TransparentTribe cible des entités militaires indiennes avec DeskRAT, un RAT en Go

Selon le blog de Sekoia, le groupe TransparentTribe mĂšne une nouvelle campagne contre des entitĂ©s militaires en Inde, en s’appuyant sur DeskRAT. 🎯 Acteur: TransparentTribe đŸ›Ąïž Cibles: entitĂ©s militaires indiennes đŸč Outil: DeskRAT, un cheval de Troie d’accĂšs Ă  distance (RAT) đŸ’» Technologie: dĂ©veloppĂ© en Go (Golang) Le billet met en avant le fonctionnement de cette nouvelle campagne et dĂ©taille l’usage de DeskRAT pour permettre un contrĂŽle Ă  distance des systĂšmes ciblĂ©s. ...

23 octobre 2025 Â· 1 min

Un développeur de zero-days chez Trenchant ciblé par un spyware, selon une alerte Apple

Selon TechCrunch (Lorenzo Franceschi-Bicchierai, 21 octobre 2025), un ancien dĂ©veloppeur d’exploits iOS chez Trenchant — filiale de L3Harris — a reçu une alerte d’Apple l’informant d’un ciblage par spyware mercenaire sur son iPhone personnel, peu aprĂšs son licenciement. Le dĂ©veloppeur (pseudonyme « Jay Gibson ») dit avoir reçu la notification le 5 mars et avoir immĂ©diatement Ă©teint l’appareil. Il pourrait s’agir du premier cas documentĂ© d’un concepteur d’exploits/spyware lui-mĂȘme visĂ© par un spyware. Apple n’a pas commentĂ©. ...

23 octobre 2025 Â· 2 min

Warlock : un rançongiciel opĂ©rĂ© depuis la Chine exploite une zero‑day SharePoint (CVE-2025-53770)

Selon l’extrait d’actualitĂ© fourni, le rançongiciel Warlock est attribuĂ© Ă  un acteur basĂ© en Chine et prĂ©sente des liens avec des activitĂ©s malveillantes remontant Ă  2019. Warlock est dĂ©crit comme une menace inhabituelle car, Ă  la diffĂ©rence de nombreuses opĂ©rations de ransomware souvent associĂ©es Ă  la CEI, il semble ĂȘtre utilisĂ© par un groupe basĂ© en Chine 🇹🇳. Bien que son nom soit nouveau (apparition en juin 2025), des connexions avec des activitĂ©s antĂ©rieures et variĂ©es sont mentionnĂ©es. ...

23 octobre 2025 Â· 2 min

Yunex Traffic annonce un accÚs non autorisé à des parties limitées de ses systÚmes de développement

Selon une communication de Yunex Traffic, l’entreprise a rĂ©cemment pris des mesures pour gĂ©rer un accĂšs non autorisĂ© Ă  des parties limitĂ©es de ses systĂšmes IT internes dĂ©diĂ©s au dĂ©veloppement de produits. L’organisation indique avoir immĂ©diatement mis en Ɠuvre des mesures de sĂ©curisation 🔒 et lancĂ© une enquĂȘte approfondie avec l’appui de spĂ©cialistes externes du secteur afin de comprendre ce qui s’est passĂ©. Yunex Traffic prĂ©cise que ses systĂšmes et ses services clients ont toujours Ă©tĂ© et demeurent pleinement opĂ©rationnels ✅. ...

23 octobre 2025 Â· 1 min

MuddyWater déploie Phoenix v4 via macros Word pour espionner plus de 100 entités gouvernementales

Selon Group-IB Threat Intelligence, une campagne d’espionnage attribuĂ©e avec haute confiance Ă  l’APT iranien MuddyWater a ciblĂ© plus de 100 entitĂ©s gouvernementales et des organisations internationales, principalement au Moyen-Orient et en Afrique du Nord, en aoĂ»t 2025. 🚹 Vecteur et kill chain. Les attaquants ont utilisĂ© un compte email compromis (accĂ©dĂ© via NordVPN) pour envoyer de faux courriels avec piĂšces jointes Microsoft Word incitant Ă  « activer le contenu ». L’activation des macros exĂ©cute un VBA dropper qui Ă©crit un loader « FakeUpdate » sur disque. Ce loader dĂ©chiffre et injecte le backdoor Phoenix v4 (nom de fichier sysProcUpdate) qui s’enregistre au C2 screenai[.]online, beaconne en continu et reçoit des commandes via WinHTTP. ...

