Analyse De Menace

Selon Global Affairs Canada (Rapid Response Mechanism Canada), note du 12 septembre 2025, une opération de hack-and-leak attribuée au groupe lié à l’Iran Handala Hack Team a visé cinq journalistes d’Iran International, dont un basé au Canada. L’activité aurait démarré le 8 juillet 2025. Les auteurs ont publié des photos de pièces d’identité officielles (passeports, cartes de résident permanent, permis de conduire), des mots de passe d’adresses e‑mail ainsi que des photos/vidéos intimes. La fuite a d’abord été mise en ligne sur le site de Handala puis relayée via Telegram, X, Facebook, Instagram et des sites d’actualités iraniens. RRM Canada a détecté l’opération le 9 juillet 2025 après une diffusion initiale sur un canal Telegram associé, puis de nouvelles publications le 11 juillet 2025 ciblant notamment un résident canadien. ...

Selon Sonatype, une campagne de malware wormable baptisée Shai-Hulud a compromis plus de 180 paquets npm en abusant d’identifiants de mainteneurs volés. L’opération combine automatisation (IA), vol de credentials, exfiltration via GitHub et empoisonnement de packages pour une propagation rapide dans la chaîne d’approvisionnement logicielle. Le fonctionnement est multi-étapes : collecte de credentials sur postes développeurs et environnements CI, exfiltration des données vers webhook.site/bb8ca5f6-4175-45d2-b042-fc9ebb8170b7, création automatisée de dépôts GitHub nommés “Shai-Hulud” contenant les secrets dérobés, puis injection d’un workflow GitHub Actions (.github/workflows/shai-hulud-workflow.yml) pour la persistance. ...

Source: Proofpoint — Dans le cadre d’opérations menées en juillet et août 2025, l’acteur étatique chinois TA415 (associé à APT41) a ciblé des organismes gouvernementaux américains, des think tanks et des institutions académiques focalisés sur les relations États-Unis–Chine. Les attaquants ont usurpé l’identité de hauts responsables, dont la présidence du Select Committee on Strategic Competition et l’US-China Business Council, pour livrer des charges menant à la mise en place de VS Code Remote Tunnels. Cette approche illustre un virage notable vers des techniques de living-off-the-land s’appuyant sur des services légitimes pour le C2. 🎯 ...

Selon Okta Threat Intelligence (sec.okta.com), une analyse détaillée dévoile « VoidProxy », une opération de Phishing-as-a-Service inédite et particulièrement évasive, ciblant des comptes Microsoft et Google et redirigeant les comptes fédérés (SSO tiers comme Okta) vers des pages de phishing de second niveau. • Aperçu de la menace: VoidProxy est un service mature et scalable de phishing en Adversary-in-the-Middle (AitM) capable d’intercepter en temps réel les flux d’authentification pour capturer identifiants, codes MFA et cookies de session, contournant des méthodes MFA courantes (SMS, OTP d’apps). Les comptes compromis facilitent des activités telles que BEC, fraude financière, exfiltration de données et mouvements latéraux. Les utilisateurs protégés par des authentificateurs résistants au phishing (ex: Okta FastPass) n’ont pas pu se connecter via l’infrastructure VoidProxy et ont été alertés. Okta fournit un avis de menace complet (avec IOCs) via security.okta.com et Identity Threat Protection. ...

Selon la page « Covert Influence Operations » du site Transparency de TikTok, la plateforme recense et divulgue régulièrement les réseaux d’opérations d’influence clandestines qu’elle a détectés et démantelés depuis janvier 2024, en détaillant l’origine supposée, les audiences ciblées, le nombre de comptes et les méthodes employées. 📊 Entre juillet 2025 et janvier 2025, TikTok documente de multiples réseaux: en juillet 2025, des opérations depuis la Thaïlande visant des sinophones avec du contenu généré par IA (souvent des personnages animaliers) pour vanter la domination chinoise et critiquer l’Occident; deux réseaux opérant depuis l’Ukraine visant un public russe pour miner la confiance envers le gouvernement russe et souligner des défaites militaires, parfois en se présentant comme des comptes d’actualités; un réseau depuis l’Iran ciblant Israël/Palestine via sock puppets et faux comptes d’actualité; un réseau depuis la Biélorussie se faisant passer pour un groupe partisan en Ukraine, redirigeant vers une messagerie hors plateforme; un autre depuis l’Iran visant l’Azerbaïdjan pour promouvoir des narratifs pro-iraniens et chiites. TikTok indique aussi une application continue contre la récidive (ex. 5 374 comptes tentant de revenir en juillet 2025). ...

