International

GreyNoise a découvert une campagne d’exploitation furtive ciblant les routeurs ASUS, exploitant la vulnérabilité CVE-2023-39780 et d’autres techniques non corrigées. Cette activité, observée pour la première fois le 18 mars 2025, a été rendue publique après coordination avec des partenaires gouvernementaux et industriels. Les attaquants ont réussi à obtenir un accès non autorisé et persistant à des milliers de routeurs ASUS exposés à Internet. Cette opération semble être une tentative de créer un réseau distribué de dispositifs avec des portes dérobées, potentiellement pour former un botnet futur. ...

Cet article, publié par Bleepingcomputer, rapporte une attaque de ransomware menée par le groupe DragonForce. Les attaquants ont ciblé un fournisseur de services gérés (MSP) en utilisant la plateforme SimpleHelp pour accéder aux systèmes des clients et y déployer des encryptors. Les chercheurs de Sophos, appelés pour enquêter, ont découvert que les attaquants ont exploité une chaîne de vulnérabilités de SimpleHelp, identifiées comme CVE-2024-57727, CVE-2024-57728, et CVE-2024-57726. Ces failles ont permis aux cybercriminels de réaliser des actions de reconnaissance sur les systèmes des clients, collectant des informations sensibles telles que les noms de dispositifs, les configurations, les utilisateurs et les connexions réseau. ...

L’article publié par Sophos MDR relate une attaque ciblée impliquant un fournisseur de services gérés (MSP). Un acteur malveillant a exploité l’outil de surveillance et de gestion à distance (RMM), SimpleHelp, pour déployer le ransomware DragonForce sur plusieurs points de terminaison. L’attaque a été facilitée par une chaîne de vulnérabilités révélées en janvier 2025, notamment des failles de traversée de chemin, de téléchargement de fichiers arbitraires et d’élévation de privilèges (CVE-2024-57727, CVE-2024-57728, CVE-2024-57726). Les attaquants ont également exfiltré des données sensibles, utilisant une tactique de double extorsion pour faire pression sur les victimes. ...

L’article publié le développeur indépendent Simon Willison met en lumière une vulnérabilité critique dans le serveur MCP de GitHub qui permet l’exfiltration de données privées des utilisateurs. Deux chercheurs, Marco Milanta et Luca Beurer-Kellner, ont découvert une exploitation qui utilise une injection de prompt pour tromper un agent LLM (Large Language Model) afin d’exfiltrer des informations privées concernant l’utilisateur du MCP. L’attaque est initiée par le dépôt d’une issue malveillante dans un dépôt public accessible au LLM. ...

L’article de Cyber Security News met en lumière un nouvel outil de preuve de concept, SharpSuccessor, qui exploite la vulnérabilité récemment découverte BadSuccessor dans la fonctionnalité de compte de service géré délégué (dMSA) de Windows Server 2025. SharpSuccessor, développé par Logan Goins, montre comment des attaquants avec des permissions minimales dans Active Directory peuvent escalader leurs privilèges jusqu’au niveau d’administrateur de domaine. Cette vulnérabilité, découverte par le chercheur d’Akamai Yuval Gordon, manipule les attributs critiques msDS-ManagedAccountPrecededByLink et msDS-DelegatedMSAState pour créer un objet dMSA malveillant capable d’usurper n’importe quel compte cible. ...

GreyNoise a utilisé un outil d’analyse de trafic réseau alimenté par l’IA, nommé SIFT, pour détecter des charges utiles anormales visant à désactiver les fonctionnalités de sécurité TrendMicro sur les routeurs ASUS. Cette activité a été découverte initialement le 18 mars 2025, mais la divulgation publique a été retardée pour coordonner les découvertes avec des partenaires gouvernementaux et industriels. L’attaque combine des méthodes anciennes et nouvelles, débutant par des attaques par force brute sur login.cgi, suivies d’exploitations de vulnérabilités de contournement d’authentification plus anciennes. Une fois l’accès privilégié obtenu, les attaquants exploitent une vulnérabilité d’injection de commande pour créer un fichier vide à /tmp/BWSQL_LOG, activant ainsi la journalisation BWDPI, une fonctionnalité TrendMicro intégrée. ...

DCSO a rapporté un incident de sécurité impliquant un de ses clients, victime d’une campagne de ransomware orchestrée par le groupe SafePay. SafePay utilise une stratégie de double extorsion, combinant le vol de données et leur chiffrement pour faire pression sur les victimes. Ce groupe n’hésite pas à contacter directement les victimes, y compris par appels téléphoniques, pour accroître la pression et forcer le paiement. Bien que le ransomware SafePay présente des similitudes avec d’autres souches de ransomware, DCSO estime que cela résulte d’une inspiration plutôt que d’une origine commune. SafePay cible principalement des entreprises situées en Allemagne et aux États-Unis. ...

Selon Bleeping Computer, un réseau étendu de sites de téléchargement de faux logiciels d’IA, de VPN et de cryptomonnaie est utilisé par les acteurs de menace connus sous le nom de ‘Dark Partner’ pour mener des attaques de vol de cryptomonnaies à travers le monde. Ces sites frauduleux sont conçus pour tromper les utilisateurs en leur faisant télécharger des logiciels malveillants déguisés en outils légitimes. Les victimes, croyant installer des applications utiles, se retrouvent infectées par des logiciels qui permettent aux attaquants de dérober des informations sensibles, notamment des clés de portefeuille de cryptomonnaies. ...

Cette information provient de Cybersecuritynews, qui rapporte une vulnérabilité critique dans le module Apache de ModSecurity, un pare-feu d’application web open-source largement utilisé. La faille, identifiée sous le code CVE-2025-47947 et avec un score CVSS de 7.5, concerne la gestion des charges utiles JSON dans des conditions spécifiques, exposant potentiellement des millions de serveurs web à des attaques par déni de service (DoS). Les chercheurs en sécurité ont confirmé que cette vulnérabilité peut être exploitée avec un minimum d’effort, nécessitant seulement une requête spécialement conçue pour consommer une quantité excessive de mémoire serveur et potentiellement faire planter les systèmes ciblés. ...

Selon Phishguard, une augmentation des campagnes de phishing utilisant des fichiers SVG a été observée, ces fichiers étant utilisés comme vecteurs de livraison initiaux en raison de leur flexibilité et des défis qu’ils posent pour la détection statique. Les SVGs, un format basé sur XML pour les graphiques vectoriels, peuvent intégrer du JavaScript et interagir avec le DOM, ce qui les rend capables d’exécuter des scripts malveillants. Ces fichiers sont souvent mal classifiés comme des images inoffensives, ce qui permet à des pièces jointes SVG malveillantes de contourner les filtres de sécurité. ...