Posts

Picus Security a publié une analyse complète du groupe de ransomware Ryuk mettant en lumière leurs attaques ciblées contre des grandes organisations, notamment dans le secteur de la santé et les entités gouvernementales. L’analyse cartographie la chaîne d’attaque de Ryuk selon le cadre MITRE ATT&CK, couvrant des tactiques allant de l’accès initial par hameçonnage ciblé au mouvement latéral, l’escalade de privilèges, et l’impact final de chiffrement. Les principales découvertes incluent l’utilisation par Ryuk de techniques de chiffrement à double impact, la désactivation systématique des services de sauvegarde, et des méthodes d’évasion sophistiquées. La plateforme Picus Security Validation Platform est mise en avant pour sa capacité à simuler ces attaques afin de tester les défenses organisationnelles et identifier les failles de sécurité avant que les attaquants ne puissent les exploiter. ...

Cet article publié par Guardz analyse une méthodologie d’attaque ciblant SharePoint Online dans les environnements Microsoft 365. L’étude met en lumière comment les attaquants peuvent exploiter l’intégration étendue de SharePoint avec Graph API, Teams, OneDrive, et Power Platform pour obtenir un accès initial, maintenir une persistance, effectuer des mouvements latéraux, et exfiltrer des données. L’analyse technique détaille le cycle de vie complet de l’attaque, incluant des techniques de reconnaissance via Google dorking et l’énumération de Graph API, des méthodes d’accès initial par des malwares hébergés sur SharePoint et l’abus de jetons OAuth, des mécanismes de persistance via des flux Power Automate et des parties web cachées, ainsi que des mouvements latéraux à travers la collaboration sur des documents partagés. ...

Le site met en lumière les risques de sécurité associés à l’utilisation de HTTP/1.1, un protocole de communication web largement utilisé. HTTP/1.1 est décrit comme intrinsèquement peu sûr, exposant potentiellement des millions de sites web à des risques de prise de contrôle hostile. Cette vulnérabilité est due à des failles dans la conception du protocole qui ne répondent pas aux normes de sécurité modernes. L’article appelle à une mobilisation collective pour abandonner HTTP/1.1 au profit de versions plus sécurisées comme HTTP/2 ou HTTP/3, qui offrent des améliorations significatives en matière de sécurité et de performance. ...

L’article publié par Ars Technica le 5 août 2025 rapporte que Cisco a été victime d’une attaque de phishing vocal (vishing) qui a compromis les données d’un système de gestion de la relation client (CRM) tiers. L’attaque a permis aux acteurs malveillants de télécharger des informations de profil d’utilisateur, principalement des données de compte de base pour les individus enregistrés sur Cisco.com. Les données compromises incluent les noms, noms d’organisation, adresses, identifiants utilisateur attribués par Cisco, adresses e-mail, numéros de téléphone, et des métadonnées de compte telles que la date de création. ...

L’article publié le 7 août 2025 par Seqrite met en lumière une nouvelle menace où des cybercriminels exploitent des fichiers SVG pour réaliser des attaques de phishing sophistiquées. Ces fichiers, contrairement aux images standard, peuvent contenir du JavaScript exécutable qui s’exécute automatiquement dans les navigateurs, redirigeant les victimes vers des sites de collecte de crédentiels. Ces attaques sont principalement diffusées par des emails de spear-phishing avec des pièces jointes convaincantes et des liens vers des stockages en cloud, échappant souvent à la détection en raison de la réputation de confiance des SVG. Les organisations sont encouragées à mettre en place une inspection approfondie du contenu, à désactiver le rendu automatique des SVG provenant de sources non fiables, et à renforcer la sensibilisation des utilisateurs pour se défendre contre ce vecteur de menace émergent. ...

L’analyse publiée par Unit 42 de Palo Alto Networks met en lumière les raisons pour lesquelles le groupe de menace Muddled Libra attire une attention médiatique significative par rapport à d’autres affiliés de ransomware-as-a-service. Leur playbook distinctif inclut des tactiques de social engineering sophistiquées, des vagues de ciblage spécifiques à l’industrie, et une maîtrise de l’anglais natif dans les attaques de vishing. Ces éléments contribuent à leur taux de succès élevé, avec 50% des cas récents aboutissant au déploiement du ransomware DragonForce et à l’exfiltration de données. ...

Selon un article publié par BleepingComputer, le ransomware Akira a été observé en train d’utiliser un pilote de tuning de CPU légitime d’Intel pour désactiver Microsoft Defender sur les machines ciblées. Cette technique permet aux attaquants de contourner les outils de sécurité et les solutions de détection et de réponse des endpoints (EDR). Cette exploitation implique l’utilisation d’un pilote qui, bien que légitime, est détourné pour désactiver les protections de sécurité, rendant ainsi les systèmes plus vulnérables aux attaques. Les acteurs malveillants tirent parti de cette méthode pour faciliter la propagation de leur ransomware et maximiser l’impact de leurs attaques. ...

L’article publié sur BleepingComputer le 6 août 2025, révèle une nouvelle technique d’évasion post-exploitation nommée ‘Ghost Calls’. Cette méthode exploite les serveurs TURN utilisés par des applications de conférence telles que Zoom et Microsoft Teams. Ces serveurs, normalement utilisés pour faciliter les connexions réseau dans des environnements NAT, sont détournés pour faire transiter du trafic malveillant à travers une infrastructure de confiance. L’utilisation de ces serveurs permet aux attaquants de tunneler leur trafic de commande et de contrôle (C2) de manière discrète, rendant plus difficile la détection par les systèmes de sécurité traditionnels. ...

L’article publié par PortSwigger met en lumière des recherches menées par James Kettle sur des attaques de désynchronisation HTTP qui révèlent des failles fondamentales dans l’implémentation du protocole HTTP/1.1. Résumé exécutif : Les nouvelles classes d’attaques, telles que les attaques 0.CL et les exploits basés sur l’en-tête Expect, contournent les mitigations existantes et affectent des fournisseurs d’infrastructure majeurs comme Akamai, Cloudflare et Netlify. Un outil open-source est mis à disposition pour détecter systématiquement les divergences de parseur, ayant déjà permis de récolter plus de 200 000 $ en primes de bug bounty. ...

L’article, publié par une source non spécifiée, rapporte l’arrestation d’un Ukrainien de 51 ans en Suisse, accusé d’avoir été impliqué dans des attaques par ransomware. La Staatsanwaltschaft II du canton de Zurich a annoncé que le procès est en cours après avoir déposé une accusation fin juillet 2025 auprès du tribunal de district de Zurich. L’accusé est soupçonné d’avoir contribué au développement de logiciels malveillants et d’avoir participé à des attaques entre décembre 2018 et mai 2020. ...