encore, jusqu’à… jusqu’à quoi exactement ?

Bah justement, c’est là que ça devient intéressant car Minki sort sa calculatrice et commence à faire ses petits calculs. Il sait que selon la documentation technique de DOOM , le moteur utilise des integers 16 bits pour optimiser les performances. Traduction pour les non-geeks : les nombres ont une limite, et quand on la dépasse, c’est le drame ! Un peu comme quand vous essayez de rentrer votre gros cul dans un ascenseur bondé. Sauf qu’ici, au lieu d’un ascenseur bloqué, on a un jeu qui explose.

Donc notre ami fait ses calculs et arrive à cette conclusion : DOOM devrait crasher après environ 2 ans et demi de fonctionnement continu. Et franchement, qui penserait à vérifier un truc pareil ? La plupart d’entre nous, on lance DOOM pour se défouler 30 minutes et on passe à autre chose. Mais minki, lui, il voit plus loin.

Alors il fait quoi ? Il prend un vieux PDA (si si, ces trucs qu’on utilisait avant les smartphones), il bricole une alimentation avec des batteries 18650 et un chargeur USB branché sur son routeur, et il lance DOOM. Puis il attend. Deux ans et demi. Pour de vrai.

Pendant ce temps, vous et moi, on a changé trois fois de téléphone, bingé 47 séries Netflix, survécu à François Bayrou, vu l’IA devenir mainstream… Et Minki ? Bah lui, il avait DOOM qui tournait dans un coin de son appart…

Et le plus dingue, c’est que ça a marché exactement comme prévu. Selon le post original sur LenOwO , le jeu a crashé “seulement quelques heures après avoir passé les deux ans et demi”. Boom. Prédiction confirmée. Le mec a calculé la mort de DOOM avec une précision chirurgicale.

Ici, pas besoin d’exploits sophistiqués ou d’outils de pentest dernier cri. Juste de la curiosité, des maths, et une patience de moine tibétain. Et c’est comme ça que Minki a transformé un bug théorique en prédiction concrète, puis en réalité observable.

En fait, les bugs d’overflow de DOOM sont légion . Si vous avez plus de 64 lignes défilantes, ça crash. Si une balle traverse plus de 128 objets, ça bug. Si vous construisez une zone de plus de 2500 unités de hauteur, le moteur panique. C’est un peu comme si le jeu était construit sur un château de cartes, où chaque limite non vérifiée est une catastrophe qui attend son heure.

Bref, vous l’aurez compris, cette expérience c’est bien plus qu’un simple “j’ai fait tourner DOOM pendant longtemps lol”. C’est une démonstration de la prédictibilité des systèmes informatiques. Ça montre que quand on comprend vraiment comment un programme fonctionne, on peut littéralement voir dans l’avenir…

Bien joué Minki !

Bon alors, imaginez deux secondes… Vous êtes commandant de sous-marin nucléaire, tranquille à 300 mètres sous l’eau dans votre grosse boîte de conserve à 4 milliards d’euros. Pendant des décennies, votre job consistait essentiellement à jouer à cache-cache dans l’immensité océanique, en mode Octobre Rouge, persuadé que personne ne pouvait vous trouver dans ce territoire grand de 361 millions de km². Et là, paf, des chercheurs chinois débarquent avec leur IA qui est capable de vous détecter avec 95% de précision . Y’a de quoi avoir le seum.

Hé oui, c’est un triste jour car l’océan vient officiellement de perdre son dernier mystère. D’après une étude publiée dans Electronics Optics & Control , cette nouvelle IA militaire développée par l’équipe de Meng Hao de l’Institut chinois de recherche sur les hélicoptères transforme tout simplement les abysses en aquarium encore plus transparent que celui de Maurice votre poisson rouge. Fini l’époque où un sous-marin pouvait disparaître dans les profondeurs comme un ninja en maillot de bain. Maintenant, vous avez seulement 5% de chances de vous en sortir donc autant dire que c’est moins probable que de gagner à la tombola de votre CE.

