International

Source: Microsoft Security Blog — Microsoft Incident Response (DART) publie une analyse technique d’un nouveau backdoor, « SesameOp », découvert en juillet 2025 lors d’une réponse à incident où les attaquants visaient une persistance longue durée à des fins d’espionnage. • 🧩 Chaîne d’infection et composants: Le loader Netapi64.dll (obfusqué via Eazfuscator.NET) est chargé par injection .NET AppDomainManager via un fichier .config, crée des marqueurs (fichier C:\Windows\Temp\Netapi64.start, mutex) et exécute un binaire XOR-décodé « .Netapi64 ». Le composant principal OpenAIAgent.Netapi64 lit une configuration dans la ressource .NET TextFile1 au format <OpenAI_API_Key>|<Dictionary_Key_Name>|, gère les proxys, encode le nom d’hôte en Base64 et interagit avec l’écosystème Assistants/Vector Stores d’OpenAI. ...

Source : Darknet.org.uk — L’article traite en 2025 du phénomène « Deepfake-as-a-Service » et explique comment le clonage de voix et les médias synthétiques affectent les entreprises. 🎭 Le contenu met en avant la montée des services de deepfake « prêts à l’emploi » et leur utilisation dans la fraude ciblant les organisations, en soulignant leur impact opérationnel et réputationnel. Les deepfakes ont quitté le domaine expérimental pour devenir un modèle économique criminel industrialisé, baptisé Deepfake-as-a-Service (DFaaS). Ces services permettent aujourd’hui à n’importe quel acteur malveillant de louer des capacités de clonage vocal ou vidéo en temps réel pour mener des fraudes, manipulations sociales ou opérations d’espionnage à grande échelle. ...

Source: Proofpoint (Threat Insight Blog). Contexte: analyse d’un cluster d’activité depuis au moins juin 2025 visant des transporteurs et courtiers fret nord-américains pour faciliter des vols de cargaisons via l’abus d’outils RMM légitimes. • Proofpoint suit un cluster de cybercriminalité ciblant les transporteurs et courtiers afin de détourner des cargaisons réelles. Les acteurs utilisent des RMM/RAS comme ScreenConnect, SimpleHelp, PDQ Connect, Fleetdeck, N‑able et LogMeIn Resolve, souvent en tandem (ex: PDQ Connect installe ScreenConnect et SimpleHelp). L’objectif est d’obtenir un accès à distance discret pour usurper des identités, enchérir sur des chargements et voler les marchandises, revendues ensuite en ligne ou expédiées à l’étranger. 🚚🖥️ ...

D’après l’extrait fourni, les procureurs affirment que des employés de DigitalMint (basée à River North, Chicago), société spécialisée dans la négociation de rançons en cas d’attaque, ont mis en place leur propre stratagème d’extorsion visant plusieurs entreprises. ⚖️ Des employés d’une société anti-ransomware impliqués dans leurs propres cyberattaques, selon le FBI Le FBI a révélé qu’au moins deux employés de la société DigitalMint, basée à Chicago, spécialisée dans la négociation de rançons lors d’attaques informatiques, auraient participé à une série de cyberattaques par ransomware afin de s’enrichir personnellement. Les suspects auraient extorqué plus d’un million de dollars à plusieurs entreprises américaines entre mai 2023 et avril 2025. ...

Selon Socket (Socket.dev), l’équipe Threat Research a découvert 10 paquets npm typosquattés publiés le 4 juillet 2025, restés en ligne plus de quatre mois et cumulant plus de 9 900 téléchargements. L’acteur andrew_r1 (parvlhonor@gmx[.]com) exploite le hook postinstall pour exécuter automatiquement un malware obfusqué, affichant un faux CAPTCHA et imitant des installations légitimes, avant de télécharger un binaire voleur d’informations. 🚨 • Mécanisme d’exécution et tromperie: utilisation du script postinstall pour lancer un nouveau terminal et exécuter un payload JavaScript fortement obfusqué (wrapper eval auto‑décodant, XOR à clé dynamique dérivée du code, encodage URL, obfuscation du flux de contrôle). Le malware présente un faux CAPTCHA et des messages d’installation factices (ex. ethers, discord.js) pour masquer son activité. 🕵️‍♂️ ...

