Bilan des attaques côté client – T1 2025

Rédigé par : l'équipe de recherche sur les menaces de cside

Résumé exécutif

Le T1 2025 a été marqué par une nette escalade des attaques côté client ciblant des sites web dans de nombreux secteurs, avec une attention particulière portée aux plateformes propulsées par WordPress. Les recherches de cside ont mis au jour près de 300 000 sites web compromis, soulignant la dépendance croissante des attaquants aux mécanismes de diffusion basés sur JavaScript, aux vulnérabilités de la chaîne d'approvisionnement tierce et aux tactiques d'ingénierie sociale trompeuses telles que les fausses mises à jour de navigateur.

À l'intention des RSSI, des responsables du risque numérique et des parties prenantes en matière de sécurité, ce rapport présente les campagnes les plus critiques détectées ce trimestre, en associant détail technique et analyse stratégique pour soutenir une prise de décision proactive.

Point clé pour les dirigeants : Les cybermenaces modernes exploitent désormais les interactions côté navigateur et la confiance des utilisateurs envers les CMS courants. Se défendre contre elles exige une visibilité sur les comportements à l'exécution, une gouvernance rigoureuse des scripts et une intelligence des menaces coordonnée. Par ailleurs, les attaques côté client ciblant les plateformes de cryptomonnaies et les environnements de paiement présentent des risques disproportionnés, malgré un volume total d'incidents plus faible.

Principales campagnes d'attaques côté client

1. Détournements de pages entières redirigeant vers des sites de jeux d'argent chinois

• Détecté : janvier 2025
• Sites impactés : 150 000+
• Cause racine : JavaScript injecté via un plugin détourné ou un CDN d'assets.
• Infrastructure d'attaque : Des domaines tels que zuizhongyj[.]com et ses sous-domaines étaient responsables de l'injection d'iframes prenant le contrôle de l'intégralité de la fenêtre d'affichage.
• Caractéristiques notables : Redirection conditionnelle selon la région et le navigateur
• Obfuscation des scripts et construction dynamique des URL
• Fort ciblage mobile avec des redirections orientées Android

Risque stratégique : Perte de confiance significative et pénalités SEO ; plusieurs sites mis sur liste noire par Google.

https://cside.com/blog/over-150k-websites-hit-by-full-page-hijack-linking-to-chinese-gambling-sites

2. Compromission de la chaîne d'approvisionnement JavaScript (4 portes dérobées intégrées)

• Détecté : janvier 2025
• Sites impactés : 5 000+
• Origine du payload : cdn.csyndication[.]com (anciennement un fournisseur d'hébergement d'assets de confiance).
• Actions malveillantes intégrées : Installation de plugin pour un accès persistant
• Infection de wp-config.php
• Injection de clé SSH via des tâches planifiées
• Communication en reverse shell vers gsocket[.]io

Objectifs de l'adversaire : Maintenir un contrôle à long terme, collecter des identifiants et pivoter latéralement dans des environnements d'hébergement mutualisé.

https://cside.com/blog/thousands-of-websites-hit-by-four-backdoors-in-3rd-party-javascript-attack

3. Arnaque aux jeux d'argent chinois Kaiyun – Variante de campagne

• Détecté : février 2025
• Sites impactés : 35 000+
• Tactiques : Imitation de publicités de jeux légitimes via des superpositions plein écran et utilisation de variantes linguistiques géociblées.
• Observations clés : Réutilisation de domaines : mlbetjs[.]com, zuizhongjs[.]com
• Profilage par IP et par navigateur pour échapper à la détection

Résultat : Confusion de marque et détournement de conversions pour les sites commerciaux affectés.

https://cside.com/blog/over-35-000-websites-targeted-in-full-page-hijack-linking-to-a-chinese-language-gambling-scam

4. Campagne de fausses mises à jour de navigateur avec malware multiplateforme

• Détecté : mars 2025
• Sites impactés : 10 000+
• Mécanisme : JavaScript chargé via iframe affichant une fausse fenêtre de mise à jour pour Chrome/Firefox.
• Payloads délivrés : AMOS Stealer (macOS) : Capture du trousseau iCloud, des navigateurs et des fichiers
• SocGholish (Windows) : Utilisation de WMI et PowerShell pour la persistance