Cette IA, elle ne fait pas que détecter. Elle agit comme un “commandant intelligent” qui fusionne en temps réel les données de tout un tas de capteurs : sonar, radar, température de l’eau, salinité, anomalies magnétiques. C’est un genre de sixième sens artificiel qui “voit” ce que les humains ne peuvent même pas voir. Le système crée ainsi une synesthésie numérique où la température devient une couleur, le magnétisme devient une forme, et salinité devient un mouvement…

Bref, les sous-marins américains, ces joujoux nucléaires censés garantir la dissuasion, se retrouvent soudain aussi discrets qu’un influenceur sur TikTok. Et le truc vraiment dingue avec cette IA c’est qu’elle communique même avec les opérateurs humains via des modèles de langage naturel , style ChatGPT des profondeurs. Comme ça, au lieu de regarder des écrans radars incompréhensibles avec des bips anxiogènes, le mec reçoit des instructions claires du genre “Sous-marin détecté à 3km nord-ouest, probabilité 97%, déployer contre-mesures recommandé”. C’est Alexa, mais pour la guerre sous-marine.

Ça me rappelle vite fait de loin ce qui s’est passé avec notre vie privée. Dans les années 90, on pensait qu’internet nous rendrait anonymes et libres et aujourd’hui, notre grille-pain connecté est la pire des balances…

Avant, un seul sous-marin pouvait tenir en respect toute une flotte, menacer des villes entières, ou simplement disparaître pendant des mois sans que personne ne sache où il était. Le fantasme ultime du militaire ou du père absent… Mais avec 95% de détection en simulation , même en utilisant des leurres, des drones sous-marins ou en zigzaguant comme un lapin poursuivi par un chasseur bourré, vous êtes grillé. L’IA anticipe vos mouvements, s’adapte à vos feintes, et continue de vous traquer comme Terminator.

En début d’année, les chinois toujours ont également mis au point un système qui utilise des atomes de rubidium dans des capteurs quantiques CPT montés sur des drones. Ces petits trucs détectent des variations magnétiques un milliard de fois plus faibles que l’aimant de votre frigo. Les capteurs sont tellement sensibles qu’ils captent la moindre perturbation du champ magnétique terrestre causée par la masse métallique d’un sous-marin. Donc autant dire que ce truc + leur IA, on est cuit !

Ah et les Américains ne sont pas en reste. Ils bossent sur leur propre technologie SQUID (Superconducting Quantum Interference Device) qui pourrait théoriquement détecter un sous-marin à 6 kilomètres de distance, contre 800 mètres pour les systèmes actuels. On est donc dans une course technologique où chaque camp essaie de rendre l’océan plus transparent que l’autre…

C’est la fin d’un concept vieux comme l’humanité… Car depuis la préhistoire, se planquer était une stratégie de survie basique et maintenant, entre les satellites, les drones, les capteurs quantiques et l’IA, il n’y a littéralement plus aucun endroit sur Terre où disparaître. Même au fond de la fosse des Mariannes, une IA pourrait probablement vous retrouver en analysant les perturbations gravitationnelles de votre présence.

Et le pire dans tout ça c’est que cette technologie ne va faire que s’améliorer. Les capteurs SERF promettent une sensibilité au niveau du femtotesla, mille fois plus précis que les systèmes actuels ce qui fait que dans quelques années, on pourra probablement détecter un poisson rouge dans un bocal depuis l’espace.

Les océans ne seront plus ces vastes étendues mystérieuses pleines de secrets militaires, mais des espaces totalement cartographiés où chaque mouvement sera enregistré, analysé, prédit.

Snif…

Un ingénieur qui s’appelle Bogdan a eu une révélation en regardant son tas de vapes jetables qui s’accumulait sur son bureau. Au lieu de se dire “Allez, go la déchèterie”, il a eu cette pensée bizarre… et si ces trucs avaient une seconde vie ? Et c’est là, mes petits Kévins, que commence une histoire qui va vous mettre des paillettes dans la vie

Parce que figurez-vous que Bogdan a réussi l’impossible. Il a tout simplement transformé une vape jetable toute nulle en serveur web fonctionnel. Car vous ne le savez peut-être pas, mais cette petite chose que vous balancez après quelques bouffées contient en fait un processeur ARM Cortex M0+ cadencé à 24 MHz, 24 kilooctets de mémoire flash et 3 Ko de RAM statique. Pour vous donner une idée, c’est plus puissant que les premiers serveurs web des années 90. On jette donc littéralement à la poubelle, des ordinateurs après les avoir utilisés comme totote électroniques.

Et pour réussir son coup, il a dû ressusciter une technologie qu’on croyait morte et enterrée : le SLIP (ça ne s’invente pas…) c’est à dire le Serial Line Internet Protocol. J’sais pas si vous souvenez de cette époque glorieuse des modems 56K où on attendait trois heures pour télécharger une chanson MP3. Eh bien SLIP, c’était le protocole qui permettait de faire passer du TCP/IP sur une liaison série. Une technologie de 1988 donc qui se retrouve à faire tourner un serveur web en 2025 sur du hardware ultra-moderne. C’est du même niveau que de brancher un Minitel sur la fibre optique et découvrir que ça marche impecc'.

