Posts

Source : Sekoia (blog) — Le rapport dresse une vue d’ensemble 2010‑2025 de l’écosystème des vendeurs de surveillance commerciale (CSV), montrant comment des entreprises privées conçoivent et vendent des spyware à des clients gouvernementaux, malgré des crises de légitimité et des sanctions. Le document met en avant l’évolution des CSV qui continuent de prospérer via rebranding, structures corporatives complexes et méthodes d’attaque de plus en plus sophistiquées. Il souligne les risques systémiques pour la société civile, les journalistes et les activistes à l’échelle mondiale. ...

Selon Check Point Research, ce bulletin de threat intelligence (1er septembre 2025) signale une escalade des menaces avec des zero-days activement exploités et des fuites massives de données touchant des millions d’individus. Il met l’accent sur l’urgence de corriger les vulnérabilités divulguées et de renforcer les capacités de réponse à incident. Faits saillants: exploitation de zero-days dans WhatsApp et Citrix NetScaler lors d’attaques ciblées, campagnes ransomware menées par le groupe Qilin, et une opération de phishing sophistiquée baptisée ZipLine visant des infrastructures critiques. La campagne ZipLine exploite l’infrastructure Google Classroom pour contourner la supervision en entreprise et a diffusé plus de 115 000 emails à 13 500 organisations dans le monde. ...

Source: Zscaler (zscaler.com). Zscaler indique avoir été touché par une campagne visant Salesloft Drift, un SaaS marketing intégré à Salesforce, au cours de laquelle des jetons OAuth ont été dérobés, affectant un grand nombre de clients Salesforce. Selon Zscaler, des acteurs non autorisés ont obtenu des identifiants Salesloft Drift de clients, y compris Zscaler, permettant un accès limité à certaines informations Salesforce de Zscaler. L’incident est circonscrit à Salesforce et n’implique aucun accès aux produits, services, systèmes ou infrastructures de Zscaler. Aucune preuve de mésusage des données n’a été constatée à ce stade. ...

SecurityAffairs rapporte que Zscaler a été impacté par la campagne de vol de jetons OAuth liée à Salesloft Drift, utilisée pour accéder à des instances Salesforce, sans compromission de ses produits ou de son infrastructure. • L’éditeur indique que des acteurs non autorisés ont obtenu des identifiants Drift permettant une visibilité limitée sur certaines données Salesforce de Zscaler. Les informations exposées comprennent des coordonnées professionnelles (noms, emails, titres, numéros, régions), des informations commerciales et de licences Zscaler, ainsi que du contenu de certains tickets de support. Zscaler a révoqué l’accès Drift à Salesforce, tourné les jetons API, lancé une enquête conjointe avec Salesforce, ajouté des garde-fous, revérifié ses tiers et renforcé l’authentification du support client. Aucune preuve d’abus des données n’a été trouvée à ce stade. ...

Période analysée : les 30 derniers jours sur le Fediverse. Données collectées via CVE Crowd et enrichies avec les données CIRCL / Vulnerability-Lookup (EPSS, VLAI Severity). 📌 Légende : CVSS : Score de sévérité officielle. EPSS : Probabilité d’exploitation (Exploit Prediction Scoring System). VLAI : Score NLP open-source de sévérité estimée (IA). Poids social : Importance dans le Fediverse. CVE-2018-0171 [CVSS 0.0 ⚪] [VLAI Critical 🟥] Produit : Cisco IOS and IOS XE Score CVSS : 0.0 ⚪ EPSS : 0.93213 🟥 VLAI : Critical 🟥 Poids social (Fediverse) : 943.0 Description : Une vulnérabilité dans la fonctionnalité Smart Install des logiciels Cisco IOS et Cisco IOS XE pourrait permettre à un attaquant distant non authentifié de provoquer un redémarrage d’un appareil affecté, entraînant ainsi une situation de déni de service (DoS), ou d’exécuter du code arbitraire sur cet appareil. Cette vulnérabilité est due à une validation incorrecte des données de paquet. Un attaquant pourrait exploiter cette vulnérabilité en envoyant un message Smart Install spécialement conçu à un appareil affecté via le port TCP 4786. Une exploitation réussie pourrait permettre à l’attaquant de provoquer un débordement de tampon sur l’appareil affecté, ce qui pourrait avoir les impacts suivants : provoquer un redémarrage de l’appareil, permettre à l’attaquant d’exécuter du code arbitraire sur l’appareil, ou causer une boucle indéfinie sur l’appareil affecté entraînant un crash du watchdog. Identifiants de bogue Cisco : CSCvg76186. Date de publication officielle : 28 mars 2018 à 22h00 Posts Fediverse (10 trouvés) 🗨️ cR0w :cascadia: – n/d Talos has a write-up on a campaign that appears to be from a sub group of the threat actor tracked as FANCY UVULA by #GAYINT. It’s targeting unpatched Cisco shit. There are a few IOCs in the post but checking for CVE-2018-0171 would likely yield better results.https://blog.talosintelligence.com/static-tundra/#threatIntel ...

