International

Source: blog.nviso.eu (NVISO, Maxime Thiebaut) — NVISO détaille l’exploitation zero‑day de CVE-2025-41244, une élévation de privilèges locale affectant la découverte de services de VMware Tools et VMware Aria Operations, observée in‑the‑wild depuis mi‑octobre 2024 et officiellement divulguée par Broadcom le 29 septembre 2025. • Vulnérabilité et impact La faille (CWE‑426: Untrusted Search Path) provient de la logique du script get-versions.sh (open‑vm‑tools) utilisant des regex trop larges (classe \S) qui peuvent faire correspondre et exécuter des binaires non système (ex. /tmp/httpd) en contexte privilégié. Impact: exécution de code avec des privilèges élevés (root) par un utilisateur local non privilégié, dans les deux modes de découverte: credential-based (logique côté Aria Operations) et credential-less (logique dans VMware Tools). • Produits et composants concernés ...

Selon watchTowr Labs, une exploitation « in the wild » de CVE-2025-10035 visant Fortra GoAnywhere MFT est confirmée, en contradiction avec le récit du fournisseur. L’exploitation a débuté plusieurs jours avant l’avis public de l’éditeur. ⚠️ Le vecteur est une vulnérabilité de désérialisation pré-auth permettant une exécution de code à distance (RCE). Les attaquants ont ensuite mis en place des mécanismes de persistance et d’effacement de traces, illustrant une chaîne post-exploitation sophistiquée. Le billet souligne que les organisations doivent immédiatement évaluer un éventuel compromis et engager leurs protocoles d’intervention. ...

Selon Sophos (Sophos News), des chercheurs publient une analyse approfondie de HeartCrypt, une opération de packer-as-a-service active à l’international qui cible des organisations via des campagnes localisées et des chaînes d’infection sophistiquées. • Portée et infrastructure 🛰️ L’étude couvre des milliers d’échantillons, près de 1 000 serveurs C2 et plus de 200 éditeurs de logiciels usurpés. HeartCrypt opère dans plusieurs pays avec des campagnes d’hameçonnage adaptées localement et a été relié à des opérations de rançongiciel dont RansomHub et MedusaLocker. ...

Selon la source fournie, REM Proxy, un réseau de proxys à visée criminelle, est présenté comme l’un des principaux utilisateurs du botnet SystemBC, offrant à ses clients environ 80 % du réseau SystemBC. Le service commercialise un pool de 20 000 routeurs Mikrotik et agrège également des proxys ouverts trouvés en ligne. REM Proxy est décrit comme populaire auprès d’acteurs malveillants, notamment ceux derrière TransferLoader, lié au groupe de ransomware Morpheus. ...

Selon BleepingComputer (Sergiu Gatlan, 23 septembre 2025), SonicWall a publié un nouveau firmware pour les appliances SMA 100 afin d’aider à retirer un rootkit observé dans des attaques récentes. 🛡️ SonicWall annonce la version de firmware SMA 100 10.2.2.2-92sv avec vérifications de fichiers renforcées permettant de retirer des rootkits connus présents sur les équipements. L’éditeur recommande fortement la mise à niveau pour les SMA 210, 410 et 500v. 🔎 Contexte menace: en juillet, le Google Threat Intelligence Group (GTIG) a observé l’acteur UNC6148 déployer le malware OVERSTEP sur des appareils SMA 100 en fin de vie, dont le support se termine le 1er octobre 2025. OVERSTEP est un rootkit en mode utilisateur qui assure une persistance (composants cachés, reverse shell) et exfiltre des fichiers sensibles (dont les fichiers persist.database et certificats), exposant identifiants, graines OTP et certificats. ...