Alors au début, les performances étaient… comment dire… merdiques. Des pings à 1,5 seconde, 50% de perte de paquets, et 20 secondes pour charger une page web. Autant dire que même les sites gouvernementaux français semblaient ultra véloces en comparaison. Mais Bogdan a optimisé son bébé à fond, notamment en implémentant un buffer circulaire pour améliorer les transferts de données. Résultat final : 20 millisecondes de ping, zéro perte de paquet, et 160 millisecondes pour charger une page.

Du niveau d’un vrai serveur, quoi… Mon site pourrait tourner avec ce truc (et Cloudflare en front ^^).

Le truc qui m’épate le plus, c’est qu’il a réussi à porter la pile TCP/IP uIP sur ce microcontrôleur PUYA C642F15/PY32F002B. Pour ceux qui ne connaissent pas, uIP est une implémentation ultra-légère de TCP/IP créée spécifiquement pour les systèmes avec très peu de mémoire. Selon le blog de Bogdan , toute cette prouesse technique tient dans moins de 24 Ko, soit la taille de votre dernier Sexto.

Mais attendez, parce que le vrai vertige arrive maintenant. Au Royaume-Uni seulement, selon cette étude , ce sont 1,3 million de vapes jetables qui finissent à la poubelle chaque semaine. Perso, maintenant je vois ça comme 1,3 million d’ordinateurs ARM parfaitement fonctionnels qui partent en fumée, si vous me passez l’expression. C’est comme si on jetait 67 millions d’iPhone par an, juste parce qu’on a fini son coup de fil…

Et ce que Bogdan nous montre avec son VapeServer, accessible à l’adresse ewaste.fka.wtf (qui était en rade au moment où j’écris ces lignes, victime de son succès… y’a un miroir ici .), c’est que notre définition du “jetable” est complètement à côté de la plaque. Ces objets qu’on balance sans réfléchir sont en fait des objets en attente d’une nouvelle vie… D’ailleurs, si ça vous intéresse, son code source est disponible sur GitHub ici , et croyez-moi, ça vaut le détour si vous voulez comprendre comment faire communiquer des époques séparées de 25 ans.

Il utilise notamment pyOCD, socat et slattach pour créer une interface réseau virtuelle, configure l’adressage IP sur 192.168.190.0/24, et hop, le tour est joué.

pyocd gdb -S -O semihost_console_type=telnet -T $(PORT) $(PYOCDFLAGS) &
socat PTY,link=$(TTY),raw,echo=0 TCP:localhost:$(PORT),nodelay &
sudo slattach -L -p slip -s 115200 $(TTY) &
sudo ip addr add 192.168.190.1 peer 192.168.190.2/24 dev sl0
sudo ip link set mtu 1500 up dev sl0

3h37… la cafetière grogne comme un vieux moteur diesel et moi je fixe l’écran de mon PC avec cette fichue pièce jointe .exe qui vient d’atterrir. Le titre ? « Facture impayée ». L’expéditeur ? Un coréen dont le nom ressemble à un captcha mal imprimé. Mon doigt tremble au-dessus du trackpad, et déjà mon cerveau me hurle : « Ne clique pas, gros malin. » Mais je suis crevé, ça fait 36 heures que je vous ponds des articles à la chaine … je n’ai même pas le temps de réfléchir au risque que mon doigt à déjà cliqué par réflexe. Heureusement,  Surfshark One est déjà en action.

En arrière-plan, sans que je bouge un cil, mon IP saute de Paris à Tokyo, puis à Toronto, puis à Sydney. Le botnet qui espionne ma ligne voit 4 continents défiler en moins de dix secondes ; il perd la trace, panique, et abandonne la connexion. Pas de lag, pas de coupure sur la série Netflix qui tourne en fond sur la télé, juste un léger pictogramme qui clignote dans la barre des tâches pour me dire « déplacement en cours ». Je souris, je n’ai même pas eu besoin d’ouvrir l’appli.

Le fichier .exe téléchargé par mégarde démarre dans un bac à sable invisible. L’antivirus Avira (assisté par IA) observe : tentative d’accès à la webcam, requête vers un domaine .onion, écriture dans le registre. Le verdict tombe en 0,2 seconde : comportement suspect = quarantaine immédiate. Je n’ai même pas le temps de voir la pop-up ; l’icône du bouclier redevient verte, le fichier est déjà mort et enterré dans le Cloud Protect System. Le tout sans que mon CPU ne grimpe au-dessus de 12%. Mon ordinateur continue de diffuser Spotify comme si de rien n’était.

