International

Source: Brave.com blog (20 août 2025). Brave présente une recherche montrant qu’une vulnérabilité dans l’agent de navigation Comet de Perplexity permet des attaques d’injection indirecte de prompts, contournant les hypothèses classiques de sécurité Web et entraînant des risques majeurs en sessions authentifiées. Brave explique que Comet, lorsqu’on lui demande de résumer une page, transmet une partie du contenu de la page directement au LLM sans distinguer les instructions de l’utilisateur du contenu non fiable de la page. Cette conception ouvre la voie à une injection indirecte de prompts où des instructions malveillantes, dissimulées dans une page Web ou un commentaire social, sont traitées comme des commandes par l’agent. ...

Selon Mimecast (Threat Research), une campagne de hameçonnage ciblé MCTO3030 vise spécifiquement les administrateurs cloud de ScreenConnect afin de dérober des identifiants de super administrateur. Les messages de spear phishing, envoyés à faible volume pour rester discrets, ciblent des profils IT seniors et redirigent vers de faux portails ScreenConnect, avec une connexion probable à des opérations de ransomware (affiliés Qilin), permettant un mouvement latéral rapide via le déploiement de clients ScreenConnect malveillants. ...

Source: Google Cloud Blog (Mandiant/GTIG), 26 août 2025. Contexte: avis de sécurité sur une campagne de vol de données visant des instances Salesforce via l’application tierce Salesloft Drift, avec notification aux organisations impactées. Les analystes décrivent une campagne de vol et exfiltration de données menée par l’acteur suivi sous le nom UNC6395. Entre le 8 et le 18 août 2025, l’attaquant a utilisé des tokens OAuth Drift compromis pour accéder à de nombreuses instances Salesforce d’entreprises et en extraire de grands volumes de données. L’objectif principal évalué est la récolte d’identifiants et de secrets (notamment clés d’accès AWS AKIA, mots de passe et tokens liés à Snowflake). L’acteur a montré une certaine hygiène opérationnelle en supprimant des “query jobs”, sans affecter les journaux consultables. ...

Selon Cyber Security News, s’appuyant sur des observations de GreyNoise, une campagne de reconnaissance à grande échelle cible les services Microsoft RDP, en particulier RD Web Access et le client web RDP, avec plus de 30 000 adresses IP impliquées. 🚨 L’opération a débuté le 21 août 2025 avec près de 2 000 IPs puis a brusquement grimpé le 24 août à plus de 30 000 IPs utilisant des signatures client identiques, indiquant une infrastructure de botnet ou un outillage coordonné. Les chercheurs notent que 92 % de l’infrastructure de scan était déjà classée malveillante, avec un trafic source fortement concentré au Brésil (73 %), visant exclusivement des endpoints RDP basés aux États‑Unis. Sur les 1 971 hôtes initiaux, 1 851 partageaient des signatures client uniformes, suggérant un C2 centralisé typique d’opérations APT. ...

Source: Google Cloud Blog (Google Threat Intelligence, GTIG). Contexte: publication d’une analyse technique détaillant une campagne d’espionnage attribuée à UNC6384, groupe PRC‑nexus apparenté à TEMP.Hex/Mustang Panda, ciblant en priorité des diplomates et des organisations gouvernementales en Asie du Sud‑Est. • Chaîne d’attaque: l’opération commence par un détournement de portail captif via un Attacker‑in‑the‑Middle qui redirige le test de connectivité des navigateurs (gstatic generate_204) vers un site contrôlé par l’attaquant. La page imite une mise à jour de plugin en HTTPS avec certificat Let’s Encrypt et propose un exécutable signé. Le premier étage, STATICPLUGIN, télécharge un « BMP » qui est en réalité un MSI, installe des fichiers Canon légitimes détournés et side‑loade le lanceur CANONSTAGER, lequel déchiffre et exécute en mémoire le backdoor SOGU.SEC. ...

Selon Cisco Talos (blog Talos Intelligence), l’équipe Vulnerability Discovery & Research a récemment divulgué plusieurs vulnérabilités qui ont toutes été corrigées par les éditeurs concernés conformément à la politique de divulgation de Cisco. Points clés: 10 vulnérabilités dans BioSig Libbiosig 9 vulnérabilités dans le routeur Tenda AC6 8 vulnérabilités dans SAIL 2 vulnérabilités dans PDF‑XChange Editor 1 vulnérabilité dans Foxit PDF Reader Toutes ces failles ont été patchées par leurs fournisseurs respectifs, en adhérence à la politique de divulgation tierce de Cisco. ...

Selon BleepingComputer, Citrix a corrigé trois vulnérabilités affectant NetScaler ADC et NetScaler Gateway, dont une faille critique d’exécution de code à distance (RCE), CVE-2025-7775, qui a été activement exploitée en zero-day. Produits concernés : NetScaler ADC, NetScaler Gateway Nombre de failles : 3 Vulnérabilité clé : CVE-2025-7775 (RCE critique) Statut d’exploitation : zero-day activement exploitée Mesure annoncée : correctifs publiés par Citrix Cette annonce met l’accent sur la correction rapide d’une vulnérabilité critique utilisée dans des attaques réelles, soulignant l’importance des mises à jour publiées pour les environnements utilisant NetScaler. 🔧⚠️ ...

Source et contexte — Digital Forensic Research Lab (DFRLab): Le rapport détaille une opération en ligne active depuis décembre 2024, impliquant au moins 215 comptes multi‑plateformes diffusant des contenus pro‑russes, anti‑UE et anti‑PAS, accusant la présidente moldave Maia Sandu d’ingérence dans les élections présidentielles roumaines. L’opération s’inscrit dans un contexte électoral tendu en Roumanie (annulation du scrutin 2024 pour ingérence russe crédible, nouveau scrutin en mai 2025). Portée et cibles 🔎: Le réseau a d’abord soutenu Călin Georgescu (extrême droite), puis a pivoté vers George Simion après l’interdiction de Georgescu en 2025 (ce dernier sous enquête pénale). Il a amplifié des attaques contre PAS (parti de Sandu) et l’UE, tout en relayant des accusations d’ingérence de Sandu et des allégations publiées par Pavel Durov (Telegram) au sujet d’une prétendue pression française — démentie par la DGSE. Des contenus visaient également le candidat pro‑européen Nicușor Dan, notamment après le soutien public de Sandu. ...

Source: ESET Research, via un post sur Bluesky. Contexte: les chercheurs affirment avoir découvert le premier ransomware piloté par IA, baptisé PromptLock. • PromptLock s’appuie sur le modèle « gpt-oss:20b » d’OpenAI exécuté localement via l’API Ollama pour générer à la volée des scripts Lua malveillants, puis les exécuter. Ces scripts, produits à partir de prompts codés en dur, servent à énumérer le système de fichiers, inspecter des fichiers cibles, exfiltrer certaines données et chiffrer des contenus. Ils sont multiplateformes et fonctionnent sous Windows, Linux et macOS 🤖🔒. ...

Selon Have I Been Pwned (HIBP), des données clients de TheSqua.re ont été compromises et diffusées en ligne. L’incident, survenu en juin 2025, concerne 107 000 adresses email uniques. Les informations publiées sur un forum de hacking incluent également des noms, numéros de téléphone et villes. HIBP précise que TheSqua.re n’a pas répondu aux tentatives répétées de divulgation responsable. Toutefois, plusieurs abonnés HIBP concernés ont confirmé la légitimité et l’exactitude des données divulguées. ...