Selon la Zero Day Initiative (Trend Micro), une vulnérabilité critique CVE-2025-23298 affecte la bibliothèque NVIDIA Transformers4Rec et permet une exécution de code à distance avec privilèges root lors du chargement de checkpoints de modèles, un correctif ayant été publié par NVIDIA. La faille provient de la fonction load_model_trainer_states_from_checkpoint qui utilise torch.load() sans paramètres de sûreté. Ce chargement désérialise directement des données pickle, ce qui autorise des fichiers de checkpoint malveillants à exécuter du code arbitraire via la méthode reduce de pickle pendant la désérialisation. L’exploit démontré intègre des commandes os.system dans des objets state_dict du modèle. ...

Selon The Record, la semaine dernière, des experts en cybersécurité et des entreprises technologiques ont tiré la sonnette d’alarme au sujet d’une vaste compromission de la chaîne d’approvisionnement logicielle. Au cœur de l’incident se trouve Shai-Hulud, un ver auto-réplicant utilisé pour infecter plus de 500 paquets intégrés à divers logiciels. 🐛 La CISA a publié une alerte urgente concernant une attaque de chaîne d’approvisionnement logicielle baptisée Shai-Hulud, qui a compromis plus de 500 packages npm utilisés par des développeurs à travers le monde. Cette attaque repose sur un ver auto-réplicatif capable d’insérer du code malveillant dans des bibliothèques logicielles, compromettant ainsi les projets qui les utilisent. Une fois en place, le malware volait des identifiants sensibles (tokens GitHub, clés API de services cloud, etc.) et les diffusait publiquement, permettant aux attaquants de prendre le contrôle d’autres environnements de développement. ...

Source: D3Lab. Dans les derniers jours, l’équipe Cyber Threat Intelligence de D3Lab a détecté une campagne de phishing visant Facebook Business. L’élément mis en avant est l’utilisation de l’infrastructure de Salesforce — un des principaux CRM au monde — comme vecteur, ce qui rend la campagne particulièrement insidieuse. 🎣☁️ Une récente campagne de phishing ciblant Facebook Business a été détectée, exploitant de façon ingénieuse l’infrastructure légitime de Salesforce. Les emails frauduleux proviennent d’adresses totalement authentiques comme noreply@salesforce.com et parviennent à passer tous les contrôles de sécurité standards (SPF), ce qui les rend particulièrement difficiles à identifier et bloquer. Les cybercriminels obtiennent un accès à Salesforce via l’offre de démonstration gratuite, puis l’utilisent pour envoyer des notifications qui semblent officielles et fiables. ...

Selon BleepingComputer, Cloudflare a atténué une attaque par déni de service distribué (DDoS) ayant atteint un pic record de 22,2 Tbps et 10,6 milliards de paquets par seconde (Bpps). Cloudflare a récemment repoussé une attaque par déni de service distribué (DDoS) record culminant à 22,2 térabits par seconde (Tbps) et 10,6 milliards de paquets par seconde (Bpps), soit près du double de la précédente attaque record de 11,5 Tbps. Cette attaque hyper-volumétrique, qui a visé une seule adresse IP d’une entreprise européenne d’infrastructure réseau, a duré seulement 40 secondes mais a généré un flux massif équivalant à un million de vidéos 4K diffusées en simultané. Le volume extrêmement élevé de paquets rend l’attaque particulièrement difficile à filtrer pour les équipements réseau, notamment les pare-feux et routeurs. ...

Source: Darktrace. Les chercheurs détaillent « ShadowV2 », une campagne cybercriminelle qui industrialise le DDoS via une stack moderne (Python/Go/FastAPI) et une utilisation opportuniste d’infrastructures cloud et DevOps. Cette opération démarre par l’exploitation de daemons Docker exposés sur AWS EC2 via un script Python exécuté depuis GitHub CodesSpaces 🐳☁️. Elle déploie un malware containerisé incluant un RAT en Go qui communique en REST avec son C2. Le RAT Go intègre des capacités DDoS avancées : HTTP/2 rapid reset, contournement du mode “Under Attack” de Cloudflare, et floods HTTP à grande échelle 🚀. L’ensemble suggère une plateforme opérationnelle et scalable. ...