Pendant que le malware agonise, Alert scrute déjà ses bases de fuites recensées. Mon adresse mail apparaît dans une liste fraîchement publiée sur un forum russe. Ping : notification push, SMS de secours, et un lien « Change ton mot de passe en un clic ». J’appuie (encore par réflexe conditionné, je clique tout ce qui passe ce soir), je tape « bonne-nuit-les-pirates-2025 », et c’est réglé. Trois secondes plus tard, je reçois un rapport écrit en français clair : « Aucune carte bancaire ni ID n’ont fuité, tu peux dormir tranquille. »

Mais vous me connaissez, je veux comprendre ce virus. J’ouvre Surfshark Search à 3h56, je tape « ransomware polymorphe 2025 ». Résultats : zéro pub, zéro tracker, zéro suggestions étranges sur la page de recherche. Deux liens vers des analyses techniques, un thread Reddit ultra frais. Je découvre que la même attaque a déjà visé au moins 400 personnes ces dernières heures, mais que la dernière signature est déjà dans la base virale de Surfshark depuis… 3 h 49. Autrement dit, la suite m’a protégé avant même que je ne sache vraiment par quoi j’étais visé.

Puisque j’aime vivre dangereusement, je décide de tester un site de téléchargement parmi les plus douteux pour voir si je peux réitérer l’attaque. Je clique sur « Créer un alias ». Surfshark me file instantanément « Manolo Korbera, 33 ans, Porto, plutôt bg », avec un mail @surfshark.net. Je l’utilise, je télécharge le fichier suspect, rien ne se passe : l’alias reçoit le spam, pas moi. Dans le dashboard, je clique sur « Supprimer l’alias ». Manolo disparaît, comme s’il n’avait jamais existé. Mon vrai mail reste vierge. J’aurais dû y penser à 3h37 avant le premier clic.

3h23. Woaw. Il ne s’est rien passé. Je n’ai pas cliqué sur le .exe, c’était un rêve, je me suis juste endormi sur ma chaise et à mon âge ça fait mal au dos. Un coup d’oeil rapide sur l’écran, les quatre icônes de Surfshark One clignotent calmement : VPN vert, antivirus vert, Alert vert, Search vert. Je vide ma tasse de café froid, j’éteins la lumière, et je vais enfin me coucher tranquille. Sachant que la suite continuera de s’améliorer pendant que je dors : nouvelles signatures, nouvelles adresses IP, nouvelles menaces anticipées. 

Juste avant de fermer les yeux, je me souviens de ce à quoi je pensais avant de sombrer la première fois : la nouveauté Surfshark Everlink. 

Grâce à une infrastructure brevetée, Surfshark redirige maintenant le tunnel vers un serveur sain automatiquement s’il y a coupure. Vous ne remarquez même pas le changement, votre IP reste cachée, votre binge YouTube ne s’interrompt pas. Votre connexion VPN devient une sorte de passerelle magique : même si le serveur sur lequel vous êtes tombe en panne ou passe en maintenance, Everlink recolle le lien en temps réel sans jamais vous déconnecter. 

Contrairement au classique « kill switch » qui coupe Internet quand le VPN lâche, Everlink guérit la connexion avant qu’elle ne meure. Résultat : zéro déconnexion, zéro exposition, même en pleine heure de pointe ou sur un Wi-Fi d’aéroport douteux. Disponible par défaut avec le protocole WireGuard sur tous vos appareils, et sans surcoût, c’est la sécurité qui roule en pilote automatique.

Je vais enfin pouvoir dormir sur mes 2 oreilles. Surtout que pour en profiter, la suite complète ne coûte que 61,83 € pour 27 mois (soit 2,29 € TTC par mois). C’est pas cher payé pour éviter des cauchemars.

Gardez une longueur d’avance ? Surfshark One est là pour vous.

Il y a quelques semaines, je vous disais tout le bien que je pensais de la BOOX Go 7 , cette liseuse sous Android qui a joyeusement envoyé ma Kindle à la retraite. Je la qualifiais de géniale pour sa liberté, son écran magnifique et son ergonomie parfaite. Eh bien, accrochez-vous, il y a encore mieux : BOOX a décidé de prendre ce qui était déjà excellent pour y ajouter la seule chose qui pouvait encore manquer : la couleur.

