International

Selon TRM Labs, l’OFAC (U.S. Treasury) a sanctionné des figures clés derrière l’échange crypto Garantex, son successeur Grinex, ainsi que le jeton A7A5 adossé au rouble, utilisé pour contourner les sanctions. L’enquête révèle une planification avancée : Grinex a été établi au Kirghizstan des mois avant le démantèlement de Garantex en mars 2025, et le réseau a facilité des centaines de millions de dollars de transactions illicites, dont des produits de ransomware (Conti, LockBit, Ryuk) et des flux provenant de darknet markets. ...

Selon Censys (billet de blog), PolarEdge est un botnet IoT soupçonné d’opérer comme un réseau ORB (Operational Relay Box), ayant compromis près de 40 000 appareils depuis 2023 et s’appuyant sur un backdoor TLS personnalisé. • Nature et portée 📡 PolarEdge met en place une infrastructure de proxy résidentiel à long terme pour des opérations malveillantes, en maintenant une faible visibilité via des ports élevés et un chiffrement légitime. La concentration géographique est élevée en Corée du Sud (51,6 %) et aux États‑Unis (21,1 %). ...

Source : Trustwave (SpiderLabs Blog). Dans cette publication, des chercheurs présentent une méthodologie complète pour analyser le malware SnakeKeylogger et élaborer des signatures de détection efficaces. Ils montrent comment le code malveillant contourne des règles existantes en encodant en Base64 des données exfiltrées via SMTP, et proposent un flux de travail pratique pour collecter des IOC et affiner continuellement les signatures. 🔬 Comportement réseau et évasion : l’analyse met en évidence des connexions vers des IP malveillantes sur les ports 80, 443 et 587, et l’usage de l’encodage Base64 dans le trafic SMTP afin de contourner les règles de détection. ...

Source: Knostic.ai — Des chercheurs en sécurité rapportent une vulnérabilité reproductible dans GPT-5 causant une contamination de contexte inter‑session lors de scénarios d’erreurs de longueur de message suivies d’un appui sur « Retry ». — Résumé factuel — Nature du problème: vulnérabilité de gestion d’erreurs et de session entraînant une contamination de contexte cross‑session. Conditions: prompts surdimensionnés provoquant des erreurs de type message_length_exceeds_limit, puis action Retry. Impact observé: génération de réponses issues de conversations non liées. Aucune exposition de données sensibles confirmée, mais risque de confiance et de confidentialité élevé, notamment pour des environnements entreprise et réglementés. — Détails techniques — ...

Selon Cofense Intelligence (blog Cofense), une analyse des campagnes de livraison de malwares de Q3 2023 à Q3 2024 met en évidence l’usage intensif de la personnalisation des sujets d’e-mails de phishing 🎯 pour augmenter les taux de succès, avec des thèmes dominants Finance, Assistance voyage et Réponse. Principaux constats: les campagnes ciblées livrent des RAT et information stealers pouvant servir d’accès initial pour des opérateurs de ransomware. Les corrélations les plus fortes lient jRAT et Remcos RAT à des sujets/personnalisations orientés Finance (notamment via des noms de fichiers de téléchargement personnalisés). Vidar Stealer est le plus associé aux thèmes Assistance voyage, tandis que PikaBot domine les campagnes à thème Réponse . ...

Selon Trend Micro (publication de recherche), les opérateurs du ransomware Crypto24 mènent des attaques coordonnées et furtives contre des organisations de haut profil en Asie, en Europe et aux États-Unis, avec un focus sur les services financiers, la fabrication, le divertissement et la technologie. Les acteurs combinent des outils légitimes comme PSExec et AnyDesk avec des composants personnalisés, opèrent durant les heures creuses, et adoptent une approche en plusieurs étapes: escalade de privilèges, mouvement latéral, surveillance persistante via keylogger, exfiltration de données, puis déploiement de ransomware après désactivation des solutions de sécurité. ...

Contexte — Source : Trustwave SpiderLabs. Le billet détaille une campagne avancée d’EncryptHub combinant ingénierie sociale, exploitation de vulnérabilité et nouveaux outils malveillants pour compromettre des cibles à l’échelle mondiale. • Portée et mode opératoire. Les attaquants se font passer pour le support IT via Microsoft Teams afin d’établir un accès à distance, puis hébergent des contenus malveillants sur la plateforme Brave Support. La campagne a compromis 618 organisations dans le monde et s’appuie sur des outils Golang comme le chargeur SilentCrystal et des backdoors proxy SOCKS5. Les opérateurs utilisent également de fausses plateformes de visioconférence et des structures de commande chiffrées pour la persistance et le contrôle. ...

Selon Embrace The Red, un chercheur en sécurité a mis au jour plusieurs vulnérabilités critiques d’exfiltration de données affectant Google Jules, un agent IA de codage asynchrone, démontrant un enchaînement de type « lethal trifecta »: injection de prompt → confused deputy → invocation automatique d’outils. 🚨 Principaux vecteurs d’attaque mis en évidence: Rendu d’images Markdown: ajout de données sensibles à des URLs tierces lors du rendu, permettant l’exfiltration via requêtes sortantes. Abus de l’outil view_text_website: utilisation de la fonction pour exfiltrer des données vers des serveurs contrôlés par l’attaquant. Exécution de code à distance (RCE) avec accès Internet non restreint. Le chercheur explique que l’architecture multi‑agents de Jules, où un agent planificateur principal coordonne des agents « workers » à forts privilèges, est au cœur de l’exposition: des attaques ciblant le planificateur peuvent contourner les contrôles « human‑in‑the‑loop », sans nécessiter les capacités des workers. ...

Selon BleepingComputer, Fortinet met en garde contre une vulnérabilité critique affectant FortiSIEM, pour laquelle du code d’exploitation circule déjà. ⚠️ Problème signalé: faille d’injection de commandes à distance non authentifiée dans FortiSIEM. Selon l’alerte, du code d’exploit est déjà « in the wild », ce qui accroît le risque d’abus. 🛠️ Mesure mise en avant: Fortinet souligne qu’il est crucial d’appliquer les dernières mises à jour de sécurité disponibles pour les produits concernés. ...

Selon Arctic Wolf, Fortinet a publié des correctifs pour une vulnérabilité critique (CVE-2025-25256) dans FortiSIEM, permettant à un attaquant non authentifié de réaliser une exécution de code à distance (RCE) via injection de commandes dans le service phMonitor. Un proof-of-concept public est disponible, renforçant l’urgence d’appliquer les mises à jour. 🚨 Sur le plan technique, la faille provient d’une neutralisation incorrecte d’éléments spéciaux dans des commandes système. Le service phMonitor, à l’écoute sur le port TCP 7900, peut être ciblé via des requêtes CLI spécialement conçues, ouvrant la voie à l’exécution de code non autorisé. ...