International

Selon BleepingComputer, une opération massive de fraude publicitaire mobile baptisée « SlopAds » a été perturbée, après la découverte de 224 applications Android malveillantes sur Google Play générant un volume colossal de trafic publicitaire. • Type d’attaque: fraude publicitaire (ad fraud) impliquant des applications Android. • Vecteur et périmètre: 224 applications malveillantes distribuées via Google Play ont été utilisées pour fabriquer du trafic publicitaire. • Impact quantitatif: jusqu’à 2,3 milliards de requêtes publicitaires par jour, illustrant l’ampleur de l’opération 🤖📈. ...

Selon The Record (Recorded Future News), le FBI a publié un avis flash décrivant une campagne de vol de données et d’extorsion visant des centaines d’organisations, attribuée à Scattered Spider (UNC6395) et ShinyHunters (UNC6040), après compromission d’instances Salesforce. Depuis octobre 2024, les acteurs ont utilisé de l’ingénierie sociale en se faisant passer pour des employés IT auprès des centres d’appels afin d’obtenir des identifiants, puis accéder aux données clients dans Salesforce. Dans d’autres cas, des phishings (emails/SMS) ont permis de prendre le contrôle de téléphones ou ordinateurs d’employés. ...

Selon BleepingComputer, Google a confirmé que des cybercriminels ont réussi à créer un compte frauduleux dans son Law Enforcement Request System (LERS), la plateforme utilisée par les forces de l’ordre pour soumettre des demandes officielles de données à l’entreprise. Le cœur de l’affaire porte sur l’usurpation/création illégitime d’un compte au sein d’un système sensible servant d’interface entre Google et les autorités, ce qui soulève des préoccupations quant à l’intégrité des canaux de demande de données. ...

Selon Chainalysis, l’OFAC (Trésor américain) a sanctionné deux intermédiaires financiers iraniens et un réseau de sociétés écrans pour avoir coordonné plus de 100 M$ de transactions en cryptomonnaies au profit de l’IRGC-Quds Force et du ministère iranien de la Défense. L’activité s’appuyait sur des structures à Hong Kong et aux Émirats arabes unis, illustrant l’usage combiné de cryptomonnaies et de shadow banking pour contourner les sanctions. 🚨 Sur le plan technique, le réseau a orchestré des achats de crypto (>100 M$) liés aux ventes de pétrole iranien sur la période 2023–2025, tandis que les adresses désignées présentent des inflows totaux >600 M$. Les opérateurs clés, Alireza Derakhshan et Arash Estaki Alivand, ont agi sur plusieurs blockchains (Ethereum, Tron) via des adresses désormais identifiées par l’OFAC. 💰🔗 ...

Selon Global Affairs Canada (Rapid Response Mechanism Canada), note du 12 septembre 2025, une opération de hack-and-leak attribuée au groupe lié à l’Iran Handala Hack Team a visé cinq journalistes d’Iran International, dont un basé au Canada. L’activité aurait démarré le 8 juillet 2025. Les auteurs ont publié des photos de pièces d’identité officielles (passeports, cartes de résident permanent, permis de conduire), des mots de passe d’adresses e‑mail ainsi que des photos/vidéos intimes. La fuite a d’abord été mise en ligne sur le site de Handala puis relayée via Telegram, X, Facebook, Instagram et des sites d’actualités iraniens. RRM Canada a détecté l’opération le 9 juillet 2025 après une diffusion initiale sur un canal Telegram associé, puis de nouvelles publications le 11 juillet 2025 ciblant notamment un résident canadien. ...

Source : Trend Micro — Dans une publication de recherche sur la sécurité des déploiements Model Context Protocol (MCP), l’éditeur analyse plus de 22 000 dépôts et démontre comment la conteneurisation peut réduire les risques qui pèsent sur les charges de travail IA. L’étude met en évidence des lacunes critiques, notamment des serveurs MCP exposés, une authentification faible, des fuites d’identifiants, ainsi que des risques de chaîne d’approvisionnement liés à des dépôts abandonnés. Elle fournit des recommandations concrètes pour appliquer le moindre privilège, isoler correctement les conteneurs et déployer en sécurité les serveurs MCP afin de protéger les workloads IA contre l’exploitation. ...

Selon KrebsOnSecurity (Brian Krebs, 16 septembre 2025), une campagne visant l’écosystème NPM a vu l’émergence de Shai-Hulud, un ver auto-propagatif qui vole des identifiants (tokens NPM, clés cloud, etc.) et exfiltre ces secrets en les publiant dans des dépôts GitHub publics. Au moins 187 paquets NPM ont été touchés, dont des paquets liés à CrowdStrike (rapidement retirés par le registre NPM). Le ver recherche un token NPM dans l’environnement lors de l’installation d’un paquet compromis. S’il en trouve, il modifie les 20 paquets les plus populaires accessibles avec ce token, s’y copie puis publie de nouvelles versions, déclenchant une propagation en chaîne. Il utilise l’outil open source TruffleHog pour détecter des secrets (GitHub, NPM, AWS, Azure, GCP, SSH, API), tente de créer de nouvelles GitHub Actions et publie les données volées. Le design cible Linux/macOS et ignore Windows. ...

Selon Sonatype, une campagne de malware wormable baptisée Shai-Hulud a compromis plus de 180 paquets npm en abusant d’identifiants de mainteneurs volés. L’opération combine automatisation (IA), vol de credentials, exfiltration via GitHub et empoisonnement de packages pour une propagation rapide dans la chaîne d’approvisionnement logicielle. Le fonctionnement est multi-étapes : collecte de credentials sur postes développeurs et environnements CI, exfiltration des données vers webhook.site/bb8ca5f6-4175-45d2-b042-fc9ebb8170b7, création automatisée de dépôts GitHub nommés “Shai-Hulud” contenant les secrets dérobés, puis injection d’un workflow GitHub Actions (.github/workflows/shai-hulud-workflow.yml) pour la persistance. ...

Source: Proofpoint — Dans le cadre d’opérations menées en juillet et août 2025, l’acteur étatique chinois TA415 (associé à APT41) a ciblé des organismes gouvernementaux américains, des think tanks et des institutions académiques focalisés sur les relations États-Unis–Chine. Les attaquants ont usurpé l’identité de hauts responsables, dont la présidence du Select Committee on Strategic Competition et l’US-China Business Council, pour livrer des charges menant à la mise en place de VS Code Remote Tunnels. Cette approche illustre un virage notable vers des techniques de living-off-the-land s’appuyant sur des services légitimes pour le C2. 🎯 ...

Selon StepSecurity, un incident de supply chain a compromis le paquet populaire @ctrl/tinycolor (2M+ téléchargements hebdo) ainsi que plus de 40 autres paquets npm, avec retrait des versions malveillantes du registre. Découvert par @franky47, le binaire malveillant bundle.js (~3,6 Mo) s’exécute lors de npm install (probable postinstall détourné) et cible des environnements Linux/macOS. L’attaque s’appuie sur un chargeur Webpack modulaire exécuté de façon asynchrone. Il réalise une reconnaissance du système (plateforme, architecture) et exfiltre l’intégralité de process.env, capturant des variables sensibles (ex. GITHUB_TOKEN, AWS_ACCESS_KEY_ID). Le code adopte une gestion silencieuse des erreurs et n’émet aucun log, tout en camouflant certains comportements (exécution de TruffleHog). ...