Voici la BOOX Go 7 Color Gen 2 , et je vais être direct : c’est une petite merveille.

La révolution douce de l’encre numérique en couleur

Ne vous attendez pas à l’éclat agressif d’une tablette LCD. La beauté de la technologie E-Ink, c’est son confort visuel, et la Go 7 Color le préserve à 100%. Elle intègre la dernière génération d’écrans E-Ink Kaleido 3, qui affiche 4096 couleurs. Le rendu est subtil, avec des tons pastel doux qui imitent à la perfection l’impression d’un magazine ou d’une bande dessinée.

Le plus fort ? La netteté du texte noir et blanc impeccable avec une résolution de 300 PPI, on perd un tout petit peu de contraste comme avec toutes les liseuses couleur, mais avec le retroeclairage activé, tout va bien. La couleur, elle, s’affiche en 150 PPI, ce qui est largement suffisant pour que les images, les graphiques et les couvertures de livres prennent vie sans jamais fatiguer les yeux. C’est le meilleur des deux mondes : un confort de lecture absolu pour les romans, et l’apport de la couleur là où ça compte vraiment.

Là où la couleur change absolument tout

“Ok, mais à quoi ça sert, la couleur sur une liseuse ?”, me direz-vous. C’est simple, ça ouvre des horizons de lecture jusqu’ici réservés aux tablettes, avec la fatigue visuelle en moins. Voici quelques exemples concrets :

• Les BD, Comics et Mangas : C’est l’évidence même. Lire une BD franco-belge, un comics américain ou même les quelques pages couleur d’un manga sur cet écran est un pur bonheur. Fini les nuances de gris frustrantes, les planches retrouvent leur saveur originelle.
• Les magazines et la presse : Suivre un graphique, admirer une photo de reportage, lire un magazine technique… La couleur apporte un contexte et une clarté indispensables. Et vous pouvez même installer Cafeyn sur la tablette, ou les applications comme Le Monde, Mediapart, etc.
• Les livres pour enfants : Les illustrations prennent vie et rendent la lecture sur liseuse enfin attractive pour les plus jeunes.
• Les documents de travail et les livres scolaires : Vous vous souvenez des PDF avec des passages surlignés en couleur ou des schémas importants ? Maintenant, vous les voyez tels qu’ils ont été conçus. C’est un game-changer pour les étudiants et les professionnels.
• La prise de notes : Avec le stylet (toujours en option), vous pouvez désormais surligner et annoter vos documents avec différentes couleurs pour organiser vos idées. Un code couleur pour les citations, un autre pour les points à vérifier… C’est simple, mais efficace.

On ne change pas une équipe qui gagne

Le plus rassurant, c’est que la Go 7 Color Gen 2 conserve tout l’ADN qui rendait sa grande sœur si géniale. On retrouve avec un immense plaisir :

1. La liberté totale d’Android : C’est LE point fort de BOOX. L’accès au Google Play Store est toujours là. Vous pouvez installer l’appli Kindle pour lire vos livres Amazon, l’appli Kobo, celle de votre libraire, mais aussi Pocket pour sauvegarder des articles, Feedly ou Inoreader pour vos flux RSS, et même quelques jeux légers. C’est votre liseuse, vous en faites ce que vous voulez.
2. Une ergonomie pensée pour les lecteurs : Les boutons physiques pour tourner les pages sont toujours là, et c’est un confort dont on ne peut plus se passer une fois qu’on y a goûté. La liseuse reste fine, légère (195g) et parfaitement équilibrée.
3. Une polyvalence inégalée : Elle lit nativement tous les formats (EPUB, MOBI, PDF, CBR/CBZ…), le transfert de fichiers est un jeu d’enfant, et elle peut se transformer en un clin d’œil en carnet de notes numérique. Vous pouvez même jouer avec (je joue tout le temps aux échecs sur la mienne), et bien sûr aller sur internet.

Le Verdict : Noir & Blanc ou Couleur, laquelle choisir ?

Avec l’arrivée de ce modèle Color, BOOX ne complique pas le choix, il l’affine. La question n’est plus “quelle marque choisir ?”, mais “quelle BOOX Go 7 est faite pour moi ?”.

• Noir & Blanc si : Vous êtes un dévoreur de romans, de thrillers, d’essais… Bref, si 99% de votre lecture est du texte pur. Son contraste légèrement supérieur en noir et blanc reste la référence absolue pour le texte brut, et elle est un peu plus abordable.
• Color si : Votre bibliothèque est variée. Si vous passez d’un roman à une BD, d’un article de presse à un PDF professionnel. Si vous êtes étudiant, fan de mangas, ou si vous aimez simplement l’idée d’avoir les couvertures de vos livres en couleur. Le surcoût est justifié par une polyvalence qui la rend quasi parfaite.

