Analyse Technique

L’analyse publiée par Gi7w0rm relate une attaque de type FakeCaptcha qui a compromis le site légitime de l’Association Allemande pour le Droit International. Un utilisateur a été redirigé vers une page Captcha frauduleuse, prétendant être sécurisée par Cloudflare, qui lui demandait d’exécuter une commande Powershell. Cette commande effectuait une requête Web vers un site distant (amoliera[.]com) et utilisait Invoke-Expression pour exécuter le code malveillant reçu. L’attaque illustre une méthode où les attaquants exploitent la confiance des utilisateurs envers les Captchas, qui sont normalement conçus pour différencier les humains des bots. ...

L’article provenant de SuspectFile, relayé par databreaches.net, met en lumière les failles de sécurité dans les négociations de rançons menées par le groupe de ransomware Akira. Akira a échoué à sécuriser son serveur de chat de négociation, permettant à quiconque connaissant l’adresse de suivre les interactions entre les victimes et le groupe. Deux cas ont été rapportés : une entreprise du New Jersey a payé 200 000 dollars après avoir reçu des assurances de confidentialité, et une entreprise allemande a négocié une réduction de la demande initiale de 6,9 millions de dollars à 800 000 dollars. ...

L’article publié sur le site de Yarix Labs discute de l’outil Doppelganger disponible sur GitHub, qui est pertinent dans le domaine de la cybersécurité. LSASS (Local Security Authority Subsystem Service) est un composant essentiel du système d’exploitation Windows, responsable de l’application de la politique de sécurité sur le système. Il joue un rôle fondamental dans l’authentification des utilisateurs en vérifiant les identités des utilisateurs et en gérant les sessions de sécurité. ...

L’article publié par CloudSEK via la plateforme BeVigil révèle une faille de sécurité critique chez un géant de l’aviation, impliquant une API non sécurisée dans un fichier JavaScript. Cette vulnérabilité a permis un accès non autorisé aux données sensibles de Microsoft Graph de plus de 50 000 utilisateurs Azure AD, y compris des cadres exécutifs. L’API exposée délivrait un jeton d’accès avec des permissions excessives telles que User.Read.All et AccessReview.Read.All, ouvrant la voie à des attaques par hameçonnage et à l’usurpation d’identité. ...

L’article publié par Safety CLI Cybersecurity Inc. le 2 juin 2025, détaille une campagne de malware ciblant l’écosystème de la cryptomonnaie Solana. Entre le 4 et le 24 mai 2025, un acteur malveillant a publié 11 packages Python malveillants sur le registre PyPI, conçus pour voler du code source, des cryptomonnaies et d’autres données sensibles. La campagne s’est déroulée en quatre itérations distinctes, chacune utilisant un payload différent pour exfiltrer des données vers des adresses IP spécifiques hébergées en Russie. Le premier payload, prices.py, a été utilisé dans six packages publiés entre le 4 et le 20 mai, exfiltrant des fichiers Python vers une adresse IP spécifique. Les itérations suivantes ont introduit de nouveaux fichiers payload (helpers.py, coins.py, markets.py) avec des destinations d’exfiltration différentes. ...

L’article publié par SecureList de Kaspersky décrit une campagne de minage de crypto-monnaie qui utilise des API Docker exposées pour propager un malware de manière autonome. Cette attaque ne nécessite pas de serveur de commande et de contrôle, s’appuyant sur la croissance exponentielle du nombre de conteneurs infectés pour se propager. Lors d’une évaluation de compromission, des analystes ont détecté des conteneurs exécutant des activités malveillantes. L’analyse a révélé que l’attaquant a accédé à l’infrastructure conteneurisée en exploitant une API Docker publiée de manière non sécurisée, compromettant ainsi les conteneurs en cours d’exécution et en créant de nouveaux pour miner la crypto-monnaie Dero et lancer des attaques externes. ...

Microsoft Threat Intelligence a publié un rapport sur Void Blizzard, un nouvel acteur de menace affilié à la Russie, qui mène des opérations de cyberespionnage ciblant principalement des organisations importantes pour les objectifs du gouvernement russe. Ces cibles incluent les secteurs gouvernementaux, de la défense, des transports, des médias, des ONG et de la santé, principalement en Europe et en Amérique du Nord. Void Blizzard utilise des identifiants volés, souvent achetés sur des marchés en ligne, pour accéder aux organisations et voler de grandes quantités d’emails et de fichiers. En avril 2025, ils ont commencé à utiliser des méthodes plus directes pour voler des mots de passe, telles que l’envoi de faux emails pour tromper les utilisateurs. ...

GreyNoise a utilisé un outil d’analyse de trafic réseau alimenté par l’IA, nommé SIFT, pour détecter des charges utiles anormales visant à désactiver les fonctionnalités de sécurité TrendMicro sur les routeurs ASUS. Cette activité a été découverte initialement le 18 mars 2025, mais la divulgation publique a été retardée pour coordonner les découvertes avec des partenaires gouvernementaux et industriels. L’attaque combine des méthodes anciennes et nouvelles, débutant par des attaques par force brute sur login.cgi, suivies d’exploitations de vulnérabilités de contournement d’authentification plus anciennes. Une fois l’accès privilégié obtenu, les attaquants exploitent une vulnérabilité d’injection de commande pour créer un fichier vide à /tmp/BWSQL_LOG, activant ainsi la journalisation BWDPI, une fonctionnalité TrendMicro intégrée. ...

Cet article publié sur la société AFINE met en lumière l’importance du Transparency, Consent, and Control (TCC) sur macOS, souvent perçu comme une simple gêne par les utilisateurs et certains professionnels de la sécurité. L’auteur partage son expérience en matière de cybersécurité, notamment en ce qui concerne les vulnérabilités des applications tierces qui permettent de contourner TCC. Il souligne que beaucoup de développeurs et même des professionnels de la sécurité ne comprennent pas pleinement le rôle crucial de TCC dans la protection de la vie privée des utilisateurs contre les malwares. ...

La source de cette actualité est KrebsOnSecurity, un site spécialisé en cybersécurité, qui a récemment été la cible d’une attaque DDoS massive. La semaine dernière, KrebsOnSecurity a subi une attaque par déni de service distribué (DDoS) atteignant un débit de plus de 6,3 terabits par seconde. Cette attaque est dix fois plus importante que celle menée en 2016 par le botnet Mirai, qui avait mis le site hors ligne pendant près de quatre jours. ...