Posts

Source: Blaze’s Security Blog (Bart Blaze). Contexte: billet technique annonçant qu’Earth Estries, un acteur APT à nexus chinois, mène une nouvelle campagne exploitant une vulnérabilité récente de WinRAR menant à l’exécution de shellcode, avec publication d’indicateurs de compromission (IoC) et de règles YARA. L’acteur, aussi connu sous les noms Salt Typhoon et autres, est associé à l’usage d’implants tels que Snappybee (Deed RAT), ShadowPad, etc. Dans la campagne décrite, l’exploitation d’une faille WinRAR (CVE-2025-8088) conduit à l’exécution de shellcode. Le billet fournit les IoC et des règles YARA correspondantes. 🧩 IoC principaux (extraits tels que listés): ...

Selon Cisco Talos (blog Talos Intelligence), Qilin figure parmi les rançongiciels les plus actifs en 2025, avec plus de 40 victimes publiées par mois. L’analyse couvre ses secteurs ciblés, ses techniques d’intrusion et d’évasion, ainsi qu’une variante Qilin.B optimisée pour les environnements virtualisés. • Portée et cibles 🎯 Menace RaaS très prolifique en 2025 (40+ victimes/mois). Secteurs les plus touchés : manufacturing (23%), services professionnels (18%), commerce de gros (10%). Zones principalement affectées : États‑Unis, Canada, Royaume‑Uni, France, Allemagne. Modus operandi : double extorsion (chiffrement + exfiltration de données), avec déploiement de double encryptors pour maximiser l’impact sur réseaux et environnements virtualisés. • Chaîne d’intrusion et vol d’identifiants 🔐 ...

Selon Have I Been Pwned (HIBP), en octobre 2025, les données de près de 4 millions d’utilisateurs de MyVidster ont été publiées sur un forum de hacking public. L’incident est distinct de la violation de 2015 précédemment connue. 🔓 • Type d’incident : fuite de données publiée sur un forum de hacking public. • Impact : exposition de données d’environ 4 millions d’utilisateurs. • Détails exposés : Pseudonymes (usernames) Adresses e‑mail Photos de profil (dans un petit nombre de cas) L’annonce précise explicitement que cet incident est séparé de la brèche de 2015, soulignant qu’il s’agit d’un nouvel événement affectant MyVidster. ...

Selon un extrait d’actualité daté du 27 octobre 2025, l’Irish Housing Agency a indiqué avoir été notifiée d’un « cyber incident » impliquant la société d’ingénierie Jennings O’Donovan, qui évalue les dossiers du programme de subventions à l’attention des propriétaires. Nature de l’incident : l’entreprise évoque un accès non autorisé temporaire à une partie limitée de son système informatique. Contexte métier : Jennings O’Donovan intervient dans l’évaluation des demandes du dispositif de subventions lié aux blocs de construction défectueux. Impact et données potentiellement touchées 🧩 ...

Selon Kaspersky, ses chercheurs ont découvert un spyware commercial jusqu’ici non identifié nommé « Dante », attribué à Memento Labs (anciennement Hacking Team), et l’ont relié aux attaques du groupe APT ForumTroll. 🕵️ « Mem3nt0 mori » : retour de Hacking Team (Memento Labs) via l’espionnage ForumTroll et le spyware Dante Des chercheurs de Kaspersky ont dévoilé Operation ForumTroll, une campagne d’espionnage active depuis au moins 2022 visant médias, universités, centres de recherche, institutions publiques et financières en Russie et Biélorussie. L’infection débute par des liens de hameçonnage personnalisés (invitations au forum Primakov Readings) : une simple visite via Chrome/Chromium suffisait, grâce à un 0-day d’évasion du bac à sable corrigé comme CVE-2025-2783. Le site malveillant validait la victime (WebGPU + ECDH) et livrait l’étape suivante chiffrée (AES-GCM). Firefox a corrigé un schéma similaire (CVE-2025-2857). ...

