Analyse De Menace

L’article de Socket, publié le 25 juin 2025, met en lumière une campagne de cyberattaque orchestrée par des acteurs nord-coréens, ciblant les développeurs via des packages npm malveillants. Les attaquants nord-coréens ont publié 35 nouveaux packages npm malveillants, utilisant un chargeur de malware multi-étapes appelé HexEval. Ces packages, téléchargés plus de 4,000 fois, contiennent un chargeur qui collecte des métadonnées de l’hôte et exécute un malware de deuxième étape nommé BeaverTail, lié à la République populaire démocratique de Corée (RPDC). BeaverTail peut ensuite déployer une porte dérobée de troisième étape, InvisibleFerret. ...

Selon un article publié par Bleeping Computer, une nouvelle version du malware Android connu sous le nom de ‘Godfather’ a été détectée. Ce malware est conçu pour créer des environnements virtuels isolés sur les appareils mobiles afin de voler des données de compte et des transactions à partir d’applications bancaires légitimes. Le malware ‘Godfather’ cible spécifiquement les utilisateurs d’applications bancaires en créant un environnement sécurisé qui imite l’application bancaire légitime. Cela permet au malware de capturer les informations sensibles des utilisateurs, telles que les identifiants de connexion et les détails des transactions. ...

L’article publié le 20 juin 2025 explore les activités d’un acteur de menace connu sous le nom de Tinker, qui a rejoint le groupe de ransomware Black Basta en tant que directeur créatif en 2023. Ce rôle atypique pour un groupe de ransomware souligne l’importance des compétences de Tinker en matière de génération d’idées originales. Tinker a joué un rôle crucial dans le fonctionnement à grande échelle de Black Basta. Ses compétences incluaient l’exploitation de centres d’appels, la rédaction de contenu pour des campagnes de phishing, et l’utilisation de la coercition pour faire pression sur les victimes de ransomware. Ces capacités ont permis à Black Basta d’améliorer l’efficacité de leurs opérations malveillantes. ...

Elastic Security Labs a détecté une augmentation des campagnes utilisant la technique ClickFix, une méthode d’ingénierie sociale qui incite les utilisateurs à exécuter du code malveillant via des commandes PowerShell. Cette technique est exploitée pour déployer des Remote Access Trojans (RATs) et des malware voleurs d’informations. Le rapport met en lumière l’utilisation de GHOSTPULSE, un chargeur de payloads multi-étapes, pour introduire des versions mises à jour de malwares tels que ARECHCLIENT2. Cette campagne commence par un leurre ClickFix, suivi du déploiement de GHOSTPULSE, qui charge ensuite un loader .NET intermédiaire pour finalement injecter ARECHCLIENT2 en mémoire. ...

Selon un rapport de Cybereason, le paysage des ransomwares connaît une période de réorganisation tumultueuse. Des groupes autrefois dominants comme RansomHub, LockBit, Everest et BlackLock ont récemment subi des fermetures soudaines, des échecs opérationnels et des attaques sur leurs infrastructures du dark web, révélant une instabilité profonde dans l’écosystème cybercriminel. En mars 2025, RansomHub, considéré comme le groupe de ransomwares le plus actif de 2024, a disparu sans explication. Ce groupe s’était imposé rapidement grâce à un modèle de Ransomware-as-a-Service (RaaS) bien huilé. Cependant, sa disparition subite a laissé ses victimes en pleine négociation, semant la confusion. En parallèle, d’autres sites de fuites de ransomwares ont subi des perturbations inattendues, notamment LockBit et Everest, ciblés par des acteurs anonymes se faisant appeler “XOXO from Prague”. ...

L’article, publié par Trend Micro, examine l’émergence du ransomware Anubis, un groupe de ransomware-as-a-service (RaaS) qui se distingue par sa capacité à non seulement chiffrer les fichiers, mais aussi à les détruire définitivement. Anubis est actif depuis décembre 2024 et a ciblé plusieurs secteurs, notamment la santé et la construction, dans des régions comme l’Australie, le Canada, le Pérou et les États-Unis. Le groupe utilise une approche d’extorsion double, combinant le chiffrement des données avec une fonction de destruction de fichiers qui rend la récupération impossible, même si la rançon est payée. ...

L’article publié par Insikt Group le 13 juin 2025 révèle de nouvelles infrastructures associées à GrayAlpha, un acteur de la menace lié au groupe FIN7. Ce groupe utilise des domaines pour la distribution de charges utiles et des adresses IP supplémentaires qui leur sont associées. Insikt Group a découvert un chargeur PowerShell personnalisé nommé PowerNet, qui décompresse et exécute NetSupport RAT. Un autre chargeur personnalisé, MaskBat, similaire à FakeBat mais obfusqué, a également été identifié. Trois méthodes principales d’infection ont été observées : des pages de mise à jour de navigateur factices, des sites de téléchargement 7-Zip factices, et le système de distribution de trafic TAG-124. ...

L’article publié par la société Lexfo, met en lumière un nouveau projet d’extorsion en ligne nommé World Leaks, lancé par les opérateurs du groupe de ransomware Hunters International. World Leaks a vu le jour début 2025, marquant un changement de stratégie des opérateurs de Hunters International, passant de la double extorsion avec ransomware à des attaques uniquement basées sur l’extorsion, en raison des risques accrus et de la rentabilité réduite de leurs anciennes méthodes. ...

L’article de SecuritySnacks, publié le 10 juin 2025, met en lumière les activités du groupe de cybercriminalité FIN6, également connu sous le nom de Skeleton Spider. Ce groupe est connu pour ses attaques motivées par des gains financiers et a évolué vers des menaces d’entreprise plus larges, y compris des opérations de ransomware. FIN6 a perfectionné ses campagnes de phishing en exploitant la confiance professionnelle. En se faisant passer pour des chercheurs d’emploi sur des plateformes comme LinkedIn, ils établissent un lien de confiance avec les recruteurs avant d’envoyer des messages de phishing menant à des malwares. Leur charge utile préférée est more_eggs, un backdoor en JavaScript qui facilite le vol de données d’identification et l’accès aux systèmes. ...

L’article publié le 13 juin 2025 met en lumière l’émergence d’un nouveau groupe de ransomware-as-a-service (RaaS) nommé Anubis. Ce groupe a commencé à se faire connaître en 2025 grâce à des méthodes innovantes et destructrices. Anubis se distingue par sa capacité à associer le chiffrement de fichiers à des actions plus destructrices, telles que le nettoyage de répertoires, ce qui réduit considérablement les chances de récupération des fichiers affectés. Cette approche rend les attaques particulièrement dévastatrices pour les victimes. ...