Selon Gen Blogs (gendigital.com), Threat Research Team, le 19 novembre 2025, de nouveaux éléments indiquent un possible chevauchement d’infrastructure entre les APT russes Gamaredon et nord-coréens Lazarus, pointant vers une étape inédite de coopération transnationale dans le cyberespace. Le 24 juillet 2025, les systèmes de Gen, qui suivent les serveurs C2 de Gamaredon via des canaux Telegram/Telegraph connus, ont bloqué l’IP 144[.]172[.]112[.]106. Quatre jours plus tard (28 juillet), le même serveur hébergeait une version obfusquée d’InvisibleFerret (attribué à Lazarus), livrée via une structure d’URL identique à celle de la campagne ContagiousInterview (leurres de recrutement). Bien que l’IP puisse être un proxy/VPN, la proximité temporelle et le schéma d’hébergement partagé suggèrent une réutilisation d’infrastructure et, avec une confiance modérée, une collaboration opérationnelle. Il reste indéterminé si Lazarus a utilisé un serveur contrôlé par Gamaredon ou un même point client partagé. ...

Selon The Cyber Express, la CISA a ajouté CVE-2025-61757 à sa base Known Exploited Vulnerabilities (KEV) après que le SANS Internet Storm Center a observé des tentatives d’exploitation, tandis que des recherches de Searchlight Cyber détaillent le mécanisme et la facilité d’exploitation de la faille. • La vulnérabilité CVE-2025-61757 (score 9,8, « Missing Authentication for Critical Function ») affecte le composant REST WebServices d’Oracle Identity Manager au sein d’Oracle Fusion Middleware versions 12.2.1.4.0 et 14.1.2.1.0. Elle permet une exécution de code à distance pré-authentification (RCE) via HTTP, pouvant mener à la prise de contrôle d’Identity Manager. Oracle a corrigé la faille dans sa mise à jour CPU d’octobre. ⚠️ ...

Selon un avertissement de la CISA (cisa.gov) daté du 24 novembre 2025, plusieurs acteurs menaçants utilisent des logiciels espions commerciaux pour cibler les utilisateurs d’applications de messagerie mobile, avec des techniques avancées de ciblage et d’ingénierie sociale. 🔔 Les acteurs cherchent à obtenir un accès non autorisé aux apps de messagerie afin de faciliter le déploiement de charges malveillantes supplémentaires pouvant compromettre davantage l’appareil mobile. Objectif principal: prise de contrôle de comptes de messagerie et déploiement de payloads additionnels sur les terminaux. 📱🕵️ ...

Source: Huntress (huntress.com). Contexte: les chercheurs Ben Folland et Anna Pham publient une analyse technique d’une campagne ClickFix multi-étapes observée depuis octobre 2025, où des leurres « Human Verification » et un faux écran « Windows Update » amènent les victimes à exécuter une commande malveillante, débouchant sur le déploiement d’infostealers (LummaC2, Rhadamanthys). • Chaîne d’exécution en 5 étapes 🧩 Étape 1 (mshta.exe): exécution d’un JScript depuis une URL (2e octet de l’IP en hex), qui lance PowerShell en mémoire. Étape 2 (PowerShell): charge et décrypte un assembly .NET (reflective load) après obfuscation/junk code. Étape 3 (loader .NET stéganographique): extrait une image PNG chiffrée AES depuis les ressources, puis récupère le shellcode caché dans les données de pixels (canal R) via un algorithme personnalisé (XOR 114 avec 255 - red), tout en déchiffrant configs/strings (clé AES 909cdc682e43492e, IV 01fe83e20bbe47f2). Étape 4 (injection): compilation dynamique de C# et injection de processus (VirtualAllocEx, CreateProcessA, WriteProcessMemory, CreateRemoteThread, etc.) dans explorer.exe. Étape 5 (Donut): le shellcode est packé Donut et charge la charge finale: LummaC2 (dans les cas initiaux) ou Rhadamanthys (pour le leurre Windows Update). • Leurre et techniques clés 🎭🖼️ ...

