International

Selon la source fournie, REM Proxy, un réseau de proxys à visée criminelle, est présenté comme l’un des principaux utilisateurs du botnet SystemBC, offrant à ses clients environ 80 % du réseau SystemBC. Le service commercialise un pool de 20 000 routeurs Mikrotik et agrège également des proxys ouverts trouvés en ligne. REM Proxy est décrit comme populaire auprès d’acteurs malveillants, notamment ceux derrière TransferLoader, lié au groupe de ransomware Morpheus. ...

Selon BleepingComputer (Sergiu Gatlan, 23 septembre 2025), SonicWall a publié un nouveau firmware pour les appliances SMA 100 afin d’aider à retirer un rootkit observé dans des attaques récentes. 🛡️ SonicWall annonce la version de firmware SMA 100 10.2.2.2-92sv avec vérifications de fichiers renforcées permettant de retirer des rootkits connus présents sur les équipements. L’éditeur recommande fortement la mise à niveau pour les SMA 210, 410 et 500v. 🔎 Contexte menace: en juillet, le Google Threat Intelligence Group (GTIG) a observé l’acteur UNC6148 déployer le malware OVERSTEP sur des appareils SMA 100 en fin de vie, dont le support se termine le 1er octobre 2025. OVERSTEP est un rootkit en mode utilisateur qui assure une persistance (composants cachés, reverse shell) et exfiltre des fichiers sensibles (dont les fichiers persist.database et certificats), exposant identifiants, graines OTP et certificats. ...

Selon la Zero Day Initiative (Trend Micro), une vulnérabilité critique CVE-2025-23298 affecte la bibliothèque NVIDIA Transformers4Rec et permet une exécution de code à distance avec privilèges root lors du chargement de checkpoints de modèles, un correctif ayant été publié par NVIDIA. La faille provient de la fonction load_model_trainer_states_from_checkpoint qui utilise torch.load() sans paramètres de sûreté. Ce chargement désérialise directement des données pickle, ce qui autorise des fichiers de checkpoint malveillants à exécuter du code arbitraire via la méthode reduce de pickle pendant la désérialisation. L’exploit démontré intègre des commandes os.system dans des objets state_dict du modèle. ...

Selon The Record, la semaine dernière, des experts en cybersécurité et des entreprises technologiques ont tiré la sonnette d’alarme au sujet d’une vaste compromission de la chaîne d’approvisionnement logicielle. Au cœur de l’incident se trouve Shai-Hulud, un ver auto-réplicant utilisé pour infecter plus de 500 paquets intégrés à divers logiciels. 🐛 La CISA a publié une alerte urgente concernant une attaque de chaîne d’approvisionnement logicielle baptisée Shai-Hulud, qui a compromis plus de 500 packages npm utilisés par des développeurs à travers le monde. Cette attaque repose sur un ver auto-réplicatif capable d’insérer du code malveillant dans des bibliothèques logicielles, compromettant ainsi les projets qui les utilisent. Une fois en place, le malware volait des identifiants sensibles (tokens GitHub, clés API de services cloud, etc.) et les diffusait publiquement, permettant aux attaquants de prendre le contrôle d’autres environnements de développement. ...

Source: D3Lab. Dans les derniers jours, l’équipe Cyber Threat Intelligence de D3Lab a détecté une campagne de phishing visant Facebook Business. L’élément mis en avant est l’utilisation de l’infrastructure de Salesforce — un des principaux CRM au monde — comme vecteur, ce qui rend la campagne particulièrement insidieuse. 🎣☁️ Une récente campagne de phishing ciblant Facebook Business a été détectée, exploitant de façon ingénieuse l’infrastructure légitime de Salesforce. Les emails frauduleux proviennent d’adresses totalement authentiques comme noreply@salesforce.com et parviennent à passer tous les contrôles de sécurité standards (SPF), ce qui les rend particulièrement difficiles à identifier et bloquer. Les cybercriminels obtiennent un accès à Salesforce via l’offre de démonstration gratuite, puis l’utilisent pour envoyer des notifications qui semblent officielles et fiables. ...

Selon BleepingComputer, Cloudflare a atténué une attaque par déni de service distribué (DDoS) ayant atteint un pic record de 22,2 Tbps et 10,6 milliards de paquets par seconde (Bpps). Cloudflare a récemment repoussé une attaque par déni de service distribué (DDoS) record culminant à 22,2 térabits par seconde (Tbps) et 10,6 milliards de paquets par seconde (Bpps), soit près du double de la précédente attaque record de 11,5 Tbps. Cette attaque hyper-volumétrique, qui a visé une seule adresse IP d’une entreprise européenne d’infrastructure réseau, a duré seulement 40 secondes mais a généré un flux massif équivalant à un million de vidéos 4K diffusées en simultané. Le volume extrêmement élevé de paquets rend l’attaque particulièrement difficile à filtrer pour les équipements réseau, notamment les pare-feux et routeurs. ...

Source: Darktrace. Les chercheurs détaillent « ShadowV2 », une campagne cybercriminelle qui industrialise le DDoS via une stack moderne (Python/Go/FastAPI) et une utilisation opportuniste d’infrastructures cloud et DevOps. Cette opération démarre par l’exploitation de daemons Docker exposés sur AWS EC2 via un script Python exécuté depuis GitHub CodesSpaces 🐳☁️. Elle déploie un malware containerisé incluant un RAT en Go qui communique en REST avec son C2. Le RAT Go intègre des capacités DDoS avancées : HTTP/2 rapid reset, contournement du mode “Under Attack” de Cloudflare, et floods HTTP à grande échelle 🚀. L’ensemble suggère une plateforme opérationnelle et scalable. ...

Source: news.sophos.com (Ross McKerchar) — Sophos décrit un incident survenu en mars 2025 où un employé a été piégé par un e‑mail de phishing, a saisi ses identifiants sur une fausse page de connexion, permettant un contournement de MFA, et détaille comment l’attaque a été contenue par une défense de bout en bout. Un RCA (root cause analysis) externe est publié sur le Trust Center. • Incident: un hameçonnage a conduit à la saisie d’identifiants sur une page factice, suivi d’un contournement de l’authentification multifacteur. L’acteur menaçant a tenté d’entrer dans le réseau mais a échoué 🛡️. ...

Wired rapporte une nouvelle tendance: des groupes criminels utilisent des « SMS blasters » — de faux relais mobiles — pour diffuser en masse des SMS frauduleux, malgré le durcissement des filtres anti-spam des opérateurs. Ces appareils jouent le rôle d’antennes-relais illégitimes (cell-site simulators, proches des IMSI catchers). Ils forcent les smartphones à se connecter en 4G, puis imposent une rétrogradation vers le 2G, protocole plus faible, afin de pousser des SMS malveillants (smishing). Le cycle complet — capture 4G, downgrade 2G, envoi du SMS puis libération — prend moins de 10 secondes. ...

Source: SANS Internet Storm Center (Diary du 2025-09-21) par Johannes Ullrich. Contexte: retour sur une campagne de phishing en cours contre des comptes développeurs NPM et sur les méthodes d’authentification résistantes au phishing. — Faits rapportés: des e‑mails de phishing bien rédigés et une page de destination convaincante ont suffi pour piéger des développeurs NPM. Le domaine « npmjs.help » a été utilisé, et « npmjs.cam » (TLD .CAM et non .COM) a été enregistré peu après, même si ce dernier n’est pas joignable au moment évoqué. 🎣 ...