Publication De Recherche

Selon Check Point Research, cette publication détaille les opérations d’« Ink Dragon » (chevauchement avec Earth Alux, Jewelbug, REF7707, CL-STA-0049), un cluster APT évalué comme aligné PRC, actif depuis au moins 2023 contre des entités gouvernementales, télécom et secteur public, d’abord en Asie du Sud-Est et Amérique du Sud, avec une expansion récente en Europe. Le rapport met en avant l’usage d’un module ShadowPad pour IIS qui transforme les victimes en nœuds de relais C2, ainsi qu’un nouvel échantillon de FinalDraft plus furtif. ...

Selon une publication de recherche d’Infoblox datée du 16 décembre 2025 et reprise par le journaliste spécialisé Brian Krebs, la navigation directe vers des domaines expirés, parkés ou typosquattés expose désormais majoritairement les internautes à des redirections malveillantes. 🚨 Constat clé: alors qu’en 2014 les redirections malveillantes sur domaines parkés étaient observées dans <5 % des cas, Infoblox relève qu’en 2025 plus de 90 % des visites mènent à du contenu illégal, arnaques, scareware/abonnements antivirus, ou malwares. Les parkings vendent les « clics » à des réseaux publicitaires qui les revendent souvent, jusqu’à un annonceur final sans lien direct avec le parking. ...

Source: Kaspersky ICS CERT — Contexte: publication de recherche (16 déc. 2025) décrivant l’évaluation de sécurité du SoC Unisoc UIS7862A intégré aux head units de véhicules chinois et à divers appareils mobiles. Les chercheurs ont identifié plusieurs vulnérabilités critiques dans la pile protocolaire cellulaire du modem intégré. L’article se concentre sur une vulnérabilité de type dépassement de pile dans l’implémentation 3G RLC en mode UM, référencée CVE-2024-39432, permettant une exécution de code à distance (RCE) dès les premières étapes de connexion, avant l’activation des mécanismes de protection. Une section distincte mentionne également CVE-2024-39431 liée à l’accès distant au modem. ...

Dans un billet de blog daté du 10 décembre 2025, Simcha Kosman décrit une méthode qui combine analyse statique CodeQL et raisonnement LLM afin de réduire drastiquement les faux positifs et de concentrer les équipes sur des failles réellement exploitables. L’auteur introduit l’outil Vulnhalla, conçu pour laisser passer uniquement les « vrais » problèmes. En moins de 48 h et pour moins de 80 $, l’approche a permis d’identifier des vulnérabilités publiées sous les identifiants CVE-2025-38676 (Linux Kernel), CVE-2025-0518 (FFmpeg), CVE-2025-27151 (Redis), CVE-2025-8854 (Bullet3), CVE-2025-9136 (RetroArch), CVE-2025-9809 (Libretro) et CVE-2025-9810 (Linenoise), avec divulgation responsable préalable aux éditeurs. ...

Selon Palo Alto Networks (Unit 42), un nouveau ransomware nommé 01flip a été observé dès juin 2025, utilisé par le cluster financier CL-CRI-1036 contre un nombre limité de victimes en Asie-Pacifique, incluant des entités d’infrastructures critiques en Asie du Sud-Est. Les opérateurs demandent 1 BTC et communiquent via e‑mail/messagerie privée. Une publication sur forum clandestin évoque des fuites concernant des victimes aux Philippines et à Taïwan, bien que 01flip lui‑même n’intègre pas d’exfiltration. Aucune vitrine de double extorsion n’a été constatée. ...

Selon des chercheurs de ReversingLab, 19 extensions malveillantes ont été identifiées sur le Marketplace VS Code, la majorité embarquant un fichier malveillant se faisant passer pour une image PNG. Campagne malveillante ciblant VS Code via des dépendances piégées 1. Contexte général Les chercheurs de ReversingLabs ont identifié une campagne active depuis février 2025, découverte le 2 décembre 2025, impliquant 19 extensions malveillantes Visual Studio Code publiées sur le VS Code Marketplace. ...

ReversingLabs publie une enquête sur une campagne active depuis février 2025 révélant 19 extensions VS Code malveillantes qui cachent des charges utiles dans leurs dépendances, notamment une fausse image PNG contenant des binaires. Les extensions malicieuses incluent des dépendances pré-packagées dans le dossier node_modules dont le contenu a été altéré par l’attaquant. La dépendance populaire path-is-absolute a été modifiée localement (sans impact sur le package npm officiel) pour ajouter du code déclenché au démarrage de VS Code, chargé de décoder un dropper JavaScript stocké dans un fichier nommé ’lock’ (obfuscation par base64 puis inversion de la chaîne). ...

Source: watchTowr (whitepaper publié suite à une présentation à Black Hat Europe 2025). Ce document de recherche expose une vulnérabilité d’« invalid cast » dans .NET Framework (HttpWebClientProtocol) et montre comment l’import dynamique de WSDL génère des proxies SOAP vulnérables menant à des écritures arbitraires de fichiers et à des compromissions. Le cœur du problème est un mauvais cast dans HttpWebClientProtocol.GetWebRequest: au lieu de forcer un HttpWebRequest, le code retourne un WebRequest pouvant devenir un FileWebRequest si l’URL utilise file://. Résultat: les classes dérivées (SoapHttpClientProtocol, HttpPostClientProtocol, etc.) peuvent écrire sur le disque ou relayer NTLM au lieu d’émettre des requêtes HTTP/S. L’impact principal est une écriture arbitraire de fichier (notamment via POST/SOAP) et le NTLM relaying/fuite de challenge. ...

Selon le blog de Korben (8 décembre 2025), des chercheurs de l’Université de Vienne ont présenté « Careless Whisper », une attaque récompensée Best Paper à RAID 2025, montrant comment exploiter les accusés de réception de WhatsApp (et Signal) pour surveiller un utilisateur à distance sans notification. • L’attaque s’appuie sur des accusés de réception silencieux déclenchés via l’envoi de réactions à des messages inexistants. L’utilisateur ne voit rien (pas de notif, pas de message visible), tandis que l’attaquant mesure les temps de réponse du téléphone pour en tirer des informations. 🕵️ ...

Selon Malanta (équipe de recherche), dans une publication datée du 3 décembre 2025, une opération de type APT indonésienne, active depuis au moins 2011, alimente un écosystème cybercriminel géant mêlant jeux d’argent illégaux, détournement d’infrastructures Web, distribution d’APK Android malveillants et techniques furtives de proxy TLS sur des sous-domaines gouvernementaux. L’étude met en évidence une infrastructure massive et persistante: 328 039 domaines au total, dont 236 433 dédiés aux sites de jeux, 90 125 domaines compromis et 1 481 sous‑domaines détournés. L’acteur exploite le SEO, des domaines lookalikes (480 identifiés), et une automatisation avec génération de contenus (IA) pour la pérennité et l’échelle. Plus de 51 000 identifiants volés liés à cet écosystème ont été retrouvés sur des forums du dark web. ...