Selon l’extrait d’actualité fourni, des cas récents montrent l’abus de l’outil open source Cyberduck par des acteurs du ransomware Qilin pour l’exfiltration de données. Les attaquants tirent parti de services cloud légitimes pour l’exfiltration 📤, ce qui leur permet de camoufler leurs activités au sein de domaines de confiance et de trafic web légitime. Un artefact clé mentionné est le fichier d’historique Cyberduck, qui indique l’usage d’un hôte Backblaze comme destination ainsi que l’activation d’un paramètre personnalisé de téléversements fractionnés/multipart afin de transférer de gros fichiers ☁️. ...

Période analysée : les 7 derniers jours sur le Fediverse. Données collectées via CVE Crowd et enrichies avec les données CIRCL / Vulnerability-Lookup (EPSS, VLAI Severity). 📌 Légende : CVSS : Score de sévérité officielle. EPSS : Probabilité d’exploitation (Exploit Prediction Scoring System). VLAI : Score NLP open-source de sévérité estimée (IA). Poids social : Importance dans le Fediverse. CVE-2025-6542 [CVSS 9.3 🟥] [VLAI Critical 🟥] Produit : TP-Link Systems Inc. Omada gateways Score CVSS : 9.3 🟥 EPSS : 0.00171 🟩 VLAI : Critical 🟥 Poids social (Fediverse) : 306.5 Description : Une commande système arbitraire peut être exécutée sur le produit par un attaquant distant non authentifié. Date de publication officielle : 21 October 2025 à 00h23 Posts Fediverse (4 trouvés) 🗨️ Offensive Sequence – n/d ⚠️ CRITICAL: CVE-2025-6542 affects TP-Link Omada gateways—OS command injection enables unauthenticated remote code execution. Patch when available, restrict mgmt access, monitor for exploitation attempts! https://radar.offseq.com/threat/cve-2025-6542-cwe-78-improper-neutralization-of-sp-d3ffc6ee #OffSeq #CVE2025_6542 #TPLink #Vuln ...

Selon Unit 42 (Palo Alto Networks), des groupes menaçants détournent l’outil open source AzureHound afin d’énumérer des ressources Azure et de cartographier des chemins d’escalade de privilèges, en s’appuyant sur les APIs Microsoft Graph et Azure REST, sans présence préalable dans l’environnement victime. 🔎 Capacités et usage malveillant: AzureHound effectue la découverte via Microsoft Graph (graph.microsoft.com) et l’Azure REST API (management.azure.com) en utilisant des identifiants ou des jetons dérobés. Des acteurs comme Curious Serpens, Void Blizzard et Storm-0501 l’exploitent pour collecter des données sur les identités, les permissions, le stockage et l’infrastructure cloud. ...

Selon SQRX Labs, des chercheurs ont dévoilé une campagne coordonnée impliquant trois extensions Chrome malveillantes — Axiom Enhancer, Photon Bot et Trenches Agent — visant des plateformes de trading de cryptomonnaies. Les extensions étaient disponibles sur le Chrome Web Store au moment de la publication. Les chercheurs ont d’abord découvert Axiom Enhancer en train de voler des cookies d’authentification et des données localStorage d’utilisateurs d’axiom.trade. Un pivot de domaines a révélé Photon Bot utilisant la même infrastructure, puis l’analyse des métadonnées a conduit à Trenches Agent, un framework plus sophistiqué et multi-cibles. Ce dernier récolte des identifiants sur plusieurs plateformes, dont Axiom, BullX, Photon, GMGN et Padre. Les trois extensions partagent des motifs de code cohérents, indiquant une même paternité. 🚨 ...

Selon l’analyse référencée par Malasada Tech, « Convert Master » est un browser hijacker se faisant passer pour un outil de conversion de documents et distribué via des publicités Google malveillantes. Le malware récupère dynamiquement sa configuration depuis une infrastructure C2 (conf.conclie.com/ConMasD) afin de cibler des navigateurs spécifiques et d’injecter des URL de moteurs de recherche. Il modifie les paramètres du navigateur pour ajouter de faux moteurs, notamment Mapilor et Retro Revive, et met en place une chaîne de redirection: requête utilisateur → Mapilor (wesd.mapilor.com) → Retro Revive (searchretrorevive.com) → Yahoo Search, permettant un suivi des requêtes et une potentielle exfiltration de données. 🧭 ...