Risque de conformité : Les sites utilisés pour la distribution peuvent être exposés à des obligations réglementaires (RGPD, CCPA).

https://cside.com/blog/10-000-wordpress-websites-found-delivering-macos-and-microsoft-malware

5. Empoisonnement SEO ScriptAPI sur des sites académiques et gouvernementaux

• Détecté : janvier 2025
• Sites impactés : ~1 000
• Profil des cibles : Domaines .edu et .gov utilisant des bundles JS obsolètes
• Comportement de l'attaque : Injections DOM masquées pour la construction de liens SEO ; redirections dissimulées vers des contenus de jeux d'argent et pour adultes
• Impact métier : Déclassement algorithmique dans les SERP
• Exploitation de la confiance accordée aux domaines académiques et gouvernementaux pour l'empoisonnement de backlinks

https://cside.com/blog/government-and-university-websites-targeted-in-scriptapi-dev-client-side-attack

6. Campagne WP3.XYZ – Création automatisée de portes dérobées WordPress

• Détecté : janvier 2025
• Sites impactés : 5 000+
• Vecteur initial : Script JS provenant de wp3[.]xyz inclus dans des thèmes/plugins compromis
• Constats clés : Création silencieuse d'un compte wpx_admin
• Déploiement de plugin pour modifier les flux de connexion
• Exfiltration d'identifiants et de jetons

Remédiation : Nécessite la rotation des identifiants administrateur, le nettoyage des malwares et la vérification des plugins

https://cside.com/blog/over-5k-wordpress-sites-caught-in-wp3xyz-malware-attack

Recommandations stratégiques pour les dirigeants et les RSSI

1. Gouvernance du risque côté client : Imposer des revues avant déploiement et une surveillance après déploiement pour tous les assets JavaScript tiers.
2. Capacités de détection à l'exécution : Investir dans la surveillance comportementale des pages web pour détecter les menaces telles que l'iframing, le vol d'identifiants ou les chaînes de redirection.
3. Le CMS web comme cible de haute valeur : WordPress, malgré sa large adoption, requiert une attention de niveau entreprise avec des correctifs automatisés et une vérification des plugins.
4. Zéro confiance pour la diffusion de contenu : Appliquer les principes du Zero Trust aux scripts JS. Partir du principe qu'une compromission est possible et journaliser chaque interaction.
5. Playbooks de réponse et simulations : Créer des exercices sur table pour les attaques de chaîne d'approvisionnement, les injections côté client et la compromission d'identifiants, basés sur des scénarios réels.

Vue d'ensemble des indicateurs clés

Nombre de sites web impactés par type d'attaque

Tendances stratégiques observées au T1 2025

Au cours du T1 2025, plusieurs tendances stratégiques importantes ont émergé dans l'activité des attaques côté client :

1. Montée en puissance des menaces multiplateformes

• Les attaques ne ciblent plus uniquement les utilisateurs Windows. Les campagnes de malware (ex. : AMOS Stealer) se sont étendues agressivement aux écosystèmes macOS, signalant une évolution vers un ciblage multiplateforme.

2. Exploitation des chaînes d'approvisionnement de confiance

• La compromission de cdn.csyndication[.]com démontre que les attaquants ciblent de plus en plus les fournisseurs tiers réputés pour maximiser leur impact à grande échelle.
• Les attaques de chaîne d'approvisionnement s'étendent désormais au-delà des logiciels pour toucher les infrastructures de diffusion d'assets (JavaScript/CDN).

3. Sophistication accrue des techniques d'évasion

• Utilisation généralisée de : Géofiltrage par IP
• Fingerprinting de navigateur
• Priorisation mobile pour contourner les détections automatisées et accroître la précision du ciblage des utilisateurs.

4. Prolifération de l'empoisonnement SEO

• Les attaques exploitent de plus en plus les domaines à haute autorité (ex. : .edu, .gov) pour l'empoisonnement des moteurs de recherche, visant une monétisation indirecte plutôt qu'une exploitation directe.

5. WordPress reste la surface d'attaque n°1

Malgré des années de sensibilisation, les plugins/thèmes WordPress non corrigés continuent d'être le principal point d'entrée pour les compromissions à grande échelle.

Impact sur la conformité et la réglementation

Les compromissions côté client, en particulier celles qui diffusent des malwares ou détournent des informations personnelles, engendrent des risques de conformité sérieux.

