International

Source: SpecterOps (billet de blog, 19 nov. 2025). Contexte: Publication de recherche détaillant une vulnérabilité de SCCM intégrée à Entra ID, assignée CVE-2025-59501, avec un correctif publié le 27 oct. 2025 (KB35360093) et une chronologie de divulgation. Le billet explique que, sur des sites SCCM intégrés à Microsoft Entra ID (CMG/Co-management) et avant le correctif KB35360093, l’API AdminService valide un jeton Entra puis extrait l’UPN pour réaliser une impersonation Kerberos S4U d’un compte Active Directory correspondant, sans contrôle d’autorisation supplémentaire sur l’UPN. Cela permettait d’exécuter des opérations WMI côté SMS Provider « au nom » de n’importe quelle identité AD mappable via l’UPN. ...

Selon The Register, Salesforce a signalé une nouvelle compromission impliquant des applications publiées par Gainsight et connectées à des instances clients Salesforce, avec une attribution probable au groupe ShinyHunters (UNC6240) évoquée par Google Threat Intelligence Group. Salesforce indique que l’activité suspecte « a pu permettre un accès non autorisé » à certaines données clients via la connexion des applications Gainsight. En réponse, l’éditeur a révoqué tous les tokens d’accès et de rafraîchissement associés à ces applications et les a temporairement retirées de l’AppExchange pendant l’enquête. Salesforce précise ne voir « aucune indication » d’une vulnérabilité de sa plateforme, l’activité étant liée à la connexion externe de l’app. ...

Selon une communication de Salesforce, une activité inhabituelle a été détectée impliquant des applications publiées par Gainsight et connectées à Salesforce. L’enquête interne indique que cette activité a pu permettre un accès non autorisé à certaines données clients Salesforce via la connexion de l’application. En réponse, Salesforce a révoqué tous les tokens d’accès et de rafraîchissement liés aux applications Gainsight connectées à Salesforce. Les applications concernées ont été temporairement retirées de l’AppExchange pendant la poursuite de l’enquête. Points clés: ...

Source: AWS Security Blog (13 nov. 2025). Des chercheurs d’Amazon Inspector ont découvert plus de 150 000 paquets npm liés à une campagne coordonnée de « token farming » associée à tea.xyz, dépassant largement les 15 000 paquets initialement signalés par Sonatype en avril 2024. L’équipe a utilisé une détection hybride (règles + IA) pour mettre en évidence un schéma d’attaque auto-réplicant visant des gains financiers. 🚨 Nature et impact: Contrairement aux malwares classiques, ces paquets ne contiennent pas de code explicitement malveillant mais exploitent le mécanisme de récompense de tea.xyz en gonflant artificiellement les métriques via réplication et chaînes de dépendances. Les risques clés sont: pollution des registres (npm saturé de paquets non fonctionnels), exploitation des ressources (infrastructure/bande passante/stockage), effet de précédent (incitation à copier le modèle), et risques supply chain (dépendances inutiles et comportements inattendus). ...

Selon NewsGuard’s Reality Check (17 nov. 2025), des propagandistes pro-Kremlin exploitent l’outil texte‑vers‑vidéo Sora 2 d’OpenAI pour fabriquer des vidéos virales montrant de prétendues redditions de soldats ukrainiens, afin de saper le moral des forces ukrainiennes en pleine guerre Russie‑Ukraine. NewsGuard rappelle qu’un test récent a montré que Sora 2 avançait des contre‑vérités sur des sujets d’actualité dans 80 % des cas lorsqu’il y était incité. 🎥 En novembre 2025, NewsGuard a identifié sept vidéos générées par IA présentées comme des images du front à Pokrovsk, une ville clé de l’Est que des experts estiment proche de tomber. Ces vidéos, cumulant des millions de vues sur X, TikTok, Facebook et Telegram, montrent des scènes de redditions massives et des soldats ukrainiens implorant le pardon de la Russie. ...

