International

Selon Infoblox (blog Threat Intelligence), des chercheurs décrivent l’acteur « Detour Dog » qui opère depuis février 2020 un vaste réseau d’environ 30 000 sites compromis sur 584 TLDs, utilisant des enregistrements DNS TXT comme canal de commande et contrôle (C2). D’abord dédié aux redirections vers des arnaques, l’opération s’est transformée pour distribuer des malwares, notamment Strela Stealer, via un système de livraison basé sur le DNS. Les requêtes DNS côté serveur, invisibles pour les visiteurs, conditionnent des redirections ou l’exécution de code distant selon la localisation et le type d’appareil. L’infrastructure s’appuie sur du bulletproof hosting et plusieurs TDS pour la persistance, et se reconstitue en quelques heures après perturbation. ...

Selon BleepingComputer, environ 48 800 équipements Cisco Adaptive Security Appliance (ASA) et Firewall Threat Defense (FTD) exposés sur le web public sont vulnérables à deux vulnérabilités actuellement exploitées activement par des attaquants. Près de 50 000 appliances Cisco ASA et FTD exposées sur Internet sont vulnérables à deux failles majeures exploitées activement : CVE-2025-20333 (dépassement de tampon permettant une exécution de code à distance après authentification) et CVE-2025-20362 (contournement d’authentification, accès non autorisé à des endpoints VPN). L’exploitation combinée de ces failles autorise une prise de contrôle complète de l’équipement sans authentification préalable, mettant en danger la confidentialité, l’intégrité et la disponibilité des systèmes protégés. ...

Selon GBHackers, des chercheurs en cybersécurité ont mis au jour une campagne où des acteurs malveillants utilisent des publicités frauduleuses et l’empoisonnement SEO pour distribuer de faux installateurs Microsoft Teams contenant le malware backdoor Oyster. Leurre : faux installateurs de Microsoft Teams destinés aux utilisateurs cherchant un téléchargement légitime via des moteurs de recherche. Méthodes : publicités sponsorisées et SEO poisoning qui positionnent des liens frauduleux sur des requêtes comme « teams download ». Charge utile : backdoor Oyster, permettant aux attaquants d’obtenir un accès à distance. Des chercheurs en cybersécurité ont identifié une campagne sophistiquée exploitant des publicités malveillantes et un empoisonnement SEO pour distribuer de faux installateurs Microsoft Teams contenant le malware de porte dérobée Oyster (alias Broomstick). Les utilisateurs cherchant à télécharger Teams via les moteurs de recherche tombent sur des annonces frauduleuses redirigeant vers des sites usurpant l’apparence des pages officielles, comme teams-install[.]top, qui délivrent un fichier MSTeamsSetup.exe infecté. ...

Un acteur malveillant a publié sur npm un package frauduleux nommé « postmark-mcp » se faisant passer pour Postmark, afin de voler des emails via un mécanisme de BCC caché. Postmark précise n’avoir aucun lien avec ce package et que ses API et services officiels ne sont pas affectés. L’attaquant a d’abord établi la confiance en publiant plus de 15 versions du package, puis a introduit une porte dérobée dans la version 1.0.16 qui ajoutait en BCC les emails à un serveur externe. Cette activité visait à exfiltrer des contenus d’emails envoyés par les utilisateurs du package. ...

Source : Elastic Security Labs — Des chercheurs présentent « FlipSwitch », une technique de rootkit Linux capable de contourner le nouveau mécanisme de dispatch des syscalls introduit dans le kernel 6.9. Le noyau Linux 6.9 a remplacé la table sys_call_table par un dispatch via switch pour neutraliser le hooking classique des syscalls. FlipSwitch contourne cette défense en modifiant directement le code machine du dispatcher des syscalls (x64_sys_call), évitant toute dépendance à la sys_call_table désormais non utilisée pour le routage effectif. ...