Dans les deux cas, vous optez pour une liseuse ouverte, puissante et respectueuse de votre liberté. En ce qui me concerne, cette version couleur a trouvé sa place dans mon sac et n’est pas près de le quitter. Disponible sur Amazon en cliquant ici !

Article invité publié par Vincent Lautier . Vous pouvez aussi faire un saut sur mon blog , ou lire tous les tests que je publie dans la catégorie “Gadgets Tech” , comme cette liseuse Android de dingue ou ces AirTags pour Android !

C’est officiel les amis !! Nintendo vient de lâcher une bombe lors du Nintendo Direct de vendredi dernier. La suite du carton planétaire “Super Mario Bros. le film” s’appellera “The Super Mario Galaxy Movie” et débarquera dans les salles le 3 avril 2026. Et franchement, rien qu’avec le petit teaser qu’ils nous ont balancé, on sent que ça va envoyer du lourd.

Cette annonce tombe pile poil pour célébrer les 40 ans de Super Mario Bros, sorti le 13 septembre 1985. Shigeru Miyamoto lui-même a déclaré que ce film sera “l’événement principal” de cette célébration anniversaire. Et quand on sait que le premier film a rapporté plus de 1,3 milliard de dollars au box-office mondial, je comprends pourquoi Nintendo et Illumination remettent le couvert.

Le teaser nous montre donc Mario qui fait une petite sieste sous un arbre dans le Royaume Champignon. La caméra s’éloigne doucement, nous fait traverser tout le royaume avec ses créatures emblématiques, puis s’envole vers le château de Peach avant de filer dans l’espace étoilé où le titre apparaît. Simple mais efficace, ça me donne déjà envie de replonger dans cet univers coloré et déjanté.

Vous vous souvenez d’Anchor, cette plateforme qui avait permis de simplifier la création de podcasts avant de se faire racheter par Spotify pour 150 millions de dollars ? Eh bien ses créateurs, Nir Zicherman et Michael Mignano, sont de retour avec un nouveau projet qui pourrait bien changer l’apprentissage en ligne. Leur nouvelle création s’appelle Oboe et permet de créer des cours éducatifs personnalisés en quelques secondes grâce à l’IA.

Une fois sur Oboe, vous tapez un prompt du genre “Histoire de l’IA”, “Comment réaliser des pâtisseries” ou même “Préparer mon déménagement au Japon” et hop, Oboe vous génère instantanément un cours complet adapté à vos besoins. C’est le premier outil d’apprentissage généralisé par IA qui permet vraiment de créer des formations sur n’importe quel sujet, d’une manière plus personnalisée et efficace que tout ce qui existe aujourd’hui.

Mon cours sur les échecs

Ce qui rend Oboe vraiment intéressant, c’est son architecture multi-agents développée from scratch. Sur TechCrunch , Zicherman explique que leur système fait tourner plusieurs agents IA en parallèle qui s’occupent de tout : développer l’architecture du cours, vérifier les informations de base, écrire le script pour les podcasts, récupérer des images pertinentes sur Internet et même auditer le contenu pour garantir sa qualité et son exactitude. Tout ça en quelques secondes chrono.

Au lancement, Oboe propose déjà 9 formats de cours différents ( Cours classique, épisode de podcast, points clés à retenir, livre audio, FAQ, flashcards, quiz, etc…) capables de couvrir des domaines aussi variés que les sciences, l’histoire, les langues étrangères, l’actualité, la pop culture ou même la préparation aux changements de vie selon ce que vous lui demandez. Chaque cours combine du texte, des visuels, des conférences audio, des quiz interactifs et même des jeux. Vous avez deux modes audio disponibles : un format de conférence traditionnelle ou une expérience plus conversationnelle façon podcast, un peu comme NotebookLM de Google.

Le nom “Oboe” n’a pas été choisi au hasard. Il s’inspire de la racine du mot japonais qui signifie “apprendre”. Une jolie référence qui colle parfaitement à leur mission de rendre l’humanité plus intelligente. Encore faudrait-il qu’elle souhaite “apprendre”, cette humanité…

Niveau business model, Oboe adopte une approche freemium assez classique. Vous pouvez créer jusqu’à 2 cours par mois et si vous voulez aller plus loin, deux forfaits payants sont disponibles : Oboe Plus à 12$/mois pour 30 cours supplémentaires et Oboe Pro à 32$/mois pour 100 cours.

