Posts

Contexte: Selon Hunt.io, une campagne coordonnée attribuée à APT Sidewinder cible des organismes gouvernementaux et militaires avec des pages de connexion Zimbra factices. L’acteur mène une campagne de phishing de grande ampleur contre des institutions en Bangladesh, Népal, Turquie et Pakistan, en usurpant l’identité d’agences publiques et de sous-traitants de défense afin de collecter des identifiants. Les pages trompeuses imitent des portails Zimbra et s’appuient sur des services d’hébergement gratuits (Netlify, Pages.dev). 🎯 ...

Selon PolySwarm (référence : blog.polyswarm.io), CastleLoader est un loader de malware sophistiqué apparu début 2025 qui s’appuie sur des plateformes légitimes et une architecture modulaire pour mener des attaques ciblant notamment des entités gouvernementales américaines. CastleLoader atteint un taux d’infection de 28,7 % avec 469 appareils compromis via des campagnes de phishing ClickFix à thème Cloudflare et des faux dépôts GitHub diffusant des installateurs malveillants. Il sert de point d’entrée à des charges secondaires comme StealC, RedLine, NetSupport RAT et d’autres information stealers. 🎯 ...

Selon Trustwave SpiderLabs, une campagne baptisée « ToolShell » cible massivement des serveurs Microsoft SharePoint on‑premises via une chaîne de quatre vulnérabilités, dont CVE-2025-49706 et CVE-2025-53770, permettant un contournement d’authentification puis une exécution de code à distance (RCE). Des acteurs étatiques chinois, notamment Linen Typhoon et Violet Typhoon, exploitent activement ces failles pour obtenir et maintenir un accès persistant. 🚨 Le point d’entrée consiste à exploiter CVE-2025-49706 au moyen de requêtes POST spécialement conçues vers /_layouts/{version}/ToolPane.aspx?DisplayMode=Edit, combinées à des en‑têtes Referer manipulés pour bypasser l’authentification. Les attaquants déploient ensuite des pages ASPX malveillantes (ex. spinstall0.aspx) afin d’extraire des clés cryptographiques SharePoint. ...

Selon Arctic Wolf, Microsoft a divulgué la vulnérabilité CVE-2025-53786 touchant les serveurs Exchange on-premises en environnements hybrides, tandis que la CISA a émis la directive d’urgence 25-02 exigeant un correctif d’ici le 11 août. • Gravité et impact: La faille permet à des acteurs déjà authentifiés et disposant d’un accès administrateur aux serveurs Exchange on-premises d’obtenir un accès étendu à Exchange Online et SharePoint, en contournant des contrôles de sécurité et en ne laissant que peu de traces d’audit. Les jetons obtenus peuvent rester valides jusqu’à 24 heures. 🚨 ...

Selon TRM Labs, Embargo est un acteur ransomware sophistiqué apparu en avril 2024 qui aurait récolté environ 34,2 M$ en paiements. Le groupe cible principalement les organisations de santé aux États-Unis, ainsi que les services aux entreprises et la manufacture, et pratique la double extorsion. Sur le plan technique, Embargo opère en RaaS (ransomware-as-a-service) avec un malware en Rust doté de capacités avancées d’évasion. Les vecteurs d’accès initiaux incluent l’exploitation de vulnérabilités non corrigées et des attaques de social engineering. Le groupe utilise un outil en deux parties pour désactiver les solutions de sécurité avant l’encryption des fichiers. ...

Selon Darktrace (billet de blog), des vulnérabilités d’Ivanti Endpoint Manager Mobile — CVE-2025-4427 et CVE-2025-4428 — sont activement exploitées dans plusieurs environnements clients par l’acteur lié à la Chine UNC5221. L’enquête met en évidence une chaîne d’attaque structurée combinant validation d’exploit, livraison de charge utile et récupération de commandes. • Points clés: exploitation active de CVE-2025-4427/CVE-2025-4428 sur Ivanti EPMM, attribution à UNC5221 (China‑nexus), déploiement du malware KrustyLoader via AWS S3, et usage de pastebin/dpaste pour des charges dynamiques. Un chevauchement d’infrastructure avec l’exploitation de SAP NetWeaver CVE-2025-31324 suggère des activités coordonnées. ...

Selon The Register, dans le cadre de la conférence Black Hat, Microsoft pousse l’abandon des mots de passe au profit de la biométrie Windows Hello, mais des chercheurs sponsorisés par le gouvernement allemand ont découvert une faille critique dans son implémentation en entreprise. La vulnérabilité permettrait à un administrateur malveillant — ou à un compte admin compromis — d’injecter de nouveaux scans faciaux dans le système Windows Hello. 🔓 Les éléments concernés sont la biométrie Windows Hello et spécifiquement son implémentation pour les environnements d’entreprise. ...

Source : Talos Intelligence (blog de Cisco Talos). Des chercheurs présentent une chaîne d’attaque touchant Dell ControlVault3, une solution de sécurité matérielle largement déployée sur des laptops Dell, menant à l’exécution de code arbitraire, à l’altération de l’authentification biométrique et à une compromission jusqu’au niveau SYSTEM sur Windows. • Découvertes clés : le déchiffrement du firmware via des clés AES codées en dur, la possibilité d’implants persistants survivant aux réinstallations du système, et le contournement de l’authentification par empreinte Windows Hello. Les organisations utilisant des ordinateurs Dell avec ControlVault3 sont invitées à mettre en place des capacités de détection et une surveillance renforcée. 🔐⚠️ ...

Source: Embrace The Red (blog) — Des chercheurs en sécurité décrivent des vulnérabilités critiques de prompt injection dans l’agent OpenHands qui permettent une exfiltration de données zéro‑clic en abusant du rendu d’images pour extraire des tokens GitHub et d’autres secrets. 🚨 Points clés Type d’attaque: prompt injection avec la « Lethal Trifecta » (Markdown + rendu d’images + exfiltration). Impact: exfiltration de GITHUB_TOKEN et d’autres données sensibles depuis l’environnement conteneurisé d’OpenHands. État du correctif: vulnérabilité non corrigée malgré 148 jours de divulgation responsable. 🔧 Détails techniques ...

Selon Ars Technica, Google a divulgué que son instance Salesforce a été compromise en juin, deux mois après que Google lui‑même a alerté sur une campagne de masse visant les clients Salesforce par ingénierie sociale, menée par des acteurs financiers. Les attaquants ne passent pas par une faille logicielle mais par des appels téléphoniques 📞: ils se font passer pour l’IT du client et demandent de lier une application externe à l’instance Salesforce. Ils obtiennent de l’employé le code de sécurité à 8 chiffres requis par l’interface, qu’ils utilisent ensuite pour lier l’app et accéder à l’instance et aux données stockées. Cette méthode abuse d’une fonctionnalité de liaison d’apps tierces de Salesforce. ...