Publication De Recherche

Selon Check Point Research, un nouveau groupe de ransomware nommé « Yurei » a été découvert le 5 septembre, avec une première victime affichée sur son blog clandestin. 🚨 Découverte: Le groupe Yurei (nommé d’après un esprit du folklore japonais) a été identifié le 5 septembre. Il a initialement revendiqué l’attaque d’une entreprise sri-lankaise de fabrication alimentaire. Fonctionnement du blog: Le blog sur le darknet sert à lister les victimes, à publier des preuves de compromission (par exemple des captures d’écran de documents internes) et à offrir une interface de chat sécurisée pour les négociations avec les opérateurs. ...

Source : TrustedSec — Dans une analyse technique, les chercheurs décrivent une méthode d’exploitation de Windows Server Update Services (WSUS) par relais NTLM permettant de capter des identifiants de machines (et parfois d’utilisateurs) et de les relayer vers d’autres services d’entreprise. L’attaque s’appuie sur un attaquant présent sur le réseau local réalisant de l’ARP/DNS spoofing pour intercepter le trafic WSUS. Les communications des clients WSUS sont redirigées vers un listener ntlmrelayx contrôlé par l’attaquant, ce qui expose les flux d’authentification NTLM. ...

Source: Ethiack (blog). Recherche de Bruno Mendes (04/08/2025) détaillant une technique d’injection JavaScript/XSS via pollution de paramètres HTTP en ASP.NET pour contourner des WAF, avec tests sur 17 configurations et essais d’un hackbot autonome. 🧩 Technique et vecteur: la pollution de paramètres HTTP exploite les différences de parsing entre WAF, ASP.NET et navigateur. En ASP.NET, des paramètres duplicés sont concaténés par des virgules (HttpUtility.ParseQueryString), ce qui, combiné à l’opérateur virgule en JavaScript, permet d’assembler un code exécutable sans déclencher des signatures WAF. Exemple: /?q=1’&q=alert(1)&q=‘2 devient 1’,alert(1),‘2 dans une chaîne JS, exécutant alert(1). ...

Selon Binarly Research, une étude sur l’écosystème UEFI met en évidence une faiblesse systémique de Secure Boot: des modules signés, notamment des shells UEFI, peuvent être exploités pour contourner la vérification de signature et exécuter du code non signé au niveau firmware. Découverte clé: plus de 30 shells UEFI signés et approuvés chez de grands OEM créent des vecteurs d’attaque. L’analyse de 4 000 images firmware montre que les plateformes modernes font confiance à environ 1 500 modules signés en moyenne (certaines dépassent 4 000), élargissant fortement la surface d’attaque. Des centaines d’appareils de sept OEM sont concernés. 🔐 ...

Source : Imperva (blog) — Dans une analyse dédiée à la sécurité des API, Imperva publie des constats et correctifs concrets sur les risques d’authentification, avec un focus sur l’usage des JWT (JSON Web Token) et les mauvaises configurations courantes. • Constat principal : 46% des vulnérabilités d’authentification proviennent de JWT contenant des données sensibles (PII, informations financières, IDs gouvernementaux) exposées via un simple encodage base64 plutôt que chiffrées. D’autres risques majeurs incluent les tokens longue durée (21%) et les algorithmes de signature faibles (19%). ...

Source et contexte — L’Australian Institute of Criminology (AIC), dans sa série « Trends & issues in crime and criminal justice » n°719 (septembre 2025), publie une étude quantitative sur les groupes de rançongiciels visant des organisations en Australie, Canada, Nouvelle‑Zélande et Royaume‑Uni entre 2020 et 2022, à partir des données issues des sites d’extorsion suivis par Recorded Future et d’autres sources ouvertes (865 attaques au total). Les secteurs victimes ont été catégorisés via gpt‑3.5‑turbo (validation 89%). ...

Selon Trustwave SpiderLabs (SpiderLabs Blog), des chercheurs détaillent comment des IA intégrées aux SOC et SIEM peuvent être détournées par injection de prompt indirecte à travers des journaux influencés par l’utilisateur. Les auteurs expliquent que des instructions malveillantes insérées dans des logs (ex. en-têtes HTTP, requêtes GET, tentatives d’authentification SSH) sont traitées comme des commandes légitimes par des LLM utilisés dans des chatbots et systèmes RAG pour l’analyse sécurité. Résultat: l’IA peut cacher des attaques, modifier des détails d’événements ou créer de faux incidents 🛑. ...

Selon StepSecurity (billet de blog), des chercheurs ont mis au jour la campagne GhostAction, une attaque coordonnée exploitant des workflows GitHub Actions malveillants pour exfiltrer des secrets CI/CD à grande échelle. L’attaque repose sur des workflows GitHub Actions injectés et déguisés en améliorations de sécurité, déclenchés sur push et workflow_dispatch. Chaque workflow contenait des commandes curl qui envoyaient les secrets du dépôt vers un point de collecte contrôlé par l’attaquant. ...

Selon Censys (blog Censys), des chercheurs ont découvert plus de 330 appareils Ubiquiti affichant des bannières de défacement, révélant des compromissions en cours dont certaines remontent à des campagnes de 2016. Les appareils affectés sont majoritairement hébergés sur des FAI grand public aux États‑Unis et en Europe de l’Est, malgré une baisse de 75 % du nombre d’hôtes touchés depuis 2022. Les vecteurs mis en évidence par les bannières incluent notamment des identifiants par défaut (ubnt:ubnt), la réutilisation et la faiblesse de mots de passe, ainsi que des infections par malware dont le ver MF (CVE-2015-9266). Ces éléments pointent vers des compromissions opportunistes et des mauvaises pratiques d’hygiène de mots de passe. 🚨 ...

Source: CrowdStrike (blog). CrowdStrike présente EMBER2024, une mise à jour majeure du jeu de données EMBER pour l’entraînement et l’évaluation de modèles de détection de malwares, avec plus de 3,2 millions de fichiers couvrant six formats (Win32, Win64, .NET, APK, PDF, ELF) et des étiquettes adaptées à sept tâches de classification (dont détection de malware, classification par famille, identification de comportements), incluant l’évaluation face à des échantillons évasifs. Points clés 🧠 ...