International

Selon Interpol, l’initiative coordonnée « Opération Sentinel » menée entre le 27 octobre et le 27 novembre, avec la participation de 19 pays, a visé des affaires de compromission de courriels professionnels (BEC), d’extorsion et de ransomware. 🚔 Résultats clés: 574 arrestations et 3 millions de dollars récupérés. 🌐 Disruption: plus de 6 000 liens malveillants démantelés. 🔐 Ransomware: six variantes distinctes déchiffrées. 💰 Impact financier: des cas liés à plus de 21 millions de dollars de pertes. Interpol met en avant plusieurs succès majeurs obtenus durant l’opération : ...

Selon Jamf Threat Labs (blog Jamf), une nouvelle itération de l’infostealer macOS MacSync Stealer abandonne les chaînes d’exécution « drag‑to‑terminal/ClickFix » au profit d’un dropper Swift code‑signé et notarisé, distribué dans une image disque, qui récupère et exécute un script de second étage de façon plus discrète. Le binaire Mach‑O universel est signé et notarisé (Developer Team ID GNJLS3UYZ4) et a été livré dans un DMG nommé zk-call-messenger-installer-3.9.2-lts.dmg, accessible via https://zkcall.net/download. Le DMG est volumineux (25,5 Mo) en raison de fichiers leurres (PDF liés à LibreOffice) intégrés. Au moment de l’analyse initiale, les hachages n’étaient pas révoqués, puis Jamf a signalé l’abus à Apple et le certificat a été révoqué. Sur VirusTotal, les échantillons allaient de 1 à 13 détections, classés surtout comme téléchargeurs génériques (familles « coins » ou « ooiid »). ...

Selon une actualité multi-source, le gang de ransomware Clop (Cl0p) vise des serveurs Gladinet CentreStack exposés sur Internet dans le cadre d’une nouvelle campagne d’extorsion par vol de données. 🚨 Faits principaux Acteur : Clop (Cl0p) Type d’attaque : extorsion par vol de données (data theft extortion) Cible : serveurs Gladinet CentreStack exposés sur Internet Impact visé : exfiltration de fichiers et pression d’extorsion 1) Contexte Le groupe de ransomware Clop (Cl0p) lance une nouvelle campagne d’extorsion ciblant les serveurs Gladinet CentreStack exposés sur Internet. CentreStack est une solution de partage de fichiers permettant aux entreprises d’accéder à des serveurs internes via navigateur, applications mobiles ou lecteurs réseau, sans VPN. Selon Gladinet, la solution est utilisée par des milliers d’entreprises dans plus de 49 pays. 2) Nature de l’attaque Les attaquants : scannent Internet à la recherche de serveurs CentreStack accessibles publiquement compromettent les systèmes déposent des notes de rançon L’objectif principal semble être le vol de données suivi d’extorsion, et non le chiffrement classique. 3) Vulnérabilité exploitée : inconnue À ce stade : aucun CVE n’a été identifié il est inconnu s’il s’agit : d’un zero-day ou d’une faille déjà corrigée mais non patchée Gladinet a publié plusieurs correctifs depuis avril, certains pour des failles zero-day déjà exploitées dans le passé. 4) Surface d’attaque et exposition Selon Curated Intelligence : au moins 200 adresses IP uniques exposent une interface web identifiable comme “CentreStack – Login” Ces systèmes constituent des cibles potentielles immédiates pour Clop. « Incident Responders […] ont rencontré une nouvelle campagne d’extorsion CLOP ciblant des serveurs CentreStack exposés sur Internet. » — Curated Intelligence ...

Source : oss-sec (mailing list). Dans un post signé par “turistu” le 16 décembre 2025, un rapport technique décrit CVE-2025-14282 affectant le serveur SSH Dropbear en mode multi-utilisateur. • Problème principal : Dropbear exécute les redirections de sockets (TCP/UNIX) en tant que root durant l’authentification et avant le spawn du shell, ne basculant de manière permanente vers l’utilisateur connecté qu’ensuite. Avec l’ajout récent du forwarding vers des sockets de domaine UNIX (commit 1d5f63c), un utilisateur SSH authentifié peut se connecter à n’importe quel socket UNIX avec les identifiants root, contournant les permissions du système de fichiers et les contrôles SO_PEERCRED / SO_PASSCRED. ...