Source: BleepingComputer (Lawrence Abrams). L’article décrit des campagnes récentes où la vieille commande finger est abusée comme LOLBIN pour livrer et exécuter des scripts malveillants sur Windows, souvent via des attaques ClickFix se faisant passer pour des Captcha. Les attaquants incitent l’utilisateur à lancer une commande Windows qui exécute finger user@hôte et redirige la sortie vers cmd.exe, ce qui permet d’exécuter à distance les instructions renvoyées par un serveur Finger. Des échantillons et rapports (VirusTotal, Reddit, MalwareHunterTeam) montrent l’usage de hôtes Finger malveillants. ...

Source et contexte : Securelist (Kaspersky) publie un rapport trimestriel sur l’évolution des menaces non mobiles au T3 2025, couvrant Windows, macOS et IoT, avec tendances, chiffres clés et campagnes marquantes. 📊 Chiffres globaux Kaspersky a bloqué plus de 389 M d’attaques provenant de ressources en ligne; Web Anti‑Virus a réagi à 52 M d’URLs uniques. File Anti‑Virus a bloqué plus de 21 M d’objets malveillants ou potentiellement indésirables. 2 200+ nouveaux variants de ransomware détectés; ~85 000 utilisateurs ont subi des attaques ransomware; plus de 254 000 utilisateurs ciblés par des mineurs. 🔒 Ransomware : activités, groupes et répression ...

Cet article est un rapport technique spécialisé publié par Trend Micro Research, intitulé “Breaking Down S3 Ransomware: Variants, Attack Paths and Trend Vision One™ Defenses”. Il s’agit d’une analyse détaillée des différentes variantes de ransomwares exploitant Amazon S3, de leurs techniques d’attaque, ainsi que des capacités de détection fournies par Trend Vision One. Dans les infrastructures traditionnelles, les attaquants s’appuyaient surtout sur des intrusions réseau, le phishing, des pièces jointes malveillantes et l’exploitation de logiciels obsolètes ou vulnérables. ...

Source: WeLiveSecurity (ESET Research) — ESET publie une analyse technique d’« EdgeStepper », un implant réseau utilisé par le groupe APT PlushDaemon pour des attaques d’« adversary‑in‑the‑middle » (AiTM) via détournement DNS, permettant l’hijacking d’infrastructures de mises à jour et le déploiement du backdoor SlowStepper. • Profil et ciblage: PlushDaemon, actif depuis au moins 2018 et aligné Chine, mène des opérations d’espionnage contre des cibles en Chine, Taïwan, Hong Kong, Cambodge, Corée du Sud, États‑Unis et Nouvelle‑Zélande. Le groupe utilise la porte dérobée SlowStepper et obtient l’accès initial en d détournant des mises à jour logicielles via un implant réseau (EdgeStepper). ESET a aussi observé l’exploitation de vulnérabilités de serveurs web et une attaque de chaîne d’approvisionnement en 2023. L’étude illustre notamment l’hijacking des mises à jour de Sogou Pinyin (d’autres logiciels populaires chinois sont affectés de manière similaire). ...

Selon 404 Media, la plateforme d’« erotic roleplay » et de génération d’images SecretDesires.ai a laissé des conteneurs Microsoft Azure Blob non sécurisés exposant près de 1,8 million de fichiers (images et vidéos), avant de couper l’accès après notification par le média. 🔓 Incident et périmètre de l’exposition Des liens vers des images/vidéos étaient accessibles publiquement via des conteneurs Azure non authentifiés, y compris des fichiers XML listant les URLs. Conteneurs concernés: « removed images » (~930 000 images), « faceswap » (~50 000 images) et « live photos » (~220 000 vidéos), pour un total d’environ 1,8 million de fichiers (avec duplications possibles). Après l’alerte envoyée par 404 Media, les fichiers sont devenus inaccessibles. La société (Playhouse Media, CEO: Jack Simmons) n’a pas répondu aux questions. 📦 Nature des données exposées et usages ...