Analyse De Menace

Selon AWS (aws.amazon.com), l’équipe Threat Intelligence d’Amazon a identifié et neutralisé une campagne de watering hole menée par APT29/Midnight Blizzard (associé au SVR russe). Des sites légitimes compromis redirigeaient une fraction des visiteurs vers des domaines imitant des pages de vérification Cloudflare, afin de les amener à valider des appareils contrôlés par l’attaquant via le flux d’authentification Microsoft par code d’appareil. AWS précise qu’aucun système AWS n’a été compromis et qu’aucun impact direct sur ses services n’a été observé. ...

Selon BleepingComputer, des acteurs de menace utilisent plusieurs sites web promus par des publicités Google pour piéger les internautes avec une application d’édition PDF convaincante qui sert de vecteur à un malware voleur d’informations nommé TamperedChef. Le stratagème repose sur des publicités Google menant à plusieurs sites qui proposent un supposé éditeur PDF. L’application, présentée de manière convaincante, sert en réalité à livrer un logiciel malveillant. L’impact principal mentionné est le vol d’informations via le malware TamperedChef, classé comme info-stealer, ce qui indique un risque d’exfiltration de données sensibles des victimes. ...

Selon CloudSEK, à l’approche du Grand Prix des Pays-Bas, des cybercriminels exploitent l’essor numérique de la Formula 1 pour cibler équipes, dirigeants et fans, provoquant des pertes financières documentées dépassant £1 million. Le rapport détaille des menaces avancées allant des deepfakes d’exécutifs à la compromission de la chaîne d’approvisionnement cloud. Principales menaces et cibles 🏎️ Impersonation via deepfakes (audio/vidéo) de dirigeants d’écuries. Applications mobiles “fantômes” avec icône cachée installant des malwares persistants 📱. Fraudes sur les packages hospitality et cryptomonnaies, visant les fans. Vol de données de télémétrie (300+ capteurs par voiture) et brouillage RF des communications. Harvesting de tokens d’API et compromissions de la supply chain ciblant l’infrastructure cloud. Vecteurs techniques et détection 🔍 ...

Selon Cyfirma, Inf0s3c Stealer est un malware de type information stealer écrit en Python qui cible de larges pans des données utilisateur et systèmes, exfiltrées via Discord après empaquetage en archives RAR protégées par mot de passe. L’échantillon montre une obfuscation avancée (UPX + PyInstaller) et des mécanismes de persistance. Le billet recommande une protection proactive des endpoints et une surveillance réseau renforcée. Sur le plan technique, l’échantillon est un exécutable PE 64-bit (~6,8 Mo, entropie 8.000) packé avec UPX 5.02 et PyInstaller, important des API Windows (opérations fichiers, énumération de processus, manipulation mémoire). 🧪 ...

Source: Foreign Affairs (août 2025). Contexte: Un article d’Andrei Soldatov et Irina Borogan analyse la stratégie du Kremlin pour étendre l’influence cyber russe en s’appuyant sur des entreprises nationales et des accords internationaux, à la suite d’une réunion sur la « souveraineté informationnelle » à Saint-Pétersbourg en avril 2024. 🔒 Le cœur de la stratégie: le Kremlin promeut des cybertechnologies et la « souveraineté informationnelle » via des firmes comme Positive Technologies, Kaspersky Lab, Cyberus Foundation, Angara Security, Kod Bezopasnosti, Security Vision et Solar. Lors de la réunion d’avril 2024 présidée par Nikolai Patrushev (avec Sergei Naryshkin, chef du SVR), des responsables de sécurité d’Afrique, d’Asie, d’Amérique latine, du Moyen-Orient (dont Brésil, Soudan, Thaïlande, Ouganda, ainsi que Chine, Iran et la Ligue arabe) ont été invités à adopter des solutions russes pour « contrôler l’espace informationnel » national. ...

Selon Huntress (blog de recherche), des chercheurs ont documenté une nouvelle variante des attaques ClickFix qui détourne la vérification Cloudflare Turnstile afin d’amener les victimes à télécharger l’infostealer MetaStealer, en s’appuyant sur Windows File Explorer et le protocole de recherche search-ms. Le scénario commence par un faux installateur AnyDesk redirigeant vers anydeesk[.]ink, où une fausse vérification Cloudflare Turnstile est affichée. En cliquant sur la vérification, la victime est redirigée via l’URI search-ms vers l’Explorateur Windows et un partage SMB contrôlé par l’attaquant. ...

Selon une analyse signée par Brandon Mitchell, une faute de frappe de ghcr.io vers ghrc.io expose à un site configuré pour déclencher un flux d’authentification de registre et potentiellement dérober des identifiants GitHub. 🚨 Le domaine ghrc.io affiche en surface une page par défaut nginx, mais répond sous l’API OCI « /v2/ » avec un HTTP 401 et un en-tête WWW-Authenticate: Bearer realm=“https://ghrc.io/token", mimant le comportement d’un registre de conteneurs. Cet en-tête pousse des clients comme Docker, containerd, podman et les CRI Kubernetes à solliciter un jeton auprès de « https://ghrc.io/token », ce qui n’a aucune raison légitime sur un nginx par défaut et indique un objectif de vol d’identifiants. ...

Source: Socket (équipe de recherche). Le billet détaille une campagne où un paquet npm, nodejs-smtp, usurpe le populaire Nodemailer et implante un code dans des portefeuilles crypto de bureau sous Windows afin de détourner des transactions vers des adresses contrôlées par l’attaquant. 🚨 Le paquet nodejs-smtp se fait passer pour un mailer légitime et reste fonctionnel, exposant une interface compatible avec Nodemailer. Sur simple import, il abuse des outils Electron pour décompresser l’archive app.asar d’Atomic Wallet, remplacer un bundle fournisseur par une charge utile malveillante, reconditionner l’application et supprimer ses traces. Dans le runtime du wallet, le code injecté remplace silencieusement l’adresse du destinataire par des portefeuilles de l’attaquant, redirigeant des transactions en BTC, ETH, USDT (ERC20 et TRX USDT), XRP et SOL. La modification persiste jusqu’à réinstallation depuis la source officielle. ...

Source et contexte: Rapport de PIXM Security (Chris Cleveland) couvrant la fin août, décrivant une hausse record de campagnes de phishing ciblant des utilisateurs et administrateurs aux États‑Unis, avec abus d’infrastructures Cloudflare, Azure et Hostinger et un focus sur l’évasion des détections. • Panorama des attaques 🎣 Plusieurs vagues ont ciblé des services Microsoft, Adobe Cloud et Paperless Post, ainsi que des comptes personnels (Yahoo, Amazon) utilisés sur des appareils professionnels. Des arnaques de support Microsoft et des kits de relais MFA ont été observés, avec des pages adaptées par géolocalisation IP et paramètres d’URL pour router les victimes vers des centres d’appels distincts. ...

Source: PolySwarm Hivemind — Analyse détaillée d’une campagne Linux où le backdoor VShell est diffusé par une chaîne d’infection inédite exploitant des noms de fichiers RAR malveillants, avec liens à plusieurs APT chinoises. VShell est un backdoor Linux en Go qui s’appuie sur une injection de commande via nom de fichier dans des archives RAR. Un fichier dont le nom contient une commande Bash encodée Base64 s’exécute lorsque des opérations shell courantes (ex. ls, find, eval) traitent ce nom, déclenchant l’infection sans interaction supplémentaire ni bit exécutable. L’attaque débute par un email de spam déguisé en sondage beauté offrant une petite récompense 💌. ...