International

Source: SpecterOps — Dans une publication de recherche, les chercheurs détaillent des techniques permettant d’extraire des identifiants depuis des systèmes Windows entièrement patchés, même avec Credential Guard activé, en abusant de Remote Credential Guard (RCG). Ils montrent que, depuis des contextes non privilégiés comme SYSTEM, il est possible d’obtenir des réponses NTLMv1 qui peuvent être craquées pour récupérer des NT hashes. De manière surprenante, l’approche fonctionne aussi lorsque Credential Guard est désactivé. Microsoft a été notifié mais a décliné la prise en charge du problème. Un outil de preuve de concept, DumpGuard, a été publié. 🧪🔧 ...

Source: Huntress — Dans un billet technique, Huntress détaille une enquête d’incident Qilin avec télémétrie minimale, reconstruite grâce à des artefacts Windows pour retracer l’attaque du premier accès jusqu’au chiffrement. Les analystes ont travaillé sans EDR, SIEM ni canaris ransomware, s’appuyant sur des journaux d’événements Windows, AmCache et les journaux Program Compatibility Assistant (PCA). Ils ont identifié l’installation d’un RMM ScreenConnect non autorisé, des transferts de fichiers suspects (r.ps1, s.exe, ss.exe) et une progression de l’attaque allant de l’accès RDP à l’exécution du ransomware. 🧭 ...

Selon ian.sh (Ian Carroll), dans un billet publié le 22/10/2025, des chercheurs (Ian Carroll, Gal Nagli, Sam Curry) ont identifié une faille critique sur le portail de « Driver Categorisation » de la FIA lié aux événements de Formule 1. — Découverte et vecteur d’attaque — Les chercheurs ont exploité une vulnérabilité de mass assignment / contrôle d’accès insuffisant sur l’API (requête HTTP PUT vers « /api/users/{id} »), où le champ JSON roles était accepté côté serveur. En injectant { "roles": [{ "id": 1, "name": "ADMIN" }] }, ils ont pu s’assigner le rôle ADMIN, puis, après réauthentification, accéder au tableau de bord d’administration. ...

Source: LeMagIT (Valéry Rieß-Marchive). Contexte: à la suite d’une enquête de Le Monde et Die Zeit évoquant un « Group 78 » qui aurait orchestré des fuites pour déstabiliser le gang de rançongiciel Black Basta, LeMagIT détaille comment une source anonyme, « Mikhail », l’a contacté fin 2024 avec des informations sur le supposé leader (« Tramp »/Oleg Nefedov). Le 16 décembre 2024, « Mikhail » contacte l’auteur via X pour révéler l’identité du chef de Black Basta, groupe apparu au printemps 2022, héritier de la nébuleuse Conti. Le journaliste, qui suivait déjà les flux Bitcoin liant Conti et Black Basta, entame des échanges par e‑mail et monte, avec d’autres experts (HUMINT et cybercriminalité), un canal sécurisé éphémère pour valider les informations. ...

Le site officiel de Xubuntu a, pendant une courte période, servi un malware Windows aux utilisateurs qui tentaient de télécharger la distribution. Fait saillant: des visiteurs du site entre les 18 et 19 octobre ont reçu un malware Windows lorsqu’ils essayaient de télécharger Xubuntu. Portée de l’impact: les images ISO n’ont pas été affectées, indiquant que l’incident concernait la livraison via le site et non les fichiers de distribution eux‑mêmes. ...

Source: Searchlight Cyber (slcyber.io). Contexte: billet de recherche technique de Tomais Williamson analysant CVE-2025-54236 (« SessionReaper ») dans Magento/Adobe Commerce, son patch, et un enchaînement d’exploitation conduisant à une exécution de code à distance non authentifiée sur certaines configurations. • Nature de la faille: bypass de fonctionnalité de sécurité menant à une désérialisation imbriquée dans l’API Web de Magento. Adobe qualifie l’issue de « security feature bypass », mais la recherche montre un impact critique: RCE sur les instances utilisant un stockage de session basé sur fichiers; des configurations non-fichier (ex. Redis) peuvent aussi être concernées mais différemment. ...

Selon Black Hills Information Security (BHIS), dans un contexte d’« Emerging Technology Security », le Model Context Protocol (MCP) — un standard ouvert d’Anthropic pour relier des applications LLM à des données et outils externes — introduit des risques notables en raison d’un manque de contrôles de sécurité intégrés. Le protocole MCP adopte une architecture client–serveur où les clients LLM utilisent JSON-RPC pour solliciter des capacités auprès de serveurs MCP via trois briques : Tools (fonctions exécutables), Resources (données en lecture seule) et Prompts (gabarits d’instructions). Les vulnérabilités découlent d’une confiance implicite, de l’absence de validation d’entrées et de l’inexistence de contrôles d’accès natifs. Le design favorise la fonctionnalité en connectant des systèmes probabilistes (LLM) à des outils déterministes sans frontières de confiance imposées. ...

Selon TechCrunch (Lorenzo Franceschi-Bicchierai, 21 octobre 2025), un ancien développeur d’exploits iOS chez Trenchant — filiale de L3Harris — a reçu une alerte d’Apple l’informant d’un ciblage par spyware mercenaire sur son iPhone personnel, peu après son licenciement. Le développeur (pseudonyme « Jay Gibson ») dit avoir reçu la notification le 5 mars et avoir immédiatement éteint l’appareil. Il pourrait s’agir du premier cas documenté d’un concepteur d’exploits/spyware lui-même visé par un spyware. Apple n’a pas commenté. ...

Source: Medium (Deriv Tech). Un article de Shantanu dévoile « BeaverTail », une campagne sophistiquée mêlant ingénierie sociale (LinkedIn) et dépôt GitHub piégé pour compromettre des développeurs sous couvert d’un test technique. – Le leurre: un faux recruteur (« Tim Morenc, CEDS ») d’une fausse entreprise « DLMind » (org GitHub dlmind-tech) propose un rôle d’« Innovative AI Engineer » et demande de cloner et exécuter un projet Next.js « MEDIRA ». L’exécution (npm install / node run dev/build) déclenche un backdoor caché. ...

Selon Darknet (darknet.org.uk), l’article présente « Autoswagger », un outil conçu pour trouver et tester des spécifications OpenAPI/Swagger afin d’identifier des endpoints non authentifiés, des fuites de PII et des secrets. L’accent est mis sur la capacité de l’outil à automatiser la découverte et la validation de points d’API exposés à partir de specs OpenAPI/Swagger, afin de révéler des expositions non protégées et des informations sensibles. L’article inclut: Le tooling nécessaire pour l’utiliser 🧰 Les étapes d’installation 📦 Un scénario d’attaque illustratif 🎯 Aucun IOC ou TTP spécifique n’est fourni dans l’extrait. ...