Non Spécifié

Selon un billet de l’équipe HvS IR, un incident de ransomware mené par le groupe INC Ransom a tiré parti d’une vulnérabilité FortiGate de janvier 2025 (FG-IR-24-535), dans un contexte d’attaques typiques, de vulnérabilités connues et de mauvaises configurations. Faits saillants: Les assaillants ont délibérément détruit des données. Ils ont fourni de fausses informations lors des négociations 💬. L’environnement a été entièrement chiffré en 48 heures après l’accès initial 🔐. Vecteur et conditions d’exploitation: ...

Source: Huntress — Contexte: billet de blog décrivant un incident récent où le ransomware KawaLocker (KAWA4096) a été déployé dans un environnement client, avec chronologie, outils utilisés et «breadcrumbs» de détection. Huntress a observé début août un accès initial via RDP à l’aide d’un compte compromis (08/08). Le threat actor a déployé kill.exe et l’outil HRSword (Huorong) pour surveiller le système et identifier/neutraliser des outils de sécurité (usage de tasklist.exe | find). Des services Windows associés à ces solutions ont ensuite crashé. Deux drivers noyau signés Huorong — sysdiag.sys et hrwfpdr.sys — ont été installés puis supprimés via sc.exe (sc start/stop/delete), confirmant l’usage d’outils liés à Beijing Huorong Network Technology. ...

L’article publié par la société Cloudflare explique que les robots du service d’intelligence artificielle Perplexity utilisent des méthodes pour cacher qu’elle parcourent les sites web pour récupérer des informations. En changeant souvent leur « user agent » (l’identifiant qui indique normalement quel navigateur ou robot visite un site) et en utilisant différentes adresses IP et réseaux internet, Perplexity essaie d’éviter les blocages mis en place par les sites web qui ne veulent pas être visités par leurs robots. ...

L’article publié sur le blog ‘Embrace the Red’ le 3 août 2025, met en lumière une vulnérabilité découverte dans le serveur de fichiers MCP d’Anthropic, qui permettait aux systèmes d’IA tels que Claude Desktop de contourner les contrôles d’accès aux répertoires. La faille provenait d’une validation incorrecte des chemins d’accès dans la fonction validatePath du fichier index.ts, utilisant une comparaison .startsWith pour vérifier les chemins de fichiers par rapport à une liste de répertoires autorisés. Cette méthode échouait à garantir que les chemins représentaient de véritables répertoires, permettant ainsi l’accès à tout fichier ou répertoire partageant le même préfixe que les répertoires autorisés. ...

L’article publié par Darknet.org.uk met en lumière Argus, un nouvel outil de reconnaissance offensive qui vise à simplifier les opérations de renseignement en intégrant plusieurs fonctionnalités en un seul outil. Argus est conçu pour les professionnels de la cybersécurité qui mènent des opérations de reconnaissance offensive. Il regroupe des capacités d’OSINT (Open Source Intelligence), de scan DNS, de scan de ports, de détection SSL, ainsi que de détection de fuites de données. ...

L’article publié le 28 juillet 2025 rapporte une attaque de la chaîne d’approvisionnement qui a compromis la version 0.5.15 du package Python populaire num2words, potentiellement liée à l’acteur de menace connu sous le nom de Scavenger. Le package malveillant a été publié sur PyPI sans les balises de dépôt correspondantes, ce qui a immédiatement suscité des inquiétudes. Grâce à une réponse rapide de la communauté et à la suppression rapide par PyPI, des dommages plus importants ont été évités. Les organisations utilisant ce package sont invitées à vérifier immédiatement leurs environnements, à rétrograder à une version antérieure non compromise, et à mettre en œuvre des mesures de sécurité renforcées pour la chaîne d’approvisionnement. ...

Cybercrime : Lumma Stealer et Noname057(16) toujours actifs malgré les opérations de police En mai et juillet, Europol et la Bundesanwaltschaft suisse avaient annoncé deux succès majeurs contre des cybercrime-bandes internationales : le démantèlement de l’infrastructure de la malware Lumma Stealer et un coup porté au groupe DDoS prorusse Noname057(16). Mais selon plusieurs experts en cybersécurité, ces victoires se révèlent moins efficaces qu’espéré. Le cheval de Troie voleur de données Lumma Stealer a rapidement refait surface sous des versions améliorées. Cette nouvelle variante cible toujours les identifiants de comptes en ligne, données de navigateurs et portefeuilles crypto, mais se dissimule désormais via des composants logiciels légitimes et des domaines apparemment fiables, rendant sa détection plus complexe. Les chercheurs de Trend Micro notent que la bande utilise aussi Cloudflare pour masquer ses serveurs de commande et contrôle. ...

Selon un article publié par BleepingComputer, un nouveau malware Linux nommé Koske a été découvert. Ce malware aurait été développé en utilisant l’intelligence artificielle et exploite des images JPEG apparemment inoffensives de pandas pour déployer du code malveillant directement dans la mémoire système. Le malware Koske utilise une technique sophistiquée consistant à cacher du code malveillant dans des fichiers d’images, une méthode connue sous le nom de stéganographie. Cette approche permet au malware de passer inaperçu par de nombreux systèmes de détection traditionnels qui ne vérifient pas le contenu des fichiers multimédias. ...

L’analyse détaillée de DCHSpy-MuddyWaters révèle un malware Android sophistiqué qui se fait passer pour une application légitime de VPN Comodo. Ce logiciel malveillant est conçu pour collecter des données sensibles, notamment les contacts et les bases de données WhatsApp des utilisateurs. Le malware utilise une méthode d’exfiltration via SFTP pour envoyer les données volées à ses opérateurs. Une particularité de ce malware est qu’il a révélé le chemin de développement de ses créateurs : C:/Users/hossein/AndroidStudioProjects/Comodo/VPN_vector/, ce qui pourrait donner des indices sur les développeurs derrière cette menace. ...

Selon un rapport de Huntress, un nouveau ransomware appelé Crux a été identifié. Ce ransomware est revendiqué par les acteurs de la menace comme étant « une partie du groupe BlackByte ». Jusqu’à présent, Crux a été observé dans trois incidents distincts. Les fichiers chiffrés par ce ransomware se terminent par l’extension .crux, et les notes de rançon suivent la convention de nommage crux_readme_[aléatoire].txt. L’adresse email de support mentionnée dans toutes les notes de rançon jusqu’à présent est BlackBCruxSupport@onionmail.org. ...