Publication De Recherche

L’article de Praetorian met en lumière une nouvelle technique de phishing exploitant le flux de code d’appareil OAuth2 de GitHub pour accéder aux comptes des utilisateurs et potentiellement compromettre la chaîne d’approvisionnement des organisations. GitHub Device Code Phishing est une évolution des attaques similaires menées contre les environnements Microsoft. Les attaquants génèrent un code d’appareil via l’API OAuth de GitHub, puis utilisent des techniques de social engineering pour inciter les utilisateurs à autoriser l’accès, leur permettant ainsi de récupérer un jeton OAuth. ...

Le rapport annuel de Rubrik Zero Labs, intitulé The State of Data Security in 2025: A Distributed Crisis, met en lumière la situation préoccupante de la cybersécurité en Australie. Selon cette étude rapporté par le media Securitybrief, basée sur des entretiens avec plus de 1 600 responsables informatiques et de sécurité dans 10 pays, plus de 90 % des organisations australiennes ciblées par des ransomwares ont choisi de payer les rançons au cours de l’année écoulée. Cette statistique souligne une vulnérabilité critique dans la capacité des entreprises à se défendre et à se remettre des attaques. ...

Aim Labs a récemment découvert une vulnérabilité critique appelée ‘EchoLeak’ dans Microsoft 365 (M365) Copilot. Cette faille permet à des attaquants d’exploiter des chaînes d’attaque pour extraire automatiquement des informations sensibles du contexte de M365 Copilot, sans que l’utilisateur en soit conscient. La technique d’exploitation, nommée ‘LLM Scope Violation’, représente une avancée majeure dans la recherche sur les attaques contre les agents d’IA, en exploitant les mécanismes internes des modèles. Cela pourrait avoir des manifestations supplémentaires dans d’autres chatbots et agents basés sur RAG. ...

Le rapport publié par SentinelLABS met en lumière des clusters de menaces liés aux opérateurs PurpleHaze et ShadowPad qui ciblent diverses organisations, y compris des vendeurs de cybersécurité. En octobre 2024, SentinelLABS a observé et contré une opération de reconnaissance visant SentinelOne, faisant partie du cluster d’activités PurpleHaze. Au début de 2025, une intrusion liée à une opération plus large de ShadowPad a été identifiée et perturbée, affectant une organisation gérant la logistique matérielle pour les employés de SentinelOne. ...

L’article provient du blog de RedTeam Pentesting GmbH et décrit une nouvelle vulnérabilité appelée Reflective Kerberos Relay Attack (CVE-2025-33073) découverte en janvier 2025. Cette vulnérabilité permet de contourner les restrictions mises en place pour empêcher le relais NTLM en utilisant Kerberos à la place. L’attaque repose sur la coercition d’un hôte Windows à s’authentifier via SMB, permettant ainsi de relayer le ticket Kerberos du compte de l’ordinateur vers l’hôte d’origine. Cela aboutit à l’obtention des privilèges NT AUTHORITY\SYSTEM et à l’exécution de code à distance. Un patch pour cette vulnérabilité a été publié par Microsoft le 10 juin 2025. ...

L’article provient de Cato CTRL™ et met en lumière une nouvelle menace dans le domaine de la cybersécurité : la plateforme Nytheon AI, découverte sur le réseau Tor, qui utilise des modèles de langage de grande taille (LLMs) non censurés pour des activités malveillantes. Nytheon AI est une plateforme qui combine divers modèles de langage et technologies pour fournir des services tels que la génération de code, la reconnaissance d’image, et la traduction de documents. Ces modèles sont dérivés de sources open-source comme Meta et Google, mais ont été modifiés pour éliminer les mesures de sécurité et permettre la création de contenu illégal dès la première tentative. ...

Le rapport technique de Sekoia.io, publié en juin 2025, met en lumière l’évolution des attaques de phishing de type Adversary-in-the-Middle (AitM). Ces attaques visent principalement les comptes Microsoft 365 et Google, en exploitant des kits de phishing sophistiqués pour contourner l’authentification multi-facteurs (MFA). Les attaques AitM se concentrent sur le vol de cookies de session pour accéder aux comptes des victimes sans nécessiter de nouvelle authentification. Le rapport souligne la prolifération des offres de Phishing-as-a-Service (PhaaS), qui permettent à des cybercriminels, même peu expérimentés, d’accéder à des kits de phishing avancés à moindre coût. ...

L’article publié par le Threat Research Center de Palo Alto Networks le 6 juin 2025, offre une analyse approfondie du malware Blitz, découvert en 2024 et toujours en développement actif en 2025. Ce malware cible les utilisateurs de triches de jeux en utilisant des logiciels de triche compromis pour se propager. Blitz est un malware en deux étapes : un téléchargeur et un bot. Le bot permet de contrôler un hôte Windows infecté et dispose de fonctionnalités telles que le vol d’informations, la capture d’écran et les attaques par déni de service (DoS). Le malware utilise la plateforme Hugging Face Spaces pour héberger ses composants et son infrastructure de commande et contrôle (C2). ...

L’équipe de recherche sur les menaces de Socket a mis en lumière une menace sérieuse concernant des packages npm malveillants. Ces packages, publiés par un utilisateur npm sous le pseudonyme botsailer, utilisent l’email anupm019@gmail[.]com pour se faire passer pour des utilitaires légitimes. Les deux packages concernés, express-api-sync et system-health-sync-api, contiennent des portes dérobées qui enregistrent des endpoints cachés. Ces endpoints, lorsqu’ils sont activés avec les bonnes informations d’identification, exécutent des commandes de suppression de fichiers qui peuvent effacer des répertoires entiers d’applications, causant ainsi des dommages potentiellement dévastateurs aux systèmes de production. ...

Selon une publication de Malwarebytes, des cybercriminels exploitent la saison des vacances pour lancer une campagne de redirection via des sites de jeux et des réseaux sociaux vers de faux sites se faisant passer pour Booking.com. Cette campagne a commencé à mi-mai et les destinations de redirection changent tous les deux à trois jours. Les utilisateurs sont dirigés vers des sites utilisant une fausse CAPTCHA pour accéder au presse-papiers des visiteurs et les inciter à exécuter un commande PowerShell malveillante. Cette commande télécharge et exécute un fichier détecté comme Backdoor.AsyncRAT, permettant aux attaquants de contrôler à distance les appareils infectés. ...