International

Selon Positive Technologies (PT Cyber Analytics), ce rapport synthétise l’évolution technique et l’organisation économique des forums du dark web, en s’appuyant sur l’expertise interne, des rapports de vendees cybersécurité, des sources ouvertes (agences et forces de l’ordre) et des canaux Telegram de groupes criminels. 🔍 Le rapport décrit le passage des CMS prêts à l’emploi (phpBB, vBulletin, XenForo) à des plateformes sur mesure et hybrides, rendant l’analyse et la recherche de vulnérabilités plus difficiles. Il met en avant une architecture en couches (vitrines clearnet, miroirs, proxys) qui améliore la résilience face à la surveillance et aux blocages, et l’usage de mesures anti-bot (JavaScript challenges) et VPN limitant le scraping automatisé. L’OPSEC renforcée (accès multi-niveaux, contrôle communautaire, PGP, minimisation des logs) freine l’infiltration, déplaçant l’enquête vers l’analyse comportementale et des métadonnées. ...

Source: Malware Analysis Space (blog de Seeker/李标明). Contexte: notes de recherche publiées le 28 janvier 2026, centrées sur une revisite technique de MoonBounce et ses mécanismes d’inline hooking au cœur du DXE Core, en s’appuyant sur les rapports de Kaspersky et Binarly. L’auteur rappelle que MoonBounce est un implant firmware UEFI associé à APT41 (Winnti) et se concentre sur le binaire CORE_DXE (DXE Core/Foundation). L’étude met en évidence que l’implant ne se contente pas d’un driver séparé mais patch le code exécutable du DXE Core, installant des hooks inline très précoces qui s’exécutent « sous » l’ensemble des drivers DXE. ...

Selon l’annonce du projet OpenMalleableC2, cette bibliothèque open source implémente le format de profil Malleable C2 de Cobalt Strike pour transformer et transporter des données sur HTTP de manière flexible et transparente. Le projet vise à combler les limites de personnalisation du trafic HTTP observées dans des frameworks C2 open source existants (comme Mythic, Havoc, Adaptix) en permettant la réutilisation directe des profils Malleable C2 et de l’écosystème associé. Il se présente comme « framework-agnostic » afin de s’intégrer à divers outils de recherche et d’équipes rouges. 🛠️ ...

Type d’article :* fuite massive de données / menace liée aux infostealers Source : WIRED Découverte : Jeremiah Fowler (chercheur en sécurité) Nature de l’incident : base de données publique non protégée Période d’observation : plusieurs semaines avant suppression 🎯 Faits clés Une base de données non sécurisée contenant 149 millions de paires identifiants/mots de passe a été découverte puis supprimée après signalement. Les données étaient librement accessibles via un simple navigateur web et continuaient de croître pendant la période d’observation. ...

Selon Socket (Threat Research Team), cinq extensions Chrome malveillantes, atteignant plus de 2 300 utilisateurs, ciblent des plateformes RH/ERP (Workday, NetSuite, SAP SuccessFactors) afin de voler des jetons d’authentification, bloquer l’accès aux pages de sécurité et permettre le détournement de sessions. Les extensions sont publiées sous les identités « databycloud1104 » et « softwareaccess » et restent en cours d’investigation, avec des demandes de retrait soumises au Chrome Web Store. ...

Selon Daylight Security (équipe MDR), une campagne d’infostealer active cible des utilisateurs macOS et Windows via l’empoisonnement SEO et des dépôts GitHub frauduleux se faisant passer pour des outils légitimes (ex. PagerDuty), avec une infrastructure toujours active depuis 2025. • Les acteurs manipulent les résultats de recherche Google pour placer de faux dépôts GitHub en tête, contenant uniquement un README.md et renvoyant vers des pages GitHub Pages. Plus de 20+ dépôts malveillants sont actifs depuis septembre 2025; la campagne, déjà signalée par Jamf et LastPass, reste hautement active en janvier 2026. ...

BleepingComputer rapporte qu’Okta avertit de la circulation de kits de phishing personnalisés conçus pour des attaques de vishing, actuellement utilisés pour dérober des identifiants Okta SSO en vue de vols de données. Les kits sont conçus spécifiquement pour la manipulation vocale (vishing) et sont déployés dans des campagnes actives, selon les informations rapportées. L’objectif principal est le vol d’identifiants Okta SSO, permettant un accès non autorisé susceptible de mener à de l’exfiltration de données. ...

Source: Microsoft Defender Security Research Team. Contexte: les chercheurs détaillent une campagne multi-étapes d’AiTM phishing évoluant vers des activités de BEC contre plusieurs organisations du secteur de l’énergie, abusant de SharePoint pour la livraison et s’appuyant sur des règles de messagerie pour la persistance et l’évasion. Résumé opérationnel: Les attaquants ont initialement exploité une identité de tiers de confiance compromise pour envoyer un lien SharePoint légitime nécessitant authentification, mimant les workflows de partage SharePoint. Après clic, la chaîne a inclus une attaque AiTM (vol/usage de cookies de session) et la création de règles supprimant et marquant comme lus les emails entrants, afin de masquer l’activité. Les comptes compromis ont servi à une campagne de phishing à grande échelle (>600 emails) vers contacts internes/externes et listes de distribution, sélectionnés depuis les fils récents. Les opérateurs ont ensuite mené des tactiques BEC: surveillance des NDR/OOO, suppression des traces, réponses rassurantes aux doutes, puis poursuite des compromissions en chaîne via de nouveaux clics. Détections et réponses Microsoft Defender XDR: ...

Team Cymru publie une analyse approfondie des attaques de Scattered Spider, couvrant 2024-2025, afin d’aider les défenseurs à détecter et perturber plus tôt leurs opérations. • Contexte et impact: Scattered Spider, groupe cybercriminel anglophone lié à la communauté « TheCom », a été pointé par le FBI (Sleuthcon 2024) pour de multiples intrusions à fort impact. Des incidents notables incluent MGM Resorts (ALPHV/BlackCat) avec un coût de 100 M$, Marks & Spencer (DragonForce) avec une perte estimée de £300 M, ainsi que des attaques contre Co-op et Harrods en 2025 attribuées par les experts de Google. Le groupe est suivi sous divers alias (UNC3944, 0ktapus, Octo Tempest, Scatter Swine, Muddled Libra). ...

Source : Varonis — Le billet met en lumière « Stanley », un nouveau toolkit malveillant qui se distingue par sa capacité à usurper des sites web tout en gardant la barre d’adresse intacte, et par sa promesse d’obtenir l’approbation du Chrome Web Store pour ses composants. Le cœur de l’information est la présentation de capacités d’usurpation avancées permettant d’afficher de fausses pages sans altérer l’URL visible par l’utilisateur, un élément généralement rassurant pour les victimes 🎭. ...