Posts

Selon politico.eu, le Service de sécurité de la police norvégienne (PST) soupçonne des hackers pro‑russes d’avoir saboté un barrage dans le sud‑ouest de la Norvège en avril, dans le cadre des opérations cyber liées à la guerre hybride. Le quotidien VG rapporte que les assaillants ont compromis le système de contrôle du barrage et ouvert des vannes pendant environ quatre heures, provoquant un important déversement d’eau avant que les vannes ne soient refermées. Le barrage se situe à Bremanger, à environ 150 km au nord de Bergen, et n’est pas utilisé pour la production d’énergie. ...

Source : Trustwave (SpiderLabs Blog). Dans cette publication, des chercheurs présentent une méthodologie complète pour analyser le malware SnakeKeylogger et élaborer des signatures de détection efficaces. Ils montrent comment le code malveillant contourne des règles existantes en encodant en Base64 des données exfiltrées via SMTP, et proposent un flux de travail pratique pour collecter des IOC et affiner continuellement les signatures. 🔬 Comportement réseau et évasion : l’analyse met en évidence des connexions vers des IP malveillantes sur les ports 80, 443 et 587, et l’usage de l’encodage Base64 dans le trafic SMTP afin de contourner les règles de détection. ...

Selon Commsrisk (commsrisk.com), une conférence de presse conjointe de la Technology Crime Suppression Division (police thaïlandaise) et d’AIS a annoncé l’arrestation de deux jeunes hommes et la saisie d’un « SMS blaster » (fausse station de base) utilisé pour envoyer des SMS frauduleux depuis une voiture à Bangkok. 🚔 Opération et arrestations. À la suite du signalement d’un SMS suspect par un particulier, l’équipement a été localisé le 8 août dans une Mazda circulant sur New Petchburi Road (Bangkok). Le véhicule a été suivi jusqu’à une station-service dans le district de Bang Phlat, où les deux occupants (début de vingtaine) ont été arrêtés. L’un d’eux a déclaré avoir été recruté via Telegram par un homme chinois, pour THB 2 500 (≈ USD 75) par jour. Ils reconnaissent trois sorties avec l’appareil, depuis le 2 août. ...

Source et contexte: Cisco Talos Blog publie une analyse d’« UAT-7237 », un groupe APT sinophone actif depuis au moins 2022 et présentant de fortes similitudes avec « UAT-5918 ». L’équipe décrit une intrusion récente contre un fournisseur d’hébergement web à Taïwan, avec un fort objectif de persistance à long terme et un outillage majoritairement open source, personnalisé pour l’évasion. Principales tactiques et objectifs 🎯: Le groupe obtient l’accès initial en exploitant des vulnérabilités connues sur des serveurs exposés, effectue une reconnaissance rapide (nslookup, systeminfo, ping, ipconfig) et s’appuie sur des LOLBins et des outils WMI (SharpWMI, WMICmd) pour l’exécution distante et la prolifération. La persistance et l’accès se font surtout via SoftEther VPN et RDP, avec un déploiement de web shells très sélectif. UAT-7237 privilégie Cobalt Strike comme implant, au contraire de UAT-5918 qui use surtout de Meterpreter et multiplie les web shells. L’acteur cible notamment les accès VPN et l’infrastructure cloud de la victime. ...

CERT-AGID (cert-agid.gov.it) signale une vente illégale de scans haute résolution de documents d’identité (passeports, cartes d’identité, etc.) volés à des hôtels en Italie 🏨🛂. Selon l’acteur malveillant “mydocs”, les premiers lots proviennent d’accès non autorisés à trois structures hôtelières, avec des vols survenus entre juin et juillet 2025. Le matériel est proposé sur un forum underground. Chronologie des ajouts annoncés: 08/08/2025: +17 000 documents issus d’une structure supplémentaire. 11/08/2025: publications de nouvelles collections totalisant plus de 70 000 documents exfiltrés à quatre hôtels italiens. 13/08/2025: environ 3 600 documents attribués à deux hôtels supplémentaires (portant le total d’hôtels concernés à dix au 13/08). 14/08/2025: environ 9 300 scans associés à deux nouvelles structures. Les documents volés constituent un actif de grande valeur pour des usages frauduleux, notamment: ...