Au lieu d’avoir des cours statiques créés par des experts et consommés passivement, Oboe permet à chacun de générer instantanément du contenu éducatif ultra-personnalisé, comme un prof particulier capable de créer un programme sur mesure en temps réel, quel que soit le sujet qui vous intéresse.

Perso, j’ai testé et j’ai trouvé les 2 formations que ça m’a généré de très bonne qualité. Et si vous creusez un peu sur Google, vous pouvez aussi trouver certains cours générés par d’autres utilisateurs : inurl:https://oboe.fyi/courses/

Quand on voit la qualité de ce que peuvent générer les IA aujourd’hui, l’idée d’avoir une plateforme capable de créer des cours complets et structurés en quelques secondes, c’est assez cool, surtout avec leur système multi-agents qui vérifie la qualité et l’exactitude des informations. Ça pourrait vraiment changer les choses dont on apprend de nouvelles compétences ou dont on explore de nouveaux sujets.

Reste maintenant à voir si Oboe réussira à s’imposer face aux géants de l’éducation en ligne mais avec l’expérience des fondateurs, ils ont clairement quelques atouts dans leur manche.

Ce weekend, j’ai découvert un truc complètement barré qui risque de vous faire repenser tout ce que vous savez sur le e-commerce. Ça s’appelle AnyCrap , et c’est littéralement une boutique en ligne qui vend… rien. Enfin si, elle vend des concepts de produits qui n’existent pas. Et c’est plus que brillant, vous allez voir !

L’idée est simple comme bonjour mais fallait y penser : Vous tapez n’importe quel nom de produit débile qui vous passe par la tête, genre des chaussettes téléportantes ou du café qui rend invisible, et le site vous génère instantanément une fiche produit complète avec description, caractéristiques et même des avis clients. Le tout propulsé par l’IA, évidemment.

Screenshot

Sur la page d’accueil, on vous promet de “trouver vos produits à travers les dimensions parallèles”. Marketing génial ou folie douce ? Les deux mon capitaine. Le slogan “Tomorrow’s products, available today (not actually available)” résume d’ailleurs parfaitement l’esprit de ce site… on est dans l’absurde assumé et ça fait du bien.

Ce qui me fascine, c’est que pendant que le marché de l’IA dans l’e-commerce atteint 6,63 milliards de dollars avec des assistants shopping ultra-sérieux, AnyCrap prend complètement le contre-pied. Au lieu d’optimiser les conversions et de tracker chaque pixel, ils ont créé un anti-marketplace où l’objectif n’est pas de vendre mais de faire rêver.

Cette anti-marketplace propose même des catégories comme “Weird Tech Stuff” et “Snacks From Outer Space” où chaque produit généré est unique, avec sa propre mythologie et ses caractéristiques loufoques. Techniquement, on est probablement sur un mix de ChatGPT pour les descriptions et peut-être DALL-E ou Midjourney pour les visuels et ce concept rejoint un peu d’ailleurs ce que propose Writecream avec son générateur de reviews fictives , sauf qu’ici c’est tout l’écosystème commercial qui est fictif.

La promesse de “livraison instantanée” de concepts m’a fait aussi marrer. En gros, vous commandez une idée et vous la recevez immédiatement dans votre cerveau. Zéro émission carbone, zéro déchet, 100% satisfaction garantie puisque vous n’avez rien acheté de tangible.

Dans un monde où on nous vend des NFT de singes à des millions et où le metaverse était censé révolutionner le shopping, AnyCrap a au moins le mérite d’être honnête sur sa proposition : on ne vous vend rien, mais on le fait avec classe.

Le site propose même une newsletter pour recevoir des produits fictifs chaque semaine. Maintenant, si on creuse un peu, AnyCrap pose surtout des questions intéressantes sur la nature même du commerce. Qu’est-ce qu’on achète vraiment quand on fait du shopping en ligne ? L’objet ou l’idée de l’objet ? Le produit ou la dopamine liée à l’acte d’achat ? En vendant littéralement du vent, AnyCrap révèle peut-être quelque chose de plus profond sur notre société de consommation…

Et pour les créatifs, c’est une mine d’or. Scénaristes en panne d’inspiration pour un objet magique ? Game designers cherchant des idées d’items ? Publicitaires voulant brainstormer sur des concepts produits ? AnyCrap devient un générateur d’idées déguisé en boutique.