Selon le blog PolySwarm, le groupe lié au renseignement russe Fancy Bear (APT28) a déployé NotDoor, un backdoor sophistiqué pour Outlook visant des pays membres de l’OTAN. • Le malware repose sur des macros VBA et abuse un binaire Microsoft OneDrive.exe signé vulnérable au DLL side-loading pour charger une SSPICLI.dll malveillante. Cette DLL installe des macros dans VbaProject.OTM d’Outlook, fournissant le point d’accès du backdoor. • NotDoor surveille des déclencheurs e-mail tels que « Daily Report », puis parse des commandes chiffrées via un encodage Base64 personnalisé avec préfixes aléatoires. Il prend en charge quatre types de commandes: cmd, cmdno, dwn, upl. ...

Selon Imperva (blog), une analyse de l’efficacité de l’Opération Eastwood contre le groupe hacktiviste pro-russe NoName057(16) montre une perturbation temporaire suivie d’une reprise accélérée des activités. • Impact global: l’opération internationale a saisi plus de 100 serveurs et arrêté des membres clés, imposant une courte pause opérationnelle. Toutefois, le groupe a repris avec une augmentation de 80% du volume d’attaques, la formation de nouvelles alliances et l’extension des cibles aux pays impliqués dans le démantèlement. Le bilan met en évidence la valeur mais aussi les limites des actions de perturbation coordonnées. ...

Selon Krebs on Security, l’UE a sanctionné en mai 2025 des acteurs liés à Stark Industries, un « bulletproof » hébergeur apparu juste avant l’invasion de l’Ukraine et impliqué dans des DDoS massifs, des services proxy/VPN russophones, de la malware et de la désinformation. Les propriétaires moldaves de PQ Hosting, Yuri et Ivan Neculiti, ont été visés pour leur lien avec la guerre hybride de la Russie. Un rapport de Recorded Future indique que, peu avant l’annonce des sanctions, Stark s’est rebrandé en the[.]hosting, sous contrôle de WorkTitans BV (AS209847), le 24 juin 2025. Ayant été avertis par des fuites médiatiques environ 12 jours avant les sanctions, les frères Neculiti ont transféré une partie substantielle de l’espace d’adressage et des ressources vers PQ Hosting Plus S.R.L. en Moldavie, pour obfusquer la propriété et maintenir les services sous de nouvelles entités. ...

Selon Intezer, un nouveau variant du backdoor ToneShell attribué au groupe lié à la Chine Mustang Panda cible de nouveau le Myanmar et déploie des techniques d’antianalyse plus sophistiquées. Le malware s’installe via DLL sideloading (bibliothèque SkinH.dll), assure sa persistance via le Planificateur de tâches Windows, crée des répertoires aléatoires de 6 caractères dans AppData et génère un identifiant hôte GUID stocké dans C:\ProgramData\SystemRuntimeLag.inc. Il intègre du texte OpenAI/Pega AI comme remplissage, exécute des boucles de création de fichiers, effectue des validations de tick count et applique des sommeils aléatoires pour perturber l’analyse. ...

Selon Unit 42 (Palo Alto Networks), AdaptixC2 est un framework de commande‑et‑contrôle open source activement employé par des acteurs malveillants. Cet outil de post‑exploitation offre un contrôle étendu du système, la manipulation de fichiers et l’exfiltration de données tout en restant largement discret. 🚨AdaptixC2 est un nouveau framework open-source de post-exploitation et d’émulation adversaire, utilisé en conditions réelles depuis mai 2025 pour des attaques ciblées Il permet aux acteurs malveillants d’exécuter des commandes, d’exfiltrer des données, de manipuler des fichiers et de maintenir une activité furtive sur les machines compromises. Sa modularité, ses capacités de tunneling (SOCKS4/5), port forwarding, et la prise en charge de BOFs (Beacon Object Files) rendent AdaptixC2 hautement personnalisable et difficile à détecter ...