Posts

Huntress — Le fournisseur a publié un rapport décrivant un incident impliquant le ransomware KawaLocker (KAWA4096), une variante apparue en juin 2025, dont l’attaque a été détectée et contenue avant un impact organisationnel étendu. Le scénario débute par une compromission RDP via un compte compromis. Les attaquants déploient des utilitaires pour désactiver les outils de sécurité (notamment kill.exe et HRSword) et chargent des drivers noyau (sysdiag.sys et hrwfpdr.sys de Beijing Huorong Network Technology). Une énumération réseau est menée avec advancedportscanner.exe, suivie de tentatives de mouvement latéral via PsExec. ...

Selon un communiqué publié à partir du 14 août 2025, l’opérateur de télécommunications Colt a détecté un incident de cybersécurité affectant un système interne distinct de l’infrastructure de ses clients. L’entreprise indique avoir pris des mesures de protection immédiates pour sécuriser ses clients, ses collaborateurs et son activité, et avoir notifié proactivement les autorités compétentes. Elle précise que le système touché est séparé de l’infrastructure clients. Dans le cadre de ces mesures, certains systèmes ont été mis hors ligne de manière proactive, ce qui a entraîné des perturbations sur une partie des services de support fournis aux clients. ⚠️ ...

Source: JPCERT/CC — L’analyse couvre des incidents observés entre septembre et décembre 2024, montrant l’usage de CrossC2 pour générer des Beacons Cobalt Strike sur Linux/macOS, accompagnés d’un loader Nim (ReadNimeLoader) et d’autres outils offensifs, avec des indices d’une campagne active au Japon et dans d’autres pays. • CrossC2 (Beacon non officiel): compatible Cobalt Strike ≥ 4.1, ciblant Linux (x86/x64) et macOS (x86/x64/M1). À l’exécution, le binaire fork et le processus enfant gère la logique. Le C2 est lu dans la configuration (décryptée en AES128‑CBC) et peut aussi être défini via les variables d’environnement CCHOST/CCPORT. Le binaire contient de nombreux anti‑analyses (chaînes XOR mono‑octet, injections de junk code faciles à neutraliser en NOP sur une séquence d’octets donnée). Le builder public sur GitHub crée des Beacons packés UPX; pour les unpacker, il faut d’abord retirer le bloc de configuration en fin de fichier, puis le réinsérer après UPX. ...

Selon CYFIRMA, ce rapport détaille un malware bancaire Android sophistiqué, nommé Lazarus Stealer, qui se dissimule sous le nom “GiftFlipSoft” pour cibler des applications bancaires russes tout en restant invisible pour l’utilisateur. L’outil vole des numéros de carte, codes PIN et identifiants via des attaques par superposition (overlay) et l’interception des SMS. Le malware exploite des permissions Android à haut risque — RECEIVE_SMS, SYSTEM_ALERT_WINDOW, PACKAGE_USAGE_STATS — afin d’assurer sa persistance et de surveiller l’activité des apps bancaires. Il se définit comme application SMS par défaut pour détourner les OTP, utilise WindowManager pour afficher des interfaces de phishing au-dessus des apps légitimes, maintient une communication C2 continue via HTTP POST, et s’appuie sur des services au premier plan (AppMonitorService, SMSForwardService) pour un monitoring persistant. Il intègre aussi un chargement dynamique de WebView permettant la livraison de contenus contrôlés par l’opérateur. 📱⚠️ ...

NIST a publié un “concept paper” présentant les « Control Overlays for Securing AI Systems » (COSAIS), une série de lignes directrices basées sur SP 800‑53 pour renforcer la cybersécurité des systèmes d’IA, et sollicite des retours de la communauté. Le document explique que, bien que les systèmes d’IA soient majoritairement logiciels, ils posent des défis de sécurité distincts. Les overlays SP 800‑53 visent à adapter et prioriser des contrôles existants pour des contextes IA spécifiques, en protégeant en priorité la confidentialité, l’intégrité et la disponibilité (CIA) des informations. Ils tirent parti de la familiarité des organisations avec SP 800‑53, tout en permettant une personnalisation (sélection, modification, compléments, paramètres) selon les risques et environnements. ...