Selon l’extrait fourni, il s’agit d’un walkthrough expliquant l’usage de Ghidriff (Ghidra) pour analyser un correctif qui résout une écriture hors limites sur le tas dans rAthena, référencée sous CVE-2025-58447. 🔍 Le contenu décrit une analyse de patch par rétro‑ingénierie avec Ghidra/Ghidriff, centrée sur l’identification des changements apportés pour corriger la vulnérabilité de type heap-based out-of-bounds write. 🛠️ L’accent est mis sur le processus d’analyse technique du correctif, sans détailler d’autres éléments contextuels (impact, vecteur, versions). L’objectif est de comprendre comment le patch remédie à la faille. ...

Selon Sophos (sophos.com, 30 octobre 2025), les chercheurs du Counter Threat Unit (CTU) ont observé mi‑2025 une campagne sophistiquée de BRONZE BUTLER (Tick) exploitant une zero‑day dans Motex LANSCOPE Endpoint Manager (CVE‑2025‑61932), permettant l’exécution de commandes à privilèges SYSTEM. Le JPCERT/CC a publié un avis le 22 octobre 2025 et la CISA a ajouté la faille au catalogue KEV le même jour. Vecteur initial et impact: exploitation de CVE‑2025‑61932 pour RCE avec SYSTEM, utilisée pour élévation de privilèges et mouvement latéral. Peu d’équipements exposés sur Internet, mais exploitation possible en interne dans des réseaux compromis. ...

Source : McCrary Institute for Cyber and Critical Infrastructure Security (Auburn University) – Issue Brief « Code Red: A Guide to Understanding China’s Sophisticated Typhoon Cyber Campaigns ». Ce rapport synthétise les campagnes « Typhoon » attribuées à la RPC (taxonomie Microsoft) et décrit une évolution vers des capacités de disruption intégrées aux infrastructures critiques des États-Unis, appelant à une réponse conjointe mêlant cybersécurité, renseignement, diplomatie et réformes juridiques. Le document replace ces campagnes dans l’évolution de la menace chinoise (PLA Unit 61398 en 2014, brèche OPM 2015) vers une stratégie de préparation opérationnelle du champ de bataille et de guerre grise, incluant l’usage de l’IA et l’exploitation d’appareils en périphérie. Objectif affiché : retarder des déploiements, dégrader la logistique et faire pression via des atteintes aux systèmes vitaux, avec en toile de fond des tensions (ex. échéance souvent citée de 2027 pour Taïwan). ...

Source: Talos Intelligence — Dans un contexte d’incertitude économique, cette analyse détaille des approches pour maintenir une cybersécurité efficace avec des budgets serrés, en combinant optimisation des outils existants, durcissement ciblé et priorisation de la visibilité. L’étude met l’accent sur l’optimisation des capacités en place plutôt que sur de nouveaux achats : défense en profondeur pour les systèmes legacy, combinaison de solutions open source et commerciales, et maximisation des configurations de sécurité sans dépenses additionnelles. Elle traite aussi des enjeux RH via rétention des talents et partenariats de spécialistes, tout en favorisant la réduction de la surface d’attaque et une journalisation/alerte renforcées sur les actifs vulnérables. ...

Selon Trend Micro, cette analyse détaille l’évolution et les techniques de DragonForce (Water Tambanakua), un ransomware-as-a-service qui a muté d’un usage des builders LockBit 3.0 en 2023 vers un modèle de « cartel » RaaS en 2025. Le groupe propose aux affiliés jusqu’à 80% des rançons et fournit des payloads multivariants pour Windows, Linux, ESXi et NAS, ainsi que des outils avancés dont des services d’analyse de données pour l’extorsion. Des liens avec Scattered Spider, RansomHub et d’autres acteurs sont évoqués, suggérant un écosystème complexe. 🐉 ...