Analyse De Menace

Selon Silent Push, dans le contexte des opérations d’ingérence visant les élections moldaves de 2025, une analyse technique établit des liens entre l’infrastructure récente de désinformation et des actifs historiques d’Absatz Media opérés depuis 2022. — Les chercheurs ont mis en évidence des empreintes de code uniques présentes exclusivement sur des sites de désinformation russes, permettant de relier l’infrastructure de la campagne moldave 2025 aux domaines historiques d’Absatz Media (absatz.media, abzac.media), et d’associer ces activités au groupe Storm‑1679/Matryoshka et à l’infrastructure contrôlée par Mikhail Sergeyevich Shakhnazarov. ...

Selon G DATA (blog), une campagne sophistiquée a compromis le jeu BlockBlasters sur Steam via un patch malveillant (Build 19799326), touchant des centaines de joueurs en 2025 et s’inscrivant dans une tendance croissante de compromissions sur la plateforme. L’attaque débute par un fichier batch malveillant nommé game2.bat qui collecte des informations système, détecte les antivirus et récupère des identifiants Steam. Deux chargeurs VBS exécutent ensuite d’autres scripts batch pour inventorier les extensions de navigateurs et les données de portefeuilles crypto. ...

Source: SANS Internet Storm Center (Diary du 2025-09-21) par Johannes Ullrich. Contexte: retour sur une campagne de phishing en cours contre des comptes développeurs NPM et sur les méthodes d’authentification résistantes au phishing. — Faits rapportés: des e‑mails de phishing bien rédigés et une page de destination convaincante ont suffi pour piéger des développeurs NPM. Le domaine « npmjs.help » a été utilisé, et « npmjs.cam » (TLD .CAM et non .COM) a été enregistré peu après, même si ce dernier n’est pas joignable au moment évoqué. 🎣 ...

Source: Socket (blog) — L’équipe de recherche a analysé 80 candidats ingénieurs frauduleux, dont des travailleurs IT nord-coréens présumés, révélant une campagne coordonnée ciblant les pipelines de recrutement des entreprises technologiques. L’enquête met en évidence que le recrutement devient une fonction de sécurité à part entière, nécessitant une vérification multi-couches: validation de portefeuilles, analyse comportementale en entretien, et collaboration entre équipes Talent Acquisition et Sécurité, tout en préservant l’expérience candidat. ...

Selon Arctic Wolf (blog), une campagne sophistiquée de type supply chain cible l’écosystème npm avec un malware auto-propagatif qui vole des identifiants développeur, clés cloud et tokens, puis se répand en empoisonnant d’autres packages. Points clés Type d’attaque : supply chain, malware auto-propagatif (worm), vol d’identifiants. Impact : >180 packages npm compromis ; exfiltration de secrets et réédition de packages trojanisés. Vecteurs : TruffleHog, GitHub Actions, tokens npm compromis, dépôts GitHub publics. Chaîne d’attaque (résumé technique) ...

Source: CyberScoop — Lors du Billington Cybersecurity Summit, un haut responsable cyber du FBI et un cadre de la CISA ont décrit une évolution marquée des méthodes d’attaquants étatiques chinois, contraignant les autorités américaines à adapter leurs approches de chasse et de détection. Le FBI cite les groupes chinois Salt Typhoon (à l’origine d’un vaste piratage des télécoms révélé à l’automne dernier) et Volt Typhoon (infiltrations d’infrastructures critiques américaines, en vue de potentielles perturbations). Ces opérations sont désormais plus furtives et patientes, privilégiant l’accès persistant et le camouflage via des techniques de living off the land (usage d’outils légitimes). Conséquence: moins de signaux/IOCs exploitables et une chasse assumée « comme s’ils étaient déjà dans le réseau ». ...

Selon Group-IB, MuddyWater (APT iranien soutenu par l’État) est passé d’opérations opportunistes via outils RMM (remote monitoring and management) à des campagnes ciblées et sophistiquées contre des entités au Moyen-Orient, en Europe et aux États-Unis, dont des infrastructures critiques, gouvernements et télécoms. L’accès initial reste largement mené via du phishing et des documents Office malveillants. 🕵️‍♂️ Le groupe opère plusieurs backdoors personnalisées avec des protocoles C2 distincts : BugSleep (pseudo-TLV custom sur TCP avec chiffrement AES), StealthCache (HTTP/HTTPS avec des endpoints dédiés), et Phoenix (HTTP avec endpoints d’enregistrement et de beaconing). Le loader Fooder s’appuie sur Windows CryptAPI pour déchiffrer les charges, met en œuvre du DLL side-loading et du multi-threading pour l’évasion. 🧩 ...

Selon Global Affairs Canada (Rapid Response Mechanism Canada), note du 12 septembre 2025, une opération de hack-and-leak attribuée au groupe lié à l’Iran Handala Hack Team a visé cinq journalistes d’Iran International, dont un basé au Canada. L’activité aurait démarré le 8 juillet 2025. Les auteurs ont publié des photos de pièces d’identité officielles (passeports, cartes de résident permanent, permis de conduire), des mots de passe d’adresses e‑mail ainsi que des photos/vidéos intimes. La fuite a d’abord été mise en ligne sur le site de Handala puis relayée via Telegram, X, Facebook, Instagram et des sites d’actualités iraniens. RRM Canada a détecté l’opération le 9 juillet 2025 après une diffusion initiale sur un canal Telegram associé, puis de nouvelles publications le 11 juillet 2025 ciblant notamment un résident canadien. ...

Selon Sonatype, une campagne de malware wormable baptisée Shai-Hulud a compromis plus de 180 paquets npm en abusant d’identifiants de mainteneurs volés. L’opération combine automatisation (IA), vol de credentials, exfiltration via GitHub et empoisonnement de packages pour une propagation rapide dans la chaîne d’approvisionnement logicielle. Le fonctionnement est multi-étapes : collecte de credentials sur postes développeurs et environnements CI, exfiltration des données vers webhook.site/bb8ca5f6-4175-45d2-b042-fc9ebb8170b7, création automatisée de dépôts GitHub nommés “Shai-Hulud” contenant les secrets dérobés, puis injection d’un workflow GitHub Actions (.github/workflows/shai-hulud-workflow.yml) pour la persistance. ...

Source: Proofpoint — Dans le cadre d’opérations menées en juillet et août 2025, l’acteur étatique chinois TA415 (associé à APT41) a ciblé des organismes gouvernementaux américains, des think tanks et des institutions académiques focalisés sur les relations États-Unis–Chine. Les attaquants ont usurpé l’identité de hauts responsables, dont la présidence du Select Committee on Strategic Competition et l’US-China Business Council, pour livrer des charges menant à la mise en place de VS Code Remote Tunnels. Cette approche illustre un virage notable vers des techniques de living-off-the-land s’appuyant sur des services légitimes pour le C2. 🎯 ...