Posts

Source: The DFIR Report (30 sept. 2025). Contexte: incident survenu en mai 2024, démarré par l’exécution d’un JavaScript Latrodectus 1.3 déguisé en formulaire fiscal W‑9, menant au déploiement de Brute Ratel puis Cobalt Strike, et à une présence quasi continue durant près de deux mois. • Chaîne d’intrusion: un JS fortement obfusqué télécharge un MSI qui lance un DLL Brute Ratel (via rundll32), lequel injecte Latrodectus dans explorer.exe et établit des C2 (souvent derrière Cloudflare). Le stealer Latrodectus est récupéré, puis, ~1 h après l’accès initial, début de la reconnaissance (ipconfig, systeminfo, nltest, whoami). ~6 h après, mise en place d’un BackConnect/VNC opérationnel pour navigation, dépôts d’outils et contrôle à distance. ...

Source: GitHub (b1n4r1b01). Contexte: billet technique décrivant une vulnérabilité CoreMedia/MediaToolbox sur iOS, avec analyse de correctif, preuve de concept et mise en perspective « in the wild ». L’auteur localise la faille dans le sous-système Remaker de MediaToolbox.framework, due à une mauvaise gestion de l’objet FigRemakerTrack conduisant à un use-after-free/double free. En forçant un identifiant de piste hors bornes, l’appel URLAssetCopyTrackByID échoue et le flux de contrôle emprunte un chemin « buggy » où FigRemakerTrack est libéré alors que FigRemaker conserve une référence, ouvrant la voie à une exécution de code dans le processus mediaplaybackd. La vulnérabilité est évoquée dans le cadre des correctifs d’iOS 18.3, parmi les CVE liés à CoreMedia, comme unique cas UAF dans ce lot. ...

Selon The Wall Street Journal, Jaguar Land Rover (JLR) a subi une cyberattaque fin août/début septembre, entraînant l’arrêt de ses systèmes informatiques et de la production pendant près d’un mois, et entame désormais un redémarrage progressif appuyé par une garantie de prêt publique. L’entreprise indique que le « redémarrage contrôlé et progressif » de ses opérations se poursuit, avec un retour à la fabrication de ses véhicules « de classe mondiale ». 🛠️ ...

Selon Cleafy (Cleafy Labs), un nouveau trojan bancaire Android nommé Klopatra, doté de capacités de RAT et d’un haut niveau d’obfuscation via l’outil commercial Virbox, a ciblé principalement des utilisateurs en Espagne et en Italie, compromettant plus de 3 000 appareils au travers de deux campagnes. Klopatra se propage via un dropper se faisant passer pour « Mobdro Pro IP TV + VPN », utilisant JSON Packer pour dissimuler sa charge utile. Le malware abuse des Services d’Accessibilité Android pour obtenir un contrôle complet de l’appareil (captures de frappes, manipulation d’UI, enregistrement d’écran, octroi autonome de permissions) et exécute des transactions frauduleuses en temps réel. ...

Selon nytimes.com (28 sept. 2025), des responsables américains et européens estiment que le Ministère chinois de la Sécurité d’État (MSS) est désormais le moteur des opérations de cyberespionnage les plus avancées de Pékin, avec une intensification depuis 2023 malgré un avertissement secret du directeur de la CIA à son homologue chinois. Des hackers contrôlés par l’État chinois ont infiltré en 2023 des infrastructures critiques américaines avec du code malveillant capable de perturber réseaux électriques, télécoms et eau potable. William J. Burns (CIA) a secrètement rencontré à Pékin le ministre de la Sécurité d’État, Chen Yixin, pour prévenir de « graves conséquences » en cas d’activation. Malgré cela, les intrusions se sont intensifiées. 🛰️ ...

Selon le blog Google Cloud Threat Intelligence (Mandiant) dans un article publié le 30 septembre, un acteur financier baptisé UNC6040 mène des campagnes de vishing pour compromettre des instances Salesforce via des apps OAuth malveillantes, visant le vol massif de données et l’extorsion. Chaîne d’attaque décrite: (1) Usurpation du support IT pour pousser les employés à autoriser des apps connectées falsifiées, notamment des variantes du Salesforce Data Loader; (2) Exfiltration immédiate via Bulk API, pagination REST, ou export de rapports; (3) Mouvement latéral vers Okta/Microsoft 365. L’infrastructure observée inclut l’usage de Mullvad VPN. ...

Selon une analyse publiée par Varonis (blog), MatrixPDF est un toolkit de cybercriminalité qui convertit des fichiers PDF légitimes en vecteurs de phishing et de livraison de malware. • Ce kit permet d’embarquer du JavaScript malveillant, de créer de faux invites de documents sécurisés, de flouter le contenu et de rediriger les victimes vers des sites d’hébergement de charges utiles. Il mise sur la confiance accordée aux PDF et sur des surcouches de social engineering pour inciter à l’interaction. ...

Selon l’agence de presse moldave IPN, des sites gouvernementaux de la République de Moldavie — notamment ceux liés au processus électoral — ont été visés par un « méga‑attaque » la veille et le jour des élections parlementaires. Faits principaux: plus de 14 millions de tentatives d’accès ont été enregistrées durant la nuit précédant le scrutin. Les cibles principales incluaient CEC.md (Comisia Electorală Centrală) et plusieurs sections de vote à l’étranger. Le Premier ministre Dorin Recean affirme que toutes les attaques ont été détectées et neutralisées en temps réel, sans impact sur le processus électoral. 🛡️🗳️ ...

Selon The Record, Okta affirme dans de nouvelles recherches que la Corée du Nord a perfectionné un stratagème visant des entreprises basées aux États-Unis et l’a étendu à des dizaines de pays et plusieurs industries. Le régime nord-coréen étend rapidement son opération de placement illégal de travailleurs IT au-delà du secteur technologique américain, touchant désormais des dizaines d’industries et plusieurs pays à travers le monde. Cette campagne consiste à infiltrer des entreprises via de faux profils et documents volés, obtenant ainsi des emplois à distance bien rémunérés pour contourner les sanctions économiques et générer des millions de dollars au profit des programmes militaires de Pyongyang. ...

Selon l’extrait d’actualité fourni, un tribunal de circuit du comté de Broward (Floride) a approuvé un accord préliminaire concernant l’attaque par ransomware subie par OneBlood. Les personnes affectées peuvent réclamer jusqu’à 2 500 $ pour des pertes documentées ou opter pour un paiement en espèces de 60 $ . Une audience finale est fixée au 9 décembre ⚖️. OneBlood nie toute faute. OneBlood a découvert fin juillet 2024 avoir été victime d’une attaque par ransomware menée par des acteurs criminels. ...