International

Selon le blog Talos Intelligence (Cisco Talos), des intrusions observées en août 2025 attribuées au groupe ransomware Kraken montrent des campagnes de big‑game hunting avec double extorsion, une filiation probable avec HelloKitty et des outils et TTPs avancés visant Windows, Linux et VMware ESXi. – Qui est Kraken ? Ce groupe, apparu en février 2025, exploite la double extorsion et se montre opportuniste, sans verticales dédiées. Son site de fuite recense des victimes aux États‑Unis, Royaume‑Uni, Canada, Danemark, Panama et Koweït. Les fichiers chiffrés portent l’extension .zpsc et une note de rançon readme_you_ws_hacked.txt redirige les victimes vers une URL onion. Dans un cas, une demande d’environ 1 M$ en Bitcoin a été observée. Le groupe a annoncé un forum souterrain, The Last Haven Board, prétendant offrir un canal anonyme et sécurisé, avec un message de soutien de l’équipe HelloKitty et de WeaCorp, renforçant les liens supposés avec HelloKitty. ...

Source: Commission européenne (DG for Digital Services) — Contexte: publication du « Cloud Sovereignty Framework » v1.2.1 (octobre 2025), définissant objectifs, niveaux d’assurance et méthode de scoring pour évaluer la souveraineté des services cloud dans les procédures de marchés publics. Le document précise 8 objectifs de souveraineté (SOV-1 à SOV-8) s’appuyant sur des référentiels et initiatives européens (CIGREF v2, Gaia-X, ENISA/NIS2/DORA) et sur des retours d’expérience nationaux (France « Cloud de Confiance », Allemagne « Souveräner Cloud »). Les objectifs couvrent: ...

Source: CyberScoop (Matt Kapko, 7 novembre 2025). L’article détaille la plaidoirie de culpabilité d’Aleksei Olegovich Volkov, 25 ans, alias ‘chubaka.kor’, pour son rôle d’initial access broker (IAB) au sein du groupe de ransomware Yanluowang entre juillet 2021 et novembre 2022. Volkov et des co-conspirateurs ont ciblé au moins sept entreprises américaines (dont une entreprise d’ingénierie et une banque). Les victimes ont subi du vol et chiffrement de données, des attaques DDoS et des appels téléphoniques de harcèlement visant à accroître la pression. Deux victimes ont payé au total 1,5 M$ de rançon, et le montant cumulé exigé auprès des sept victimes atteignait 24 M$. Certaines organisations ont dû interrompre temporairement leurs opérations. 💥 ...

Source: Swiss Financial Sector Cyber Security Centre (Swiss FS-CSC). Dans un communiqué daté du 13 novembre 2025, l’association annonce avoir conduit à Zurich un exercice opérationnel d’envergure pour la place financière suisse et liechtensteinoise, visant à améliorer la cyberrésilience sectorielle. L’exercice a simulé une cyberattaque complexe en plusieurs étapes contre le secteur financier. Les 134 participants — CISO/RSSI, responsables sécurité, responsables et analystes SOC, analystes des menaces et analystes principaux — devaient reconnaître les signaux faibles, limiter les effets, se coordonner via la plateforme d’échange du Swiss FS-CSC avec d’autres instituts et autorités, et assurer la continuité des activités. ...

Selon BleepingComputer, Logitech a confirmé avoir subi une fuite de données après une cyberattaque revendiquée par le gang d’extorsion Clop. Le géant suisse des accessoires informatiques Logitech a confirmé un incident de cybersécurité avec exfiltration de données, après avoir été revendiqué par le groupe d’extorsion Clop. L’attaque s’inscrit dans la vague de campagnes Clop visant des instances Oracle E-Business Suite via une faille zero-day en juillet 2025. Faits clés Logitech indique avoir subi une exfiltration de données, sans impact sur : ...

Source: GBHackers Security — L’article décrit la reprise d’activité de l’infostealer Lumma après le doxxing présumé de ses membres clés, ainsi que l’apparition de capacités plus sophistiquées, notamment l’utilisation de l’empreinte navigateur. Après le doxxing présumé de ses membres clés, le voleur d’informations Lumma Stealer (Water Kurita, selon Trend Micro) avait connu une forte chute d’activité, ses clients migrant vers Vidar ou StealC. Mais depuis fin octobre 2025, une reprise soutenue est observée, accompagnée d’évolutions majeures dans les capacités du malware, notamment une nouvelle infrastructure de fingerprinting navigateur et des techniques renforcées d’évasion. ...

Selon watchTowr Labs, une vulnérabilité non nommée et sans identifiant public affecte Fortinet FortiWeb et serait exploitée activement, signalée initialement par l’équipe Defused; des tests internes de watchTowr indiquent qu’un correctif “silencieux” semble présent en version 8.0.2, bien que les notes de version n’en fassent pas mention. L’analyse détaille une combinaison de deux failles: traversée de chemin dans l’URI de l’API FortiWeb permettant d’atteindre l’exécutable CGI interne fwbcgi, puis contournement d’authentification via l’en-tête HTTP_CGIINFO. Le composant fwbcgi effectue un contrôle d’entrée minimal (JSON valide) et une phase d’“authentification” qui, en réalité, impersonne l’utilisateur fourni par le client via un JSON Base64 (champs username, profname, vdom, loginname), conférant ensuite les privilèges correspondants dans cgi_process(). ...

Netcraft publie une analyse détaillée d’une campagne de phishing visant les voyageurs et clients d’hôtels, conduite depuis début 2025 par un acteur russophone. L’opération s’appuie sur un kit de phishing sophistiqué qui personnalise dynamiquement les pages en fonction d’un code unique dans l’URL et imite des marques majeures comme Airbnb et Booking.com. • Aperçu de la menace. L’attaque cible des personnes ayant (ou semblant avoir) des réservations via des emails malveillants transitant par le service “Want Your Feedback”. Les pages sont traduites en 43 langues, ajustent format de date, devise et marque selon un “AD_CODE” et affichent une fausse assistance chat. ...

Source: Blog de Checkout.com — Dans une déclaration signée par le CTO Mariano Albera (12 novembre 2025), l’entreprise décrit une tentative d’extorsion liée à l’accès non autorisé à un ancien système de stockage cloud tiers utilisé jusqu’en 2020. L’entreprise indique avoir été contactée par le groupe criminel « ShinyHunters » revendiquant l’obtention de données liées à Checkout.com et exigeant une rançon. Après enquête, Checkout.com confirme que des données ont été obtenues via un accès non autorisé à un système de stockage cloud tiers « legacy » qui n’avait pas été correctement décommissionné. ...

Source : Europol – communiqué de presse (coordination depuis La Haye, 10–14 novembre 2025), dans le cadre de l’Operation Endgame contre les facilitateurs de ransomwares et d’autres cybercrimes. • Les autorités ont ciblé trois grands « enablers » cybercriminels : l’infostealer Rhadamanthys, le Remote Access Trojan (RAT) VenomRAT et le botnet Elysium. Une arrestation du principal suspect lié à VenomRAT a eu lieu en Grèce le 3 novembre 2025. Les actions ont été coordonnées par Europol et Eurojust, avec un poste de commandement à Europol. ...