Source: Knostic.ai — Des chercheurs en sécurité rapportent une vulnérabilité reproductible dans GPT-5 causant une contamination de contexte inter‑session lors de scénarios d’erreurs de longueur de message suivies d’un appui sur « Retry ». — Résumé factuel — Nature du problème: vulnérabilité de gestion d’erreurs et de session entraînant une contamination de contexte cross‑session. Conditions: prompts surdimensionnés provoquant des erreurs de type message_length_exceeds_limit, puis action Retry. Impact observé: génération de réponses issues de conversations non liées. Aucune exposition de données sensibles confirmée, mais risque de confiance et de confidentialité élevé, notamment pour des environnements entreprise et réglementés. — Détails techniques — ...

Selon CloudSEK, une escalade massive de menaces cible les infrastructures critiques indiennes, alimentée par des tensions géopolitiques consécutives à l’attentat de Pahalgam. L’analyse met en lumière la convergence d’actions hacktivistes idéologiques et d’opérations étatiques sophistiquées. Volume et cibles : plus de 4 000 incidents documentés visant les secteurs gouvernemental, financier et de la défense. Les vecteurs dominants incluent phishing, vol d’identifiants et faux domaines imitant des services publics. Acteurs et outils : APT36 déploie le malware personnalisé CapraRAT ; APT41 mène des intrusions de chaîne d’approvisionnement et exploite des zero-days ; SideCopy utilise des RAT multiplateformes pour maintenir un accès persistant. ...

Selon Cofense Intelligence (blog Cofense), une analyse des campagnes de livraison de malwares de Q3 2023 à Q3 2024 met en évidence l’usage intensif de la personnalisation des sujets d’e-mails de phishing 🎯 pour augmenter les taux de succès, avec des thèmes dominants Finance, Assistance voyage et Réponse. Principaux constats: les campagnes ciblées livrent des RAT et information stealers pouvant servir d’accès initial pour des opérateurs de ransomware. Les corrélations les plus fortes lient jRAT et Remcos RAT à des sujets/personnalisations orientés Finance (notamment via des noms de fichiers de téléchargement personnalisés). Vidar Stealer est le plus associé aux thèmes Assistance voyage, tandis que PikaBot domine les campagnes à thème Réponse . ...

Selon Trend Micro (publication de recherche), les opérateurs du ransomware Crypto24 mènent des attaques coordonnées et furtives contre des organisations de haut profil en Asie, en Europe et aux États-Unis, avec un focus sur les services financiers, la fabrication, le divertissement et la technologie. Les acteurs combinent des outils légitimes comme PSExec et AnyDesk avec des composants personnalisés, opèrent durant les heures creuses, et adoptent une approche en plusieurs étapes: escalade de privilèges, mouvement latéral, surveillance persistante via keylogger, exfiltration de données, puis déploiement de ransomware après désactivation des solutions de sécurité. ...

Contexte — Source : Trustwave SpiderLabs. Le billet détaille une campagne avancée d’EncryptHub combinant ingénierie sociale, exploitation de vulnérabilité et nouveaux outils malveillants pour compromettre des cibles à l’échelle mondiale. • Portée et mode opératoire. Les attaquants se font passer pour le support IT via Microsoft Teams afin d’établir un accès à distance, puis hébergent des contenus malveillants sur la plateforme Brave Support. La campagne a compromis 618 organisations dans le monde et s’appuie sur des outils Golang comme le chargeur SilentCrystal et des backdoors proxy SOCKS5. Les opérateurs utilisent également de fausses plateformes de visioconférence et des structures de commande chiffrées pour la persistance et le contrôle. ...