Selon Security Affairs, des chercheurs de Riot Games ont révélé une vulnérabilité UEFI affectant certains modèles de cartes mères ASRock, ASUS, GIGABYTE et MSI, confirmée par un avis du CERT/CC, qui permet des attaques DMA en phase très précoce du démarrage malgré des protections censées actives. Le problème réside dans une mauvaise initialisation de l’IOMMU au démarrage: le firmware déclare à tort que la protection DMA est active alors que l’IOMMU n’est pas correctement activée. Cette fenêtre permet à un périphérique PCIe malveillant ayant un accès physique de lire/modifier la mémoire avant le chargement des défenses de l’OS, ouvrant la voie à une injection de code pré-boot et à l’exposition de données sensibles. ...

Source: “The Art of Pivoting - Techniques for Intelligence Analysts to Discover New Relationships in a Complex World” (document ouvert). Ce livre expose comment les analystes en renseignement et cybersécurité peuvent découvrir des liens cachés entre l’infrastructure d’acteurs menaçants et des enquêtes en cours, en pivotant sur des indicateurs classiques et non conventionnels. L’objectif est de fournir une boîte à outils pratique d’approches analytiques, illustrées par des exemples concrets, pour enrichir les workflows d’enquête sans imposer un modèle rigide. Le livre encourage l’exploration créative, le raisonnement fondé sur les données et l’usage de points de données variés — des IOCs traditionnels aux traces de métadonnées subtiles — dans un processus flexible et reproductible. ...

Selon BleepingComputer, le service de ransomware RansomHouse a récemment amélioré son chiffreur, délaissant une approche linéaire en une seule phase au profit d’une méthode multi‑couches plus complexe. 1) Contexte RansomHouse est une opération de cybercriminalité active depuis décembre 2021, initialement centrée sur l’extorsion par vol de données, avant d’intégrer progressivement le chiffrement. Le groupe opère selon un modèle RaaS et dispose d’outils dédiés, dont MrAgent, capable de chiffrer plusieurs hyperviseurs VMware ESXi simultanément. Récemment, RansomHouse a été observé utilisant plusieurs familles de ransomwares lors d’attaques, notamment contre Askul Corporation, un géant japonais du e-commerce. 2) Évolution majeure : le nouvel encryptor « Mario » Les chercheurs de Palo Alto Networks – Unit 42 ont analysé une nouvelle variante d’encryptor, baptisée Mario. Cette version marque un changement architectural important : passage d’un chiffrement linéaire en une seule phase à un processus multi-couches plus complexe 👉 Objectif : améliorer la robustesse du chiffrement, la vitesse d’exécution et la fiabilité sur des environnements modernes. ...

Source: Blog personnel de Jake Saunders. Contexte: l’auteur reçoit un abus report de son hébergeur Hetzner signalant du scanning réseau sortant; il découvre que son instance Umami (analytics) a été compromis via une faille Next.js récemment divulguée. L’incident démarre par un email d’abus Hetzner signalant du scanning vers une plage d’IP en Thaïlande. Sur le serveur (hébergé chez Hetzner et orchestré avec Coolify), l’auteur observe une charge CPU anormale et des processus de minage (xmrig) tournant en tant qu’utilisateur UID 1001. L’investigation montre la présence d’un dossier xmrig-6.24.0 à l’emplacement interne de Next.js dans le conteneur Umami, avec une commande pointant vers un pool Monero. ⛏️ ...