1. Règlement général sur la protection des données (RGPD)

• Les redirections chargées de malwares ou les sites web compromis peuvent être interprétés comme une violation des obligations de sécurité des données au titre de l'article 32 du RGPD.
• Amendes potentielles pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé.

2. Risque PCI-DSS : compromissions des paiements côté client

Les attaques de skimming côté client telles que Magecart et le formjacking constituent des violations directes des exigences PCI-DSS v4.0. Les organisations traitant des données de titulaires de cartes doivent sécuriser les scripts côté client pour prévenir toute interception non autorisée. Une violation de cet environnement pourrait entraîner :

• Une divulgation obligatoire selon les directives PCI
• Des amendes importantes
• Des dommages à la marque et à la confiance des clients

Compte tenu de la prévalence des attaques basées sur JavaScript, sécuriser l'environnement côté navigateur est désormais indispensable pour la conformité PCI.

3. California Consumer Privacy Act (CCPA)

• Les sites web diffusant involontairement des malwares ou du phishing peuvent faire face à des actions en justice privées et à des sanctions réglementaires au titre du CCPA.

4. Réputation de marque et exposition juridique

• Les organisations qui ne sécurisent pas leurs assets côté client s'exposent à : Des poursuites judiciaires de la part des clients
• Une perte de réputation
• Un déréférencement des plateformes publicitaires et des moteurs de recherche (Google, Microsoft)

Prévisions des risques pour le T2 2025

Sur la base des tendances d'attaques observées au T1, cside anticipe les développements suivants pour le T2 :

Recommandations stratégiques pour les dirigeants et les RSSI

Les organisations doivent évoluer au-delà des défenses périmètriques traditionnelles vers une surveillance de sécurité du navigateur en temps réel. Voici les recommandations concrètes de cside :

1. Gouvernance du risque côté client

• Établir des politiques formelles pour la revue avant déploiement et la surveillance continue de tous les assets JavaScript tiers.
• Maintenir un inventaire des scripts approuvés avec gestion des versions et contrôles d'intégrité.

2. Capacités de détection à l'exécution

• Mettre en place une surveillance comportementale de l'activité des sites web en direct : Détecter les injections d'iframes
• Surveiller les événements de manipulation du DOM
• Signaler les connexions sortantes non autorisées

Les solutions doivent alerter sur les comportements suspects avant que les utilisateurs ne soient impactés.

3. Zéro confiance pour les contenus tiers

• Traiter par défaut tout contenu externe comme non fiable : Appliquer des en-têtes CSP (Content Security Policy) pour restreindre le chargement d'assets non approuvés.
• Utiliser la Subresource Integrity (SRI) pour vérifier l'intégrité des scripts.

4. Renforcement de la posture de sécurité WordPress

• Exiger l'application automatique des correctifs pour tous les plugins et les mises à jour du cœur WordPress.
• Imposer l'utilisation exclusive de plugins et de thèmes vérifiés et de haute qualité.
• Surveiller les créations de comptes administrateur pour détecter toute anomalie.

5. Préparer et tester les playbooks de réponse aux incidents

• Mener des exercices sur table réguliers axés sur : La compromission de scripts côté client
• Les scénarios de violation de la chaîne d'approvisionnement
• Le nettoyage après empoisonnement SEO

Inclure des workflows de communication pour une divulgation rapide aux autorités de régulation si nécessaire (RGPD, CCPA).

Conclusion

Le paysage des menaces du début 2025 reflète un changement de paradigme : les attaquants n'ont plus besoin de compromettre l'infrastructure. Il leur suffit de compromettre un script. Le front-end est le nouveau champ de bataille. Les organisations doivent aller au-delà des défenses côté serveur et adopter des stratégies de sécurité côté client proactives et en temps réel. Les défenseurs doivent reconnaître que même les menaces à faible fréquence, telles que les compromissions d'actifs crypto et le skimming de cartes, ont le potentiel d'un impact disproportionné. Les stratégies de défense doivent prioriser à la fois les scénarios d'attaques volumétriques et les scénarios à haute valeur et faible fréquence.

cside continue de surveiller et de publier les menaces émergentes pour renforcer les défenseurs et protéger la confiance numérique.