22 octobre 2025 Â· 3 min

BeaverTail : un faux recruteur IA propage un malware en 5 étapes via LinkedIn et un dépÎt GitHub piégé

Source: Medium (Deriv Tech). Un article de Shantanu dĂ©voile « BeaverTail », une campagne sophistiquĂ©e mĂȘlant ingĂ©nierie sociale (LinkedIn) et dĂ©pĂŽt GitHub piĂ©gĂ© pour compromettre des dĂ©veloppeurs sous couvert d’un test technique. – Le leurre: un faux recruteur (« Tim Morenc, CEDS ») d’une fausse entreprise « DLMind » (org GitHub dlmind-tech) propose un rĂŽle d’« Innovative AI Engineer » et demande de cloner et exĂ©cuter un projet Next.js « MEDIRA ». L’exĂ©cution (npm install / node run dev/build) dĂ©clenche un backdoor cachĂ©. ...

21 octobre 2025 Â· 4 min

Zyxel ATP/USG : exposition de configuration via contournement d’autorisation (CVE-2025-9133)

Source: RainPwn (blog). Le billet prĂ©sente une analyse technique de CVE-2025-9133 affectant les appliances Zyxel ATP/USG, montrant comment le CGI zysh-cgi autorise un contournement d’autorisation durant la vĂ©rification 2FA, exposant la configuration systĂšme. ‱ VulnĂ©rabilitĂ©: bypass d’autorisation dans le flux 2FA via zysh-cgi, dĂ» Ă  une validation par prĂ©fixe (strncmp) des commandes et l’absence de tokenisation. En chaĂźnant des commandes avec «;», un utilisateur partiellement authentifiĂ© peut exĂ©cuter des commandes non autorisĂ©es comme show running-config, malgrĂ© une allowlist restrictive pour le profil usr_type 0x14. ...

21 octobre 2025 Â· 2 min

Autoswagger: un outil pour détecter des endpoints OpenAPI/Swagger non authentifiés

Selon Darknet (darknet.org.uk), l’article prĂ©sente « Autoswagger », un outil conçu pour trouver et tester des spĂ©cifications OpenAPI/Swagger afin d’identifier des endpoints non authentifiĂ©s, des fuites de PII et des secrets. L’accent est mis sur la capacitĂ© de l’outil Ă  automatiser la dĂ©couverte et la validation de points d’API exposĂ©s Ă  partir de specs OpenAPI/Swagger, afin de rĂ©vĂ©ler des expositions non protĂ©gĂ©es et des informations sensibles. L’article inclut: Le tooling nĂ©cessaire pour l’utiliser 🧰 Les Ă©tapes d’installation 📩 Un scĂ©nario d’attaque illustratif 🎯 Aucun IOC ou TTP spĂ©cifique n’est fourni dans l’extrait. ...

20 octobre 2025 Â· 1 min

Bilan 2024/2025 des compromissions open source : phishing, handoff de contrĂŽle et GitHub Actions en cause

Source: filippo.io (Filippo Valsorda). L’auteur analyse les compromissions de la chaĂźne d’approvisionnement open source sur 2024/2025, en recensant des cas concrets et en les classant par causes racines afin d’identifier des mitigations actionnables pour les mainteneurs. Principales causes identifiĂ©es: phishing (le vecteur le plus frĂ©quent, y compris contre 2FA TOTP), control handoff (transfert d’accĂšs/contrĂŽle Ă  un acteur malveillant), et dĂ©clencheurs GitHub Actions privilĂ©giĂ©s comme pull_request_target et certains issue_comment conduisant Ă  des injections shell. Les jetons Ă  longue durĂ©e de vie (exfiltration et rĂ©utilisation), l’usurpation de Dependabot, la rĂ©surrection de domaines/identifiants, et des facteurs aggravants (tags d’Actions mutables, scripts post-install npm, permissions CI en Ă©criture, artefacts non reproductibles, configuration CI par branche) reviennent rĂ©guliĂšrement. ...

20 octobre 2025 Â· 2 min

CloudConqueror : un outil pour cartographier et abuser de l’API AWS CloudControl

Selon Darknet.org.uk, CloudConqueror est prĂ©sentĂ© comme un outil qui cartographie et abuse de l’API AWS CloudControl pour des activitĂ©s de dĂ©couverte, d’énumĂ©ration de ressources et de persistance. L’article met en avant que l’outil sert autant aux attaquants qu’aux dĂ©fenseurs, en montrant comment tester la couverture de dĂ©tection et renforcer les environnements cloud â˜ïžđŸ›Ąïž. Points clĂ©s mentionnĂ©s: Cartographie de la surface d’attaque de l’API AWS CloudControl. Abus de l’API pour la dĂ©couverte et l’énumĂ©ration de ressources. Mise en place de mĂ©canismes de persistance. TTPs observĂ©s (d’aprĂšs l’extrait): ...

20 octobre 2025 Â· 1 min
Derniùre mise à jour le: 22 Nov 2025 📝