Source et contexte: RISCS (Research Institute for Sociotechnical Cyber Security) publie une analyse d’Andrew Dwyer sur la deuxième conférence du Pall Mall Process (Paris, avril 2025), initiative lancée en 2024 par le Royaume‑Uni et la France pour freiner la prolifération et l’usage irresponsable des capacités d’intrusion commerciales (CCICs). Le texte rappelle que les CCICs (de la découverte de zero-days à la vente d’outils et services) alimentent à la fois des usages légitimes et illégitimes. Si l’attention médiatique s’est concentrée sur le spyware (ex. Pegasus/NSO Group), l’écosystème est plus large et rend les interdictions totales irréalistes, d’autant que de nombreux États n’ont pas de capacités « in‑house ». ...

SecurityWeek publie un récapitulatif des avis Patch Tuesday d’août 2025 pour l’ICS/OT, avec des correctifs et mitigations émis par Siemens, Schneider Electric, Honeywell, Aveva, ABB et Phoenix Contact, ainsi que des avis de la CISA. Plusieurs failles sont critiques ou à haute sévérité, exposant à l’exécution de code, à l’accès non autorisé, à la fuite de données et aux DoS. • Siemens a publié 22 nouveaux avis, dont un pour la faille critique CVE-2025-40746 dans Simatic RTLS Locating Manager, exploitable par un attaquant authentifié pour une exécution de code avec privilèges Système ⚠️. Des failles à haute sévérité touchent aussi Comos (exécution de code), Siemens Engineering Platforms (exécution de code), Simcenter (crash ou exécution de code), Sinumerik (accès distant non autorisé), Ruggedcom (contournement d’authentification avec accès physique), Simatic (exécution de code), Siprotect (DoS) et Opcenter Quality (accès non autorisé). Des vulnérabilités issues de composants tiers sont également traitées (OpenSSL, Linux kernel, Wibu Systems, Nginx, Nozomi Networks, SQLite). Des correctifs existent pour beaucoup de failles, tandis que seules des mitigations ou contournements sont disponibles pour d’autres. Des problèmes de sévérité moyenne/faible sont résolus dans Simotion Scout, Siprotec 5, Simatic RTLS Locating Manager, Ruggedcom ROX II et Sicam Q. ...

Source: Lares (blog) — Dans une étude de cas de test d’intrusion en Identity & Access Management, des chercheurs montrent comment une architecture de connexion faible et l’absence de MFA ont permis un accès non autorisé à des systèmes internes et à des données sensibles. Les testeurs ont exploité un portail MDM externe qui validait les identifiants directement contre l’Active Directory interne, sans multi‑facteur. Après une authentification réussie via Microsoft Online Services, l’utilisateur était redirigé vers des systèmes CRM internes. ...

Selon PolySwarm, des chercheurs ont analysé ‘Plague’, un backdoor Linux sophistiqué qui s’intègre au flux d’authentification en se faisant passer pour un module PAM légitime, afin de fournir un accès SSH persistant et un contournement de l’authentification. L’échantillon se présente comme libselinux.so.8 et persiste discrètement avec très peu de traces forensiques tout en survivant aux mises à jour système. Le malware exploite des mots de passe statiques pour une entrée clandestine (ex. ‘Mvi4Odm6tld7’ et ‘changeme’), et met en place des capacités de furtivité comme la désactivation de variables SSH et la redirection de l’historique shell (HISTFILE) vers /dev/null. 🐧🔐 ...

Selon BleepingComputer, un chercheur en sécurité a mis en ligne un proof-of-concept (PoC) partiel pour une vulnérabilité affectant le pare-feu applicatif web FortiWeb de Fortinet, permettant à un attaquant distant de contourner l’authentification. Nature de la faille: bypass d’authentification. Impact: accès non autorisé à distance potentiel sur des instances FortiWeb. Degré de publication: PoC partiel (preuve de concept), démontrant la faisabilité de l’exploitation. Le produit concerné est le WAF FortiWeb. L’information se concentre sur l’existence du PoC et l’impact possible du contournement d’authentification, sans autres détails publics dans l’extrait. ...