Source : Have I Been Pwned (HIBP). En juillet 2016, le forum Web Hosting Talk, basé sur vBulletin, a subi une fuite de données qui a ensuite été mise en vente. 🔓 Nature de l’incident : fuite de données touchant un forum basé sur vBulletin. 📊 Impact : 515 000 enregistrements d’utilisateurs exposés. 🧾 Données compromises : Noms d’utilisateur Adresses e‑mail Adresses IP Hachages de mots de passe MD5 salés 📦 Suite de l’incident : les données ont été listées à la vente après la compromission. Cette entrée HIBP est une fiche descriptive d’un incident passé, destinée à l’indexation des comptes potentiellement exposés. ...

Source: SuspectFile.com — Le média annonce avoir conduit en août 2025 sa première interview avec Securotrop, décrit comme un jeune acteur du paysage du ransomware. L’article met en avant l’existence d’un entretien direct avec le groupe Securotrop, positionné comme un nouvel acteur du ransomware. 💥 L’information centrale est la tenue de cette interview par SuspectFile.com, soulignant l’intérêt éditorial pour les activités et la place de Securotrop dans l’écosystème des rançongiciels. 1) Contexte général Securotrop est un groupe ransomware relativement jeune, apparu initialement comme affilié d’un Ransomware-as-a-Service (RaaS) bien établi. En 2025, le groupe utilisait le ransomware de Qilin, ce qui lui permettait de se concentrer sur les opérations (intrusion, exfiltration, négociation) sans gérer le développement logiciel. Une première interview menée en août 2025 montrait déjà un haut niveau de maturité opérationnelle, malgré la jeunesse du groupe. 2) Évolution majeure : passage à un ransomware propriétaire Securotrop opère désormais avec un ransomware entièrement développé en interne. Cette transition n’est pas liée à un conflit avec Qilin, mais à une volonté stratégique d’indépendance et de différenciation de marque. Le groupe rejette explicitement toute évolution vers un modèle RaaS. 3) Avantages opérationnels revendiqués Contrôle total Maîtrise complète de : l’encryption la génération et la gestion des clés les outils de déchiffrement les négociations avec les victimes Flexibilité Le ransomware s’adapte à l’infrastructure de la victime, et non l’inverse. Aucune contrainte imposée par un logiciel tiers. Continuité et fiabilité Procédures de tests automatisés et manuels systématiques Vérification de chaque build avant déploiement opérationnel 4) Aspects techniques clés Schéma de chiffrement standard : AES / ChaCha pour les données RSA pour l’obfuscation des clés Le groupe reconnaît que les ransomwares diffèrent peu sur le plan cryptographique : les améliorations portent surtout sur la performance (CPU / I/O) L’outil ajuste dynamiquement les méthodes de chiffrement selon : la taille des données la capacité matérielle de la cible 5) Tactiques, techniques et procédures (TTPs) Aucune modification majeure des TTPs post-exploitation : escalade de privilèges mouvements latéraux persistance Le chiffrement reste la toute dernière étape Le timing global (accès initial → exfiltration → chiffrement) reste inchangé 6) Gestion des risques et OPSEC L’indépendance technique accroît : les risques de fingerprinting les possibilités d’attribution Securotrop reconnaît cette exposition mais indique : mettre en place des mesures OPSEC proactives accepter que le fingerprinting soit, à terme, inévitable 7) Négociation et extorsion Les capacités de personnalisation (notes de rançon, délais, escalade) existaient déjà sous Qilin Le changement n’avait pas pour objectif principal d’améliorer la négociation, mais l’identité du groupe 8) Positionnement stratégique Refus clair d’un modèle RaaS Motifs invoqués : marché saturé volonté de rester un acteur fermé et contrôlé Mise en avant de “standards et principes” propres, distincts de ceux de Qilin et de ses affiliés 9) TTPs et IoCs TTPs Développement et exploitation d’un ransomware propriétaire Double extorsion (implicite) Automatisation et tests continus Gestion centralisée des négociations OPSEC proactive face à l’attribution IoCs ❌ Aucun indicateur technique (hashs, infrastructures, domaines) communiqué dans l’interview Conclusion: il s’agit d’un article de presse spécialisé annonçant une interview avec un groupe lié au ransomware, dont le but principal est de présenter ce contenu éditorial et son protagoniste. ...