Posts

Selon une communication de Yunex Traffic, l’entreprise a récemment pris des mesures pour gérer un accès non autorisé à des parties limitées de ses systèmes IT internes dédiés au développement de produits. L’organisation indique avoir immédiatement mis en œuvre des mesures de sécurisation 🔒 et lancé une enquête approfondie avec l’appui de spécialistes externes du secteur afin de comprendre ce qui s’est passé. Yunex Traffic précise que ses systèmes et ses services clients ont toujours été et demeurent pleinement opérationnels ✅. ...

Selon Group-IB Threat Intelligence, une campagne d’espionnage attribuée avec haute confiance à l’APT iranien MuddyWater a ciblé plus de 100 entités gouvernementales et des organisations internationales, principalement au Moyen-Orient et en Afrique du Nord, en août 2025. 🚨 Vecteur et kill chain. Les attaquants ont utilisé un compte email compromis (accédé via NordVPN) pour envoyer de faux courriels avec pièces jointes Microsoft Word incitant à « activer le contenu ». L’activation des macros exécute un VBA dropper qui écrit un loader « FakeUpdate » sur disque. Ce loader déchiffre et injecte le backdoor Phoenix v4 (nom de fichier sysProcUpdate) qui s’enregistre au C2 screenai[.]online, beaconne en continu et reçoit des commandes via WinHTTP. ...

Source: Medium (Deriv Tech). Un article de Shantanu dévoile « BeaverTail », une campagne sophistiquée mêlant ingénierie sociale (LinkedIn) et dépôt GitHub piégé pour compromettre des développeurs sous couvert d’un test technique. – Le leurre: un faux recruteur (« Tim Morenc, CEDS ») d’une fausse entreprise « DLMind » (org GitHub dlmind-tech) propose un rôle d’« Innovative AI Engineer » et demande de cloner et exécuter un projet Next.js « MEDIRA ». L’exécution (npm install / node run dev/build) déclenche un backdoor caché. ...

Source: RainPwn (blog). Le billet présente une analyse technique de CVE-2025-9133 affectant les appliances Zyxel ATP/USG, montrant comment le CGI zysh-cgi autorise un contournement d’autorisation durant la vérification 2FA, exposant la configuration système. • Vulnérabilité: bypass d’autorisation dans le flux 2FA via zysh-cgi, dû à une validation par préfixe (strncmp) des commandes et l’absence de tokenisation. En chaînant des commandes avec «;», un utilisateur partiellement authentifié peut exécuter des commandes non autorisées comme show running-config, malgré une allowlist restrictive pour le profil usr_type 0x14. ...

Selon Darknet (darknet.org.uk), l’article présente « Autoswagger », un outil conçu pour trouver et tester des spécifications OpenAPI/Swagger afin d’identifier des endpoints non authentifiés, des fuites de PII et des secrets. L’accent est mis sur la capacité de l’outil à automatiser la découverte et la validation de points d’API exposés à partir de specs OpenAPI/Swagger, afin de révéler des expositions non protégées et des informations sensibles. L’article inclut: Le tooling nécessaire pour l’utiliser 🧰 Les étapes d’installation 📦 Un scénario d’attaque illustratif 🎯 Aucun IOC ou TTP spécifique n’est fourni dans l’extrait. ...

Source: filippo.io (Filippo Valsorda). L’auteur analyse les compromissions de la chaîne d’approvisionnement open source sur 2024/2025, en recensant des cas concrets et en les classant par causes racines afin d’identifier des mitigations actionnables pour les mainteneurs. Principales causes identifiées: phishing (le vecteur le plus fréquent, y compris contre 2FA TOTP), control handoff (transfert d’accès/contrôle à un acteur malveillant), et déclencheurs GitHub Actions privilégiés comme pull_request_target et certains issue_comment conduisant à des injections shell. Les jetons à longue durée de vie (exfiltration et réutilisation), l’usurpation de Dependabot, la résurrection de domaines/identifiants, et des facteurs aggravants (tags d’Actions mutables, scripts post-install npm, permissions CI en écriture, artefacts non reproductibles, configuration CI par branche) reviennent régulièrement. ...

Selon Darknet.org.uk, CloudConqueror est présenté comme un outil qui cartographie et abuse de l’API AWS CloudControl pour des activités de découverte, d’énumération de ressources et de persistance. L’article met en avant que l’outil sert autant aux attaquants qu’aux défenseurs, en montrant comment tester la couverture de détection et renforcer les environnements cloud ☁️🛡️. Points clés mentionnés: Cartographie de la surface d’attaque de l’API AWS CloudControl. Abus de l’API pour la découverte et l’énumération de ressources. Mise en place de mécanismes de persistance. TTPs observés (d’après l’extrait): ...

Source: Knostic (billet de blog référencé) — Contexte: mise en garde et synthèse technique sur les extensions VS Code malveillantes observées dans la campagne GlassWorm. 🚨 Fait saillant: les IDEs développeur deviennent une surface d’attaque critique, où des extensions VS Code malveillantes servent de vecteurs de livraison de malware, avec des capacités d’exécution de code à distance, vol d’identifiants et infiltration de la supply chain. Des solutions de détection comme Knostic Kirin sont citées pour bloquer les extensions infectées à l’installation. ...

Période analysée : les 7 derniers jours sur le Fediverse. Données collectées via CVE Crowd et enrichies avec les données CIRCL / Vulnerability-Lookup (EPSS, VLAI Severity). 📌 Légende : CVSS : Score de sévérité officielle. EPSS : Probabilité d’exploitation (Exploit Prediction Scoring System). VLAI : Score NLP open-source de sévérité estimée (IA). Poids social : Importance dans le Fediverse. CVE-2023-20118 [CVSS 6.5 🟨] [VLAI Medium 🟨] Produit : Cisco Cisco Small Business RV Series Router Firmware Score CVSS : 6.5 🟨 EPSS : 0.02222 🟩 VLAI : Medium 🟨 Poids social (Fediverse) : 403.0 Description : Une vulnérabilité dans l’interface de gestion Web des routeurs Cisco Small Business RV016, RV042, RV042G, RV082, RV320, et RV325 pourrait permettre à un attaquant distant authentifié d’exécuter des commandes arbitraires sur un appareil affecté. Cette vulnérabilité est due à une validation incorrecte des entrées utilisateur dans les paquets HTTP entrants. Un attaquant pourrait exploiter cette vulnérabilité en envoyant une requête HTTP spécialement conçue à l’interface de gestion Web. Une exploitation réussie pourrait permettre à l’attaquant d’obtenir des privilèges de niveau root et d’accéder à des données non autorisées. Pour exploiter cette vulnérabilité, l’attaquant doit disposer d’informations d’identification administratives valides sur l’appareil affecté. ...

Selon Socket (Socket.dev), l’équipe Socket Threat Research Team a mis au jour une campagne coordonnée opérant depuis au moins neuf mois et distribuant 131 clones rebrandés d’une extension d’automatisation pour WhatsApp Web via le Chrome Web Store, visant des utilisateurs brésiliens. • Nature de la menace: un cluster de spamware permettant l’automatisation d’envois massifs de messages sur WhatsApp Web, en violation des politiques du Chrome Web Store et de WhatsApp. La campagne opère sur un modèle de revente/franchise, avec des variantes différenciées par noms, logos et pages d’atterrissage, mais partageant le même code et la même infrastructure. 🚨 ...