Posts

Selon SECURITY.COM (Threat Hunter Team, Symantec et Carbon Black), des acteurs basés en Chine ont mené une campagne multi-cibles exploitant la vulnérabilité ToolShell (CVE-2025-53770) peu après son correctif en juillet 2025, touchant un opérateur télécom au Moyen-Orient, des agences gouvernementales en Afrique et en Amérique du Sud, ainsi qu’une université américaine. L’activité montre un intérêt pour le vol d’identifiants et l’implantation d’accès persistants et furtifs, à des fins probables d’espionnage. ...

Selon The Record, des intervenants en réponse à incident ont révélé que des agences gouvernementales situées en Afrique et en Amérique du Sud font partie d’une longue liste d’organisations compromises via l’exploitation d’une vulnérabilité dans Microsoft SharePoint. Les hackers chinois exploitent la faille ToolShell pour cibler des gouvernements en Afrique et en Amérique du Sud Des équipes de réponse à incident de Symantec et du Carbon Black Threat Hunter Team ont identifié une série d’intrusions contre des agences gouvernementales, opérateurs télécoms et universités dans plusieurs pays, liées à la vulnérabilité CVE-2025-53770 surnommée ToolShell, signalée pour la première fois par Microsoft en juillet 2025. Trois groupes chinois, dont Linen Typhoon et Violet Typhoon, exploitent activement cette faille dans SharePoint on-premise, utilisé par des centaines d’administrations et d’entreprises dans le monde. ...

Source: Kanton Basel-Landschaft (baselland.ch) — communiqué officiel. 🚨 La police indique qu’un « SMS-Blaster » a été utilisé le mardi 14 octobre 2025 dans la région de Muttenz. À la suite d’une localisation et d’une opération de recherche, un véhicule a été contrôlé près de la gare Badischer Bahnhof à Bâle. Les forces de l’ordre ont découvert un SMS-Blaster dans le coffre du véhicule. Le conducteur, un citoyen chinois de 52 ans, a été interpellé. ...

Selon KrebsOnSecurity, les autorités canadiennes ont infligé une amende record de 176 millions de dollars à Cryptomus, plateforme de paiement en cryptomonnaies, après des constats de manquements graves en matière de déclaration d’activités suspectes liées à des crimes financiers et cybercriminels. L’enquête de FINTRAC a relevé des défaillances de Cryptomus dans la déclaration de transactions suspectes associées à l’exploitation d’enfants, la fraude, le ransomware et l’évasion des sanctions. Des recherches ont identifié 122 services cybercriminels utilisant Cryptomus et des connexions à 56 plateformes d’échange russes permettant des transferts de liquidités vers des banques russes sanctionnées. ...

Source: Natto Thoughts (Substack). Dans le contexte de divulgations du gouvernement américain en 2025, l’article examine les liens et chevauchements entre les groupes chinois APT27, HAFNIUM et Silk Typhoon, en soulignant les limites des taxonomies de nommage et l’intérêt de relier les activités à des individus et entreprises spécifiques. L’analyse met en avant l’attribution à des personnes nommées (Yin Kecheng, Zhou Shuai, Xu Zewei, Zhang Yu) et à leurs sociétés affiliées, illustrant que comprendre les opérateurs humains (motivations, relations, culture) complète les indicateurs purement techniques. ...

Selon Cyber Security News, CISA a publié le 20 octobre 2025 une alerte urgente sur CVE-2025-33073, une vulnérabilité d’« improper access control » dans le client SMB de Windows, inscrite au catalogue KEV et activement exploitée, pouvant mener à une élévation de privilèges via authentification forcée. 🚨 La faille, liée à CWE-284 (Improper Access Control), cible le protocole SMB de Windows. Des acteurs malveillants peuvent amener une machine victime à initier une connexion SMB vers un serveur attaquant, ce qui force l’authentification et peut accorder un accès non autorisé, facilitant le contrôle complet de l’appareil et la mouvance latérale au sein des réseaux. Le contexte est tendu avec une hausse des incidents SMB en 2025, y compris sur des environnements Azure non corrigés. ...

Selon Korea JoongAng Daily (vendredi 17 octobre 2025), le gouvernement sud-coréen a reconnu qu’une intrusion avait visé la plateforme de gestion Onnara et des certificats de signature administrative GPKI, essentiels à l’authentification des fonctionnaires. Le ministère de l’Intérieur et de la Sécurité confirme que des signes d’accès externe à Onnara via le G‑VPN ont été détectés à la mi-juillet par le National Intelligence Service (NIS). L’aveu intervient deux mois après un rapport de Phrack Magazine affirmant que plusieurs ministères et entreprises (MOIS, Affaires étrangères, Unification, Océans et Pêches, KT, LG U+, Daum, Kakao, Naver, etc.) avaient été ciblés — des allégations que le gouvernement a reconnu comme exactes. ...

Selon CrowdStrike, cette analyse décrit CVE-2025-54918, une vulnérabilité critique permettant la compromission de contrôleurs de domaine Active Directory via coercition d’authentification et NTLM relay. ⚙️ Mécanisme: l’attaque abuse du protocole MS-RPRN (technique « PrinterBug ») pour forcer l’authentification du contrôleur de domaine, intercepte les paquets NTLM, retire les drapeaux de sécurité SEAL et SIGN tout en préservant LOCAL_CALL, puis relaie l’authentification modifiée vers LDAP/LDAPS afin d’obtenir des privilèges SYSTEM. Elle ne requiert qu’un compte de domaine faiblement privilégié et contourne des contrôles comme le channel binding et la signature LDAP. ...

Source: Huntress — Dans un billet technique, Huntress détaille une enquête d’incident Qilin avec télémétrie minimale, reconstruite grâce à des artefacts Windows pour retracer l’attaque du premier accès jusqu’au chiffrement. Les analystes ont travaillé sans EDR, SIEM ni canaris ransomware, s’appuyant sur des journaux d’événements Windows, AmCache et les journaux Program Compatibility Assistant (PCA). Ils ont identifié l’installation d’un RMM ScreenConnect non autorisé, des transferts de fichiers suspects (r.ps1, s.exe, ss.exe) et une progression de l’attaque allant de l’accès RDP à l’exécution du ransomware. 🧭 ...

Selon BleepingComputer, des pirates exploitent activement la vulnérabilité critique SessionReaper (CVE-2025-54236) touchant les plateformes Adobe Commerce (ex‑Magento), avec des centaines de tentatives déjà enregistrées. ⚠️ Exploitation active de la faille critique “SessionReaper” dans Adobe Commerce (Magento) Des chercheurs de Sansec alertent sur une campagne d’exploitation active de la vulnérabilité critique CVE-2025-54236, surnommée SessionReaper, affectant les plateformes Adobe Commerce (anciennement Magento). Plus de 250 tentatives d’attaque ont déjà été détectées en une seule journée, ciblant plusieurs boutiques en ligne. ...