Analyse De Menace

Source: malwr-analysis.com (24–25 août 2025). Contexte: un chercheur décrit une évolution d’une chaîne de phishing Gmail où les attaquants ciblent à la fois les utilisateurs et les défenses automatisées, en insérant un texte d’« injection de prompt » dans la section MIME en clair pour distraire/perturber l’analyse par IA. Leurres et chaîne de livraison 🚨: l’email de phishing imite un avis d’expiration de mot de passe (sujet: « Login Expiry Notice 8/20/2025 4:56:21 p.m. »), envoyé via SendGrid avec SPF/DKIM OK mais DMARC en échec, ce qui a permis de franchir certains filtres. La campagne abuse Microsoft Dynamics pour une redirection de mise en scène, puis bascule vers un domaine attaquant avec captcha (empêchant crawlers/sandboxes) avant la page principale de phishing brandée Gmail. Le kit effectue une requête GeoIP pour profiler l’utilisateur et un beacon télémétrique pour distinguer humains et bots. ...

Selon BleepingComputer, le groupe d’espionnage pakistanais APT36 mène de nouvelles attaques en abusant de fichiers .desktop sous Linux afin de charger un malware contre des organismes gouvernementaux et de défense en Inde. Points clés: Acteur: APT36 (Pakistan) Technique: abus de fichiers .desktop pour charger un malware Plateforme: Linux 🐧 Cibles: entités de gouvernement et de défense en Inde 🎯 Nature: cyberespionnage TTPs observés: Utilisation de fichiers .desktop Linux comme vecteur pour lancer/charger le malware. Impact et portée: ...

Selon CrowdStrike, entre juin et août 2025, la plateforme Falcon a empêché une campagne de malware visant plus de 300 environnements clients, opérée par l’acteur eCrime COOKIE SPIDER et déployant SHAMOS, une variante d’Atomic macOS Stealer (AMOS). • Le mode opératoire s’appuie sur du malvertising redirigeant vers de faux sites d’aide macOS (ex. mac-safer[.]com, rescue-mac[.]com) qui incitent les victimes à exécuter une commande d’installation one‑liner 🍎. Cette technique permet de contourner Gatekeeper et d’installer directement un binaire Mach‑O. Des campagnes similaires (Cuckoo Stealer et SHAMOS) avaient déjà exploité cette méthode via des annonces Homebrew entre mai 2024 et janvier 2025. ...

Source : Blog de Flipper Devices — l’article répond aux reportages évoquant un « firmware secret » du Flipper Zero capable de pirater n’importe quelle voiture, sujet repris par The Verge, Gizmodo, 404 Media et The Drive. ⚠️ Le billet explique que des boutiques du darknet ont commencé à vendre un « firmware privé » pour Flipper Zero, présenté comme pouvant « hacker » d’innombrables voitures. Ces vendeurs affirment que de nouvelles vulnérabilités auraient « fuité » en ligne, rendant ce piratage possible. ...

Selon l’article de BleepingComputer, un groupe de pirates soutenu par l’État chinois, connu sous le nom de Murky Panda (Silk Typhoon), exploite des relations de confiance dans des environnements cloud pour compromettre l’accès aux réseaux et données de clients « en aval ». L’information met en avant une technique d’attaque reposant sur l’abus de relations de confiance entre entités cloud, permettant un accès initial aux réseaux et aux données des organisations interconnectées. ...

Source et contexte — IBM X-Force publie une analyse technique de « QuirkyLoader », observé depuis novembre 2024, un nouveau loader employé pour déposer des charges additionnelles sur des hôtes déjà compromis. L’article détaille la chaîne d’infection, les techniques d’évasion, les familles livrées, la victimologie récente (Taïwan, Mexique) et des indicateurs d’infraction associés. Chaîne d’infection — La campagne débute par des e‑mails de spam contenant une archive malveillante. Celle‑ci regroupe un exécutable légitime, un payload chiffré (déguisé en DLL) et un module DLL loader. L’acteur exploite le DLL side‑loading: l’exécutable légitime charge la DLL malveillante, qui lit et déchiffre la charge, puis l’injecte dans un processus cible. Le module DLL est systématiquement écrit en C# .NET et compilé en Ahead‑of‑Time (AOT), produisant un binaire natif qui ressemble à du C/C++. Un variant noté utilise le chiffre Speck‑128 en mode CTR pour générer un keystream (opérations ARX) et déchiffrer le payload par XOR en blocs de 16 octets. ...

Selon Flashpoint, en 2025, les groupes de Ransomware-as-a-Service (RaaS) reconfigurent le paysage des menaces, avec une hausse de 179% des attaques d’une année sur l’autre et un recul de groupes auparavant dominants comme LockBit et BlackCat. Points clés 🔎 RaaS en forte progression, redessinant la dynamique des menaces en 2025. +179% d’attaques d’une année sur l’autre, d’après le suivi de Flashpoint. Déclin des acteurs historiques LockBit et BlackCat. Enjeux et contexte ...

Source: Cisco Talos — Dans un billet signé par Sara McBroom, Talos détaille une campagne d’espionnage étatique menée par le groupe russe Static Tundra, actif depuis plus d’une décennie et lié au FSB (Center 16), visant des équipements réseau Cisco non patchés pour des accès persistants et la collecte de renseignements. Le groupe exploite agressivement depuis au moins 2021 la vulnérabilité CVE-2018-0171 dans la fonctionnalité Smart Install (Cisco IOS/IOS XE), patchée en 2018 mais encore présente sur des équipements non mis à jour ou en fin de vie. Les cibles prioritaires sont les télécoms, l’enseignement supérieur et la fabrication en Amérique du Nord, Asie, Afrique et Europe, avec une intensification notable contre l’Ukraine depuis le début de la guerre. Static Tundra récupérerait les configurations pour des usages ultérieurs, en fonction des priorités stratégiques russes. ...

Selon Hackread.com (18 août 2025), un acteur de menace se présentant comme « Chucky_BF » propose sur un forum cybercriminel un lot baptisé « Global PayPal Credential Dump 2025 » comprenant plus de 15,8 millions de paires email:mot de passe (en clair), assorties d’URLs liées aux services PayPal. Le vendeur affirme que le dump (environ 1,1 Go) couvre des comptes à l’échelle mondiale (Gmail, Yahoo, Hotmail, domaines pays), avec des entrées raw email:password:url. Les échantillons montreraient des adresses Gmail associées à des mots de passe et pointant vers des endpoints PayPal tels que /signin, /signup, /connect, ainsi que des URIs Android, suggérant une structuration qui faciliterait l’automatisation de connexions et l’abus de services. Certains comptes apparaissent en formats web et mobile. 💳 ...

Source: Microsoft Threat Intelligence et Microsoft Defender Experts — billet technique détaillant, avec exemples et IOCs, l’essor de la technique d’ingénierie sociale « ClickFix » observée depuis 2024. • ClickFix insère une étape d’« interaction humaine » dans la chaîne d’attaque via des pages d’atterrissage qui miment des vérifications (CAPTCHA, Cloudflare Turnstile, faux sites officiels). Les victimes copient-collent puis exécutent elles‑mêmes des commandes dans Win+R, Terminal ou PowerShell. Les charges livrées incluent des infostealers (Lumma, Lampion), des RATs (Xworm, AsyncRAT, NetSupport, SectopRAT), des loaders (Latrodectus, MintsLoader) et des rootkits (r77 modifié). Beaucoup d’exécutions sont fileless et s’appuient sur des LOLBins (powershell.exe, mshta.exe, rundll32.exe, msbuild.exe, regasm.exe). ...