Source : watchTowr Labs. Contexte : les chercheurs décrivent comment ils ont observé et reproduit l’exploitation active de CVE-2025-54309 affectant CrushFTP, listée dans le CISA KEV le 22 juillet 2025, et permettant un accès administrateur via HTTPS lorsque la fonctionnalité proxy DMZ n’est pas utilisée. • Vulnérabilité et impact. La faille touche « CrushFTP 10 avant 10.8.5 » et « 11 avant 11.3.4_23 » et provient d’une mauvaise gestion de la validation AS2. Exploitée en juillet 2025, elle permet d’obtenir des privilèges administrateur (ex. l’utilisateur intégré crushadmin), entraînant un contrôle total du serveur (création/lecture de fichiers sensibles). Le billet souligne l’ampleur potentielle avec plus de 30 000 instances exposées. ...

Période analysée : les 7 derniers jours sur le Fediverse. Données collectées via CVE Crowd et enrichies avec les données CIRCL / Vulnerability-Lookup (EPSS, VLAI Severity). 📌 Légende : CVSS : Score de sévérité officielle. EPSS : Probabilité d’exploitation (Exploit Prediction Scoring System). VLAI : Score NLP open-source de sévérité estimée (IA). Poids social : Importance dans le Fediverse. CVE-2025-6543 [CVSS 9.2 🟥] [VLAI Critical 🟥] Produit : NetScaler ADC Score CVSS : 9.2 🟥 EPSS : 0.03705 🟩 VLAI : Critical 🟥 Poids social (Fediverse) : 2593.0 Description : Vulnérabilité de dépassement de mémoire entraînant un contrôle d’exécution non intentionnel et un déni de service dans NetScaler ADC et NetScaler Gateway lorsqu’ils sont configurés en tant que passerelle (serveur virtuel VPN, proxy ICA, CVPN, proxy RDP) OU serveur virtuel AAA. Date de publication officielle : 25 juin 2025 à 12h49 Posts Fediverse (3 trouvés) 🗨️ Kevin Beaumont – n/d The NCSC have published an advisory on CVE-2025-7775 (CitrixDeelb), saying it is highly likely it will be mass exploited:https://advisories.ncsc.nl/2025/ncsc-2025-0268.htmlThey’ve also published a script to check for post exploitation, i.e. backdoor access which persists post patching: https://github.com/NCSC-NL/citrix-2025/blob/main/live-host-bash-check/TLPCLEAR_check_script_cve-2025-6543-v1.8.sh ...

Selon le blog Embrace The Red, un chercheur de sécurité a démontré AgentHopper, un malware conceptuel ciblant des agents de codage via des injections de prompts et se propageant au travers de dépôts Git. Les vulnérabilités référencées ont été corrigées, et la recherche met en lumière la nécessité de contrôles de sécurité renforcés (protection des branches, passphrases pour clés SSH, principe du moindre privilège pour les agents d’IA). AgentHopper abuse d’injections de prompt indirectes pour atteindre une exécution de code arbitraire sur plusieurs agents d’IA populaires. Le malware utilise des payloads universels conditionnels capables de déclencher des chemins d’exploitation spécifiques selon l’agent ciblé, facilitant une infection multi‑plateforme à partir d’un seul contenu malveillant dans le dépôt. ...

Selon Nextron Systems, une campagne sophistiquée attribuée à APT36, rappelant les tactiques d’Operation Sindoor, vise des organisations indiennes via des pièces jointes .desktop piégées se faisant passer pour des PDF, afin de prendre le contrôle à distance de systèmes Linux. • Nature de l’attaque 🎣: des e‑mails de spear‑phishing livrent des fichiers .desktop malveillants qui déclenchent une infection en plusieurs étapes, aboutissant à l’installation de MeshAgent pour un accès à distance complet, la surveillance et l’exfiltration de données. ...

Selon AWS (aws.amazon.com), l’équipe Threat Intelligence d’Amazon a identifié et neutralisé une campagne de watering hole menée par APT29/Midnight Blizzard (associé au SVR russe). Des sites légitimes compromis redirigeaient une fraction des visiteurs vers des domaines imitant des pages de vérification Cloudflare, afin de les amener à valider des appareils contrôlés par l’attaquant via le flux d’authentification Microsoft par code d’appareil. AWS précise qu’aucun système AWS n’a été compromis et qu’aucun impact direct sur ses services n’a été observé. ...