Source: AISLE — AISLE détaille la découverte d’une vulnérabilité critique, CVE-2025-13016, dans l’implémentation WebAssembly de Firefox, introduite en avril 2025 et restée indétectée pendant environ 6 mois malgré un test de régression. La faille, notée CVSS 7.5 (High), permet une exécution de code arbitraire et affecte des centaines de millions d’utilisateurs (Firefox 143–début 145 et ESR 140.0–140.4). 🛡️ Détails techniques. La vulnérabilité réside dans la classe template StableWasmArrayObjectElements (js/src/wasm/WasmGcObject.h, ligne 532 vulnérable). Deux erreurs clés: 1) arithmétique de pointeurs incorrecte via un std::copy mélangeant uint8_t* et uint16_t*, provoquant une écriture hors limites (stack buffer overflow) en copiant numElements_ * sizeof(T) éléments au lieu d’octets; 2) mauvaise source de données: utilisation de inlineStorage() (incluant un DataHeader) au lieu de addressOfInlineData()/inlineArrayElements<T>(). Le chemin vulnérable est déclenché lors du fallback GC dans Instance::stringFromCharCodeArray quand l’allocation NoGC échoue sous pression mémoire/GC. ...

Selon l’AhnLab Security Intelligence Center (ASEC), dans un rapport publié la semaine dernière, des acteurs malveillants ont profité d’une vulnérabilité récemment corrigée dans Microsoft Windows Server Update Services (WSUS), identifiée comme CVE-2025-59287, pour distribuer le malware ShadowPad. Cible et vecteur initial : des serveurs Windows avec WSUS activé ont été visés, l’exploitation de CVE-2025-59287 servant à l’accès initial. Outils et charges : après l’intrusion, les attaquants ont utilisé PowerCat (outil open-source) et ont déployé ShadowPad. ...

Contexte: KrebsOnSecurity publie une enquête sur des boîtiers Android TV (Superbox et modèles similaires) vendus sur de grandes places de marché et susceptibles d’intégrer des composants qui transforment les réseaux des utilisateurs en proxys résidentiels exploités pour des activités illicites. • Les boîtiers Superbox sont commercialisés ~400 $ avec la promesse d’accéder à plus de 2 200 services, mais requièrent le remplacement du Google Play Store par un « App Store/Blue TV Store » non officiel. Des experts indiquent que ces appareils relaient du trafic tiers via un réseau proxy résidentiel (ex. Grass/getgrass[.]io), malgré l’affirmation du fabricant qu’il ne fournit que le matériel et n’installe pas d’apps contournant les paywalls. ...

Selon Politico.eu, un groupe transpartisan de 38 eurodéputés va demander à la présidente du Parlement européen de remplacer les logiciels de Microsoft et certains équipements Dell, HP et LG par des alternatives européennes, au nom de la souveraineté et de la sécurité numériques, dans un contexte de pressions et de concessions numériques discutées avec les États-Unis à Bruxelles. Les signataires estiment que la domination de quelques géants technologiques américains constitue une vulnérabilité stratégique pour l’Europe, pouvant être « coupée, surveillée ou instrumentalisée politiquement » du jour au lendemain. Ils affirment que le Parlement, avec ses moyens, peut « galvaniser » une transition vers des solutions européennes et « cesser de canaliser des milliards d’argent public à l’étranger ». ...

Selon SWI swissinfo.ch (25 novembre 2025), Dominika Blonski, préposée à la protection des données de Zurich, met en garde les autorités suisses contre les risques liés à l’adoption de services IT de fournisseurs américains. Blonski souligne une adoption croissante de solutions de Microsoft et Amazon par des cantons (Zurich, Berne, Argovie; Bâle vient de s’engager; Lucerne débat encore) et de nombreuses communes, souvent sans évaluation complète préalable des risques. Elle observe que la prudence initiale des autorités locales s’est estompée. ...

Selon Aikido (blog Aikido.dev), une « seconde frappe » de la campagne Shai‑Hulud a été détectée le 24 novembre 2025, opportunément calée avant la révocation des « classic tokens » npm prévue le 9 décembre, alors que de nombreux éditeurs n’avaient pas encore migré vers Trusted Publishing. • Nature de l’attaque: ver npm auto‑réplicant visant la chaîne d’approvisionnement. Une fois installé (pendant l’installation des dépendances), il cherche des secrets (API keys, tokens cloud, GitHub/npm) via TruffleHog, exfiltre vers des dépôts GitHub publics et tente de publier de nouveaux paquets npm infectés pour se propager. L’attaquant nomme cette vague « Second Coming » et a exposé environ 26,3k dépôts GitHub contenant des secrets avec la description « Sha1‑Hulud: The Second Coming ». ...