Selon reporter.london (en collaboration avec Context.ro), une fuite de données liée à Anykey LLC expose en détail le réseau crypto et de paiements A7 piloté par l’homme d’affaires moldave en fuite Ilan Shor, adossé à des cadres issus de grandes banques russes et connecté à des opérations d’ingérence. Le Financial Times avait précédemment estimé à 9 milliards de dollars les transactions du stablecoin A7A5 dans les quatre premiers mois. • Acteurs et infrastructure clés 🔧 Les documents internes mentionnent des ex-chefs de département de Sberbank, Vnesheconombank (VEB) et Russian Standard comme cadres d’A7. A7 a été lancé avec la banque de défense russe Promsvyazbank (PSB) et inclut le stablecoin adossé au rouble A7A5. Le 3 septembre, Vladimir Poutine a inauguré à Vladivostok le nouveau centre international de traitement des paiements d’A7 aux côtés d’Ilan Shor et du président de PSB, Pyotr Fradkov. La fuite, attribuée à la société IT moscovite Anykey LLC, validée par l’agence moldave IPN, montre aussi un écosystème d’environ 500 personnes reliant A7, l’ONG Evraziya, et des brokers financiers au Kirghizstan. ...

Source: The DFIR Report (30 sept. 2025). Contexte: incident survenu en mai 2024, démarré par l’exécution d’un JavaScript Latrodectus 1.3 déguisé en formulaire fiscal W‑9, menant au déploiement de Brute Ratel puis Cobalt Strike, et à une présence quasi continue durant près de deux mois. • Chaîne d’intrusion: un JS fortement obfusqué télécharge un MSI qui lance un DLL Brute Ratel (via rundll32), lequel injecte Latrodectus dans explorer.exe et établit des C2 (souvent derrière Cloudflare). Le stealer Latrodectus est récupéré, puis, ~1 h après l’accès initial, début de la reconnaissance (ipconfig, systeminfo, nltest, whoami). ~6 h après, mise en place d’un BackConnect/VNC opérationnel pour navigation, dépôts d’outils et contrôle à distance. ...

Source: GitHub (b1n4r1b01). Contexte: billet technique décrivant une vulnérabilité CoreMedia/MediaToolbox sur iOS, avec analyse de correctif, preuve de concept et mise en perspective « in the wild ». L’auteur localise la faille dans le sous-système Remaker de MediaToolbox.framework, due à une mauvaise gestion de l’objet FigRemakerTrack conduisant à un use-after-free/double free. En forçant un identifiant de piste hors bornes, l’appel URLAssetCopyTrackByID échoue et le flux de contrôle emprunte un chemin « buggy » où FigRemakerTrack est libéré alors que FigRemaker conserve une référence, ouvrant la voie à une exécution de code dans le processus mediaplaybackd. La vulnérabilité est évoquée dans le cadre des correctifs d’iOS 18.3, parmi les CVE liés à CoreMedia, comme unique cas UAF dans ce lot. ...

Selon Cleafy (Cleafy Labs), un nouveau trojan bancaire Android nommé Klopatra, doté de capacités de RAT et d’un haut niveau d’obfuscation via l’outil commercial Virbox, a ciblé principalement des utilisateurs en Espagne et en Italie, compromettant plus de 3 000 appareils au travers de deux campagnes. Klopatra se propage via un dropper se faisant passer pour « Mobdro Pro IP TV + VPN », utilisant JSON Packer pour dissimuler sa charge utile. Le malware abuse des Services d’Accessibilité Android pour obtenir un contrôle complet de l’appareil (captures de frappes, manipulation d’UI, enregistrement d’écran, octroi autonome de permissions) et exécute des transactions frauduleuses en temps réel. ...

Selon le blog Google Cloud Threat Intelligence (Mandiant) dans un article publié le 30 septembre, un acteur financier baptisé UNC6040 mène des campagnes de vishing pour compromettre des instances Salesforce via des apps OAuth malveillantes, visant le vol massif de données et l’extorsion. Chaîne d’attaque décrite: (1) Usurpation du support IT pour pousser les employés à autoriser des apps connectées falsifiées, notamment des variantes du Salesforce Data Loader; (2) Exfiltration immédiate via Bulk API, pagination REST, ou export de rapports; (3) Mouvement latéral vers Okta/Microsoft 365. L’infrastructure observée inclut l’usage de Mullvad VPN. ...