Publication De Recherche

L’alerte de Satori Threat Intelligence a révélé une opération de fraude publicitaire mobile sophistiquée nommée IconAds. Cette opération impliquait 352 applications qui affichaient des publicités hors contexte sur les écrans des utilisateurs tout en cachant les icônes des applications, rendant difficile leur identification et suppression. IconAds a été une expansion d’une opération surveillée depuis 2023. À son apogée, elle représentait 1,2 milliard de requêtes d’enchères par jour, avec un trafic principalement issu du Brésil, du Mexique et des États-Unis. Google a supprimé toutes les applications identifiées du Google Play Store, protégeant ainsi les utilisateurs via Google Play Protect. ...

Cet article de recherche publié par l’équipe de recherche sur les menaces de Splunk explore les tactiques d’évasion et l’évolution du malware XWorm, un cheval de Troie d’accès à distance (RAT) utilisé par des cybercriminels. XWorm est connu pour sa capacité à enregistrer les frappes clavier, accéder à distance à un bureau, exfiltrer des données et exécuter des commandes. Il est souvent utilisé par des acteurs malveillants ciblant les chaînes d’approvisionnement logicielles et l’industrie du jeu vidéo. Une campagne notable a vu XWorm utilisé en tandem avec AsyncRAT pour déployer des charges utiles de ransomware LockBit Black. ...

ESET Research a publié une analyse détaillée des opérations de cyberespionnage menées par le groupe Gamaredon en 2024, ciblant exclusivement les institutions gouvernementales ukrainiennes. Cette analyse met en lumière l’évolution des outils et des techniques utilisées par ce groupe aligné sur les intérêts géopolitiques russes. Gamaredon a intensifié ses campagnes de spearphishing en 2024, en augmentant l’échelle et la fréquence des attaques. Ils ont utilisé de nouvelles méthodes de livraison, telles que des hyperliens malveillants et des fichiers LNK exécutant des commandes PowerShell à partir de domaines hébergés par Cloudflare. Six nouveaux outils malveillants ont été introduits, axés sur la furtivité, la persistance et le mouvement latéral. ...

Cet article publié par Avi Lumelsky sur Oligo Security Research met en lumière une vulnérabilité critique d’exécution de code à distance (RCE) identifiée dans le MCP Inspector d’Anthropic. Cette faille, référencée sous le code CVE-2025-49596, a un score CVSS de 9.4, indiquant son niveau de gravité élevé. La vulnérabilité permet à des attaquants de réaliser des attaques basées sur le navigateur en exploitant des failles de rebinding DNS et de configuration par défaut non sécurisée. En visitant un site web malveillant, un développeur utilisant MCP Inspector pourrait voir son système compromis, permettant à un attaquant d’exécuter des commandes arbitraires, de voler des données, ou d’installer des portes dérobées. ...

Cet article, rédigé par Dave Cossa, un opérateur senior en red teaming chez X-Force Adversary Services, explore les vulnérabilités potentielles d’Azure Arc, un service de Microsoft permettant la gestion de ressources hybrides. Azure Arc est conçu pour étendre les capacités de gestion natives d’Azure à des ressources non-Azure, telles que des systèmes sur site et des clusters Kubernetes. Cependant, des mauvais configurations dans son déploiement peuvent permettre une escalade de privilèges et l’utilisation d’un Service Principal surprovisionné pour exécuter du code. ...

L’actualité publiée par Koi Security révèle une campagne malveillante de grande envergure impliquant plus de 40 extensions Firefox falsifiées, conçues pour voler les identifiants de portefeuilles de cryptomonnaie. Ces extensions se font passer pour des outils légitimes de plateformes populaires comme Coinbase, MetaMask, et Trust Wallet. Les extensions malveillantes, une fois installées, exfiltrent discrètement les secrets des portefeuilles vers un serveur distant contrôlé par l’attaquant, mettant ainsi en danger immédiat les actifs des utilisateurs. La campagne, active depuis au moins avril 2025, continue de sévir avec de nouvelles extensions malveillantes régulièrement ajoutées à la boutique Firefox Add-ons. ...

L’article publié par Dennis Heinze et Frieder Steinmetz le 26 juin 2025 met en lumière des vulnérabilités critiques découvertes dans les appareils audio Bluetooth utilisant les SoCs Airoha. Ces vulnérabilités ont été présentées lors de la conférence TROOPERS. Les appareils concernés, tels que les casques et écouteurs Bluetooth, exposent un protocole personnalisé permettant la manipulation du dispositif, notamment la lecture et l’écriture en mémoire RAM et flash. Ces failles sont accessibles via Bluetooth sans nécessiter d’authentification, rendant possible la compromission des appareils à portée de Bluetooth. ...

L’article de Silent Push, publié le 2 juillet 2025, révèle les détails d’une campagne de phishing orchestrée par un groupe de menaces, soupçonné d’être basé en Chine, visant à usurper l’identité de marques de commerce électronique bien connues. Les analystes de Silent Push ont découvert cette campagne après avoir suivi une piste fournie par le journaliste mexicain Ignacio Gómez Villaseñor. Initialement ciblant l’événement de vente ‘Hot Sale 2025’ au Mexique, la campagne s’est avérée être bien plus vaste, visant un public mondial avec des sites en anglais et en espagnol. Les sites frauduleux imitent des marques telles que Apple, Harbor Freight Tools, Michael Kors, REI, Wayfair, et Wrangler Jeans. ...

L’article publié par Check Point Research met en lumière les activités du groupe de menace iranien Educated Manticore, associé aux Gardiens de la Révolution Islamique. Ce groupe a intensifié ses attaques de spear-phishing contre des cibles israéliennes, notamment des journalistes, des experts en cybersécurité et des professeurs d’université. Les attaquants se font passer pour des assistants fictifs de cadres technologiques ou de chercheurs, utilisant des emails et des messages WhatsApp pour approcher leurs cibles. Ils dirigent ensuite les victimes vers de fausses pages de connexion Gmail ou des invitations Google Meet, leur permettant de récolter des identifiants et des codes 2FA pour accéder illégalement aux comptes des victimes. ...

Cette actualité, publiée par un média spécialisé, met en lumière la découverte d’une nouvelle méthode d’attaque par navigateur appelée FileFix, présentée par le chercheur mrd0x. FileFix se distingue par sa capacité à exécuter des commandes directement depuis le navigateur, sans nécessiter l’ouverture d’une boîte de dialogue de commande par la cible. Cette méthode représente une alternative à l’attaque ClickFix, déjà bien connue dans le domaine de la cybersécurité. Le texte ne fournit pas de détails techniques approfondis sur le fonctionnement de FileFix, mais souligne l’importance de cette découverte dans le contexte des menaces croissantes visant les navigateurs web. ...