Posts

Sygnia, une entreprise spécialisée en cybersécurité, a identifié un acteur menaçant sophistiqué nommé Fire Ant, lié à la Chine, menant des campagnes d’espionnage contre des organisations d’infrastructures critiques. Fire Ant utilise des méthodes d’attaque centrées sur l’infrastructure pour compromettre les hôtes VMware ESXi et les serveurs vCenter, extrayant des identifiants de comptes de service et déployant des portes dérobées persistantes qui survivent aux redémarrages système. L’acteur contourne la segmentation réseau en compromettant des appareils réseau et en établissant des tunnels à travers des segments de réseau via des chemins légitimes. Leurs outils et techniques s’alignent étroitement avec UNC3886, exploitant des vulnérabilités spécifiques de vCenter/ESXi. ...

Arctic Wolf a signalé une vulnérabilité critique de contournement d’authentification dans le Mitel MiVoice MX-ONE Provisioning Manager. Cette faille permet à des attaquants distants non authentifiés d’accéder sans autorisation aux systèmes vocaux et aux comptes utilisateurs ou administrateurs. Bien qu’aucune exploitation active n’ait été observée, la CISA a précédemment averti que des groupes de ransomware ciblaient les systèmes Mitel. Les organisations concernées sont invitées à mettre à jour immédiatement vers les versions corrigées ou à appliquer des solutions de contournement pour restreindre l’accès au service Provisioning Manager. ...

Le 23 juillet 2025, le groupe hospitalier suisse AMEOS a annoncé qu’il avait subi un accès non autorisé à ses systèmes informatiques malgré des mesures de sécurité étendues. Cet incident a potentiellement compromis des données sensibles de patients, employés et partenaires. Les informations concernées incluent des données personnelles et des coordonnées susceptibles d’être exploitées à des fins malveillantes ou divulguées à des tiers. L’organisation a exprimé ses regrets face à cet incident et aux conséquences potentielles pour les personnes affectées. ...

L’analyse de Huntress met en lumière une attaque sophistiquée où des acteurs malveillants ont utilisé des applications OAuth légitimes, telles que SigParser, pour maintenir une persistance dans les environnements Microsoft 365. Cette étude de cas révèle comment les attaquants ont employé des techniques AitM (Adversary-in-the-Middle), des proxies de datacenter, et des règles de boîte de réception pour mener des compromissions de messagerie professionnelle tout en utilisant SigParser pour collecter des informations de contact afin d’élargir leur ciblage. ...

Cet article de Google Cloud Threat Intelligence détaille l’attaque sophistiquée menée par le groupe de menace UNC3944, qui cible les environnements VMware vSphere dans les secteurs du commerce de détail, des compagnies aériennes et de l’assurance. L’attaque se déroule en cinq phases : Ingénierie sociale pour compromettre les opérations du help desk et obtenir les identifiants Active Directory. Prise de contrôle du plan de contrôle vCenter via la manipulation du chargeur de démarrage GRUB et le déploiement de Teleport C2. Vol d’identifiants hors ligne par manipulation de disques VM et exfiltration de NTDS.dit. Sabotage de l’infrastructure de sauvegarde par manipulation de groupes AD. Déploiement de ransomware au niveau ESXi utilisant vim-cmd et des binaires personnalisés. Les mesures d’atténuation techniques recommandées incluent : ...

L’article publié sur le blog de Google Cloud traite des risques de sécurité critiques dans les environnements VMware vSphere intégrés avec Microsoft Active Directory. L’analyse met en lumière comment des pratiques de configuration courantes peuvent créer des chemins d’attaque pour des ransomwares et compromettre l’infrastructure. Elle souligne que l’agent Likewise, utilisé pour l’intégration AD, manque de support MFA et de méthodes d’authentification modernes, transformant ainsi un compromis de crédentiel en scénario de prise de contrôle de l’hyperviseur. ...

L’article de Nattothoughts analyse l’arrestation de Xu Zewei, un hacker lié au groupe HAFNIUM, et révèle l’interconnexion du cyberécosystème chinois. Xu Zewei a navigué entre des entreprises de sécurité d’État, des firmes de cybersécurité légitimes et des industries stratégiques, illustrant les flux de talents entre intérêts personnels, commerciaux et étatiques en Chine. Sa carrière a débuté chez Shanghai Powerock Network, suspectée d’être une entreprise écran pour le Shanghai State Security Bureau, avant de rejoindre Chaitin Tech et GTA Semiconductor. ...

L’article de clubic.com rapporte l’arrestation de l’administrateur russophone du forum cybercriminel XSS.is, une plateforme influente dans le monde de la cybercriminalité. XSS.is, actif depuis 2013 et anciennement connu sous le nom de DaMaGeLab, était un carrefour majeur de la cybercriminalité, rassemblant plus de 50 000 utilisateurs. Sur ce forum, des malwares, des données personnelles et des accès à des systèmes compromis étaient échangés. Le forum proposait également des services liés aux ransomwares et disposait d’un serveur de messagerie chiffrée, « thesecure.biz », facilitant les échanges anonymes. ...

Arctic Wolf Labs a identifié une campagne de cyber-espionnage sophistiquée orchestrée par le groupe Dropping Elephant APT, ciblant les entreprises de défense turques. Cette attaque utilise des techniques de spear-phishing en se basant sur des thèmes de conférences pour piéger les victimes. L’attaque commence par un fichier LNK malveillant se faisant passer pour une invitation à une conférence sur les systèmes de véhicules sans pilote. Ce fichier exécute un script PowerShell pour télécharger cinq composants depuis expouav[.]org. Parmi ces composants, on trouve un lecteur VLC légitime et un fichier libvlc.dll malveillant utilisé pour charger du shellcode. Un fichier vlc.log contient une charge utile chiffrée, et le Planificateur de tâches de Microsoft assure la persistance de l’attaque. ...

Les chercheurs de Cofense ont identifié une campagne de phishing sophistiquée qui imite des problèmes de connexion à des réunions Zoom pour voler les identifiants des utilisateurs. L’attaque utilise des emails jouant sur l’urgence, prétendant qu’une réunion d’urgence est nécessaire, et redirige les utilisateurs via plusieurs URL de suivi vers une fausse interface Zoom. Les identifiants sont récoltés lorsque les victimes tentent de « rejoindre » à nouveau la réunion. ...