Le plus beau dans tout ça c’est que le site accepte même les paiements (enfin, il y a un bouton pour soutenir le créateur). Donc techniquement, vous pouvez payer pour ne rien acheter…

Bref, c’est super fun ! Allez faire un tour sur AnyCrap.shop , inventez le produit le plus débile possible, et savourez l’absurdité. C’est gratuit, et ça va bien vous occuper en ce chouette lundi matin !

Alerte rouge les amis !! Il y a actuellement des extensions VS Code qui volent discrètement des portefeuilles crypto. Et je ne parle pas d’une ou deux extensions pourries, mais d’une véritable campagne orchestrée par un groupe nommé WhiteCobra qui a réussi à placer 24 extensions malveillantes sur le VS Code Marketplace et Open VSX.

C’est l’histoire de Zak Cole, un développeur Ethereum qui bosse dans la crypto depuis plus de 10 ans. Le mec avait une sécurité béton, jamais perdu un seul wei aux mains des hackers. Mais même les plus prudents peuvent tomber dans le piège. Zack a installé une extension qui s’appelait contractshark.solidity-lang sur Cursor. Pour rappel, Cursor est un éditeur de code basé sur VS Code qui utilise le même système d’extensions. L’extension avait tout pour plaire : 54 000 téléchargements, une icône qui faisait pro, une description détaillée. Le piège parfait.

En quelques minutes, l’extension a lu son fichier .env, chopé sa clé privée et l’a envoyée sur un serveur pirate. Son portefeuille a ensuite été vidé. Heureusement pour lui, il utilisait des hot wallets séparés pour les tests avec seulement quelques centaines de dollars dedans mais d’autres n’ont pas eu cette chance. WhiteCobra serait responsable d’un vol de 500 000 dollars via une extension malveillante pour Cursor.

Le truc vraiment vicieux avec WhiteCobra, c’est leur niveau d’organisation. Ils ont toute une infrastructure sophistiquée et des techniques pour faire grimper artificiellement le nombre de téléchargements de leurs extensions malveillantes. Et d’après les informations disponibles, leur méthode est assez efficace puisque l’extension contient du code malveillant qui télécharge ensuite un payload supplémentaire, avec des versions spécifiques pour Windows, macOS ARM et macOS Intel.

Sur Windows, le malware installé est LummaStealer, spécialisé dans le vol de portefeuilles crypto, d’extensions web, de mots de passe stockés dans les navigateurs et même de données d’applications de messagerie. Sur macOS, c’est un binaire malveillant qui s’exécute localement.

Ce qui rend ces attaques dangereuses, c’est surtout la vitesse à laquelle WhiteCobra peut rebondir. Ils sont capables de déployer rapidement de nouvelles campagnes après qu’une extension malveillante ait été supprimée. Ils changent les noms, les descriptions, créent de nouveaux comptes développeurs et c’est reparti.

Le problème de fond, c’est que ni Microsoft ni Open VSX n’ont de mécanismes de vérification vraiment efficaces. Microsoft fait bien passer un antivirus sur les extensions, mais ça ne détecte pas ce genre de comportement malveillant sophistiqué. Open VSX, qui est actuellement utilisé par Cursor et Windsurf, héberge toujours ces extensions malveillantes malgré les signalements.

Alors comment se protéger ? Déjà, méfiez-vous des extensions avec des noms qui ressemblent à des projets connus mais avec une petite variation (c’est du typosquatting). Vérifiez aussi toujours qu’il y a un repository GitHub lié et actif. Regardez les reviews avec attention, car les fausses sont souvent génériques et postées en masse sur une courte période.

Suite à cette attaque, Zak Cole a complètement revu sa façon de bosser après s’être fait avoir. Il utilise maintenant des machines virtuelles isolées, des hardware wallets exclusivement, et des coffres-forts chiffrés pour ses secrets. Il a aussi créé une whitelist d’extensions et évite d’installer de nouveaux outils à la va-vite.

Bref, si vous êtes développeur, faites un audit immédiat de vos extensions installées. Changez vos clés. Et surtout, arrêtez de stocker des informations sensibles dans des fichiers .env en clair. Utilisez des gestionnaires de secrets ou au minimum du chiffrement.

En tout cas, cette campagne WhiteCobra n’est pas terminée. Ils continuent d’uploader de nouvelles extensions malveillantes pour remplacer celles qui sont supprimées… c’est un vrai jeu du chat et de la souris permanent entre eux et les équipes de sécurité. En attendant que Microsoft et Open VSX mettent en place de vraies mesures de sécurité, c’est donc à nous de rester vigilants.