International

Selon BleepingComputer, plusieurs paquets malveillants publiés sur le registre NuGet contiennent des charges de sabotage programmées pour s’activer en 2027 et 2028. Les cibles mentionnées sont des implémentations de bases de données et des dispositifs de contrôle industriel Siemens S7 🏭, suggérant un risque pour des environnements applicatifs et des systèmes ICS. Points clés: Paquets malveillants sur NuGet (chaîne d’approvisionnement logicielle) ⚠️ Charges de sabotage à activation différée (2027–2028) Ciblage de bases de données et d’équipements Siemens S7 TTPs observés (d’après l’extrait): ...

Source: Cisco Security Advisory (sec.cloudapps.cisco.com). Cisco publie un avis sur une vulnérabilité d’exécution de code à distance (RCE) via des services web/SSL impactant plusieurs familles de produits lorsque certaines fonctionnalités sont activées, et fournit des commandes pour déterminer si un équipement est exposé. Produits affectés (selon configuration) et identifiants internes: Secure Firewall ASA/FTD (CSCwo18850), IOS avec Remote Access SSL VPN activé (CSCwo35704), IOS XE avec Remote Access SSL VPN activé (CSCwo35704, CSCwo35779), et IOS XR 32-bit sur routeurs ASR 9001 avec HTTP server activé (CSCwo49562). Cisco NX-OS n’est pas affecté. ...

Source et contexte — Google Threat Intelligence Group (GTIG), novembre 2025: ce rapport met à jour l’analyse de janvier 2025 sur la « mauvaise utilisation des IA génératives » et documente l’intégration active d’IA dans des opérations réelles, depuis la reconnaissance jusqu’à l’exfiltration. • Points clés: GTIG rapporte les premiers cas de malwares utilisant des LLM en cours d’exécution (« just-in-time »), l’usage de prétextes de type ingénierie sociale pour contourner les garde-fous, la montée d’un marché cybercriminel d’outils IA multifonctions, et l’emploi d’IA par des acteurs étatiques (Chine, Iran, Corée du Nord, Russie) sur l’ensemble du cycle d’attaque. ...

Source et contexte: Sekoia.io publie une analyse TDR d’une campagne active depuis au moins avril 2025, identifiée comme « I Paid Twice », visant les établissements hôteliers et leurs clients via des compromissions de comptes Booking.com et des leurres de paiement. 🔎 Vecteur initial et infrastructure: Des emails malveillants provenant d’adresses compromises (parfois usurpant Booking.com) redirigent vers une chaîne de pages et scripts JavaScript menant à la tactique de social engineering « ClickFix ». Un service de redirection type TDS masque l’infrastructure et résiste aux takedowns. Les pages imitent l’extranet Booking (motifs d’URL admin/extranet) et poussent l’utilisateur à copier/exec un one‑liner PowerShell. ...

Source: Fenrisk — Article technique décrivant une vulnérabilité d’exécution de code à distance dans CentOS Web Panel (CWP), ses conditions d’exploitation, une preuve de concept et la disponibilité d’un correctif. • La vulnérabilité (CVE-2025-48703) combine un contournement d’authentification et une injection de commande dans le paramètre t_total du module « filemanager » (action changePerm). Le backend exécute un chmod via sh -c, rendant l’instruction injectable. Un attaquant non authentifié, connaissant un nom d’utilisateur non-root valide, peut ainsi exécuter des commandes arbitraires. ...

Selon GBHackers Security, le gang de ransomware Rhysida (ex-Vice Society depuis 2023) conduit une campagne sophistiquée de malvertising qui livre le malware OysterLoader via des publicités de moteurs de recherche trompeuses, notamment des annonces payantes Bing, offrant aux attaquants un accès complet aux appareils et aux réseaux compromis. Les annonces malveillantes se font passer pour des contenus liés à PuTTY, redirigeant les victimes vers une chaîne d’infection peaufinée par le groupe. Cette chaîne aboutit au déploiement d’OysterLoader, utilisé pour établir et maintenir l’accès sur les systèmes touchés. ...

Source: Eurojust (eurojust.europa.eu). Eurojust annonce une opération conjointe ayant conduit au démantèlement d’un réseau transnational d’escroqueries aux cryptomonnaies et de blanchiment d’argent évalué à environ 600 M€. Les suspects auraient mis en place des dizaines de fausses plateformes d’investissement imitant des sites légitimes et promettant des rendements élevés. Les victimes étaient ciblées via publicités sur les réseaux sociaux, appels à froid, faux articles d’actualité et faux témoignages de célébrités. Une fois les fonds transférés en crypto, les victimes ne pouvaient plus les récupérer, et les actifs étaient ensuite blanchis via la blockchain. ...

Selon KrebsOnSecurity, depuis une semaine, des domaines associés au vaste botnet Aisuru ont à plusieurs reprises supplanté Amazon, Apple, Google et Microsoft dans le classement public des sites les plus fréquemment sollicités de Cloudflare. Cloudflare a réagi en retirant/masquant (« redacting ») les noms de domaine d’Aisuru de ses listes des sites les plus consultés. Points clés: Menace: botnet Aisuru. Impact: usurpation du classement des sites les plus demandés, devant de grands acteurs (Amazon, Apple, Google, Microsoft). Réponse: Cloudflare a occulté les domaines concernés dans ses « top websites ». IOCs et TTPs: ...

Selon Help Net Security, YouTube (2,53 milliards d’utilisateurs) est devenu un terrain où coexistent divertissement, information et tromperie, avec une hausse notable des abus exploitant les failles de l’écosystème. L’article met en avant la prolifération d’arnaques et de deepfakes, ainsi que des promotions camouflant des liens malveillants derrière des logos familiers. Il cite aussi la présence de malware dans des vidéos tutoriels, des comptes de créateurs détournés, et des contenus de fraude à l’investissement devenus récurrents. ...

Source: NVISO (blog). Dans un billet signé par Maxime, NVISO présente une analyse technique de VShell, un outil d’intrusion en langue chinoise observé dans des activités d’espionnage à long terme, avec un suivi d’infrastructure mené sur plusieurs mois et des notifications de victimes réalisées avec l’appui de Team Cymru. NVISO indique que VShell est utilisé par plusieurs acteurs (étatiques et indépendants). Plusieurs intrusions ont été publiquement attribuées à UNC5174 (supposé courtier d’accès initial lié au MSS chinois), souvent via l’exploitation de systèmes exposés. Toutefois, la disponibilité publique et l’usage élargi de VShell empêchent une attribution exclusive à UNC5174. L’activité observée augmente en Amérique du Sud, Afrique et APAC. ...