Posts

Selon la Polícia Federal (Brésil), une opération nommée Decrypt a été déclenchée vendredi 17/10 pour enquêter sur des attaques ransomware menées par une organisation criminelle transnationale. 🚓 L’opération comprend l’exécution de deux mandats de perquisition et saisie dans l’État de Minas Gerais et un mandat de perquisition ainsi qu’**un mandat d’**arrestation temporaire dans l’État de São Paulo. 🔐 L’enquête vise à éclaircir la participation d’un citoyen brésilien au sein d’un groupe spécialisé dans les attaques de type ransomware — une intrusion des systèmes, chiffrement des données, puis exigence de rançon, généralement en cryptomonnaies, pour la libération des informations. ...

Source et contexte: Rubrik Zero Labs publie une analyse intitulée Unmasking the Invisible: Hunting and Defeating EDR-Evading Threats Like BRICKSTORM, soulignant que les EDR traditionnels ne tournent pas (ou ne peuvent pas) sur des appliances telles que VMware vCenter Server Appliance (VCSA) et d’autres équipements réseau Linux/BSD — une surface dont des acteurs malveillants tirent parti. 🔍 L’article met en avant des règles YARA signées par Google Threat Intelligence Group (GTIG) pour identifier le backdoor BRICKSTORM. Les règles référencées incluent G_APT_Backdoor_BRICKSTORM_3, G_Backdoor_BRICKSTORM_2, G_APT_Backdoor_BRICKSTORM_1 et G_APT_Backdoor_BRICKSTORM_2, avec des conditions ciblant des binaires ELF (vérifications de magie ELF comme 0x464c457f / 0x7F454C46) et des motifs d’obfuscation/décryptage. ...

Selon Picus Security, CABINETRAT est un malware Windows utilisé dans des campagnes d’espionnage et financières, attribuées aux opérations UAC-0245, visant principalement des organisations ukrainiennes, notamment dans les secteurs gouvernementaux et télécoms. L’objectif est de maintenir un accès durable pour la surveillance et l’exfiltration de données. Le vecteur initial s’appuie sur des fichiers XLL Excel malveillants se faisant passer pour des documents légitimes, permettant l’exécution de shellcode. La persistance est assurée via plusieurs mécanismes: clés de registre Run (HKCU\Software\Microsoft\Windows\CurrentVersion\Run), dossier Démarrage et tâches planifiées. ...

Selon PolySwarm (blog), ClayRAT est une campagne de spyware Android sophistiquée ciblant des utilisateurs en Russie, identifiée par Zimperium zLabs. En trois mois, plus de 600 échantillons ont été observés. La distribution s’appuie sur des canaux Telegram et des sites de phishing impersonnant des apps populaires comme WhatsApp et YouTube, avec des preuves sociales fabriquées pour crédibiliser les campagnes. Le malware abuse du rôle d’application SMS par défaut pour accéder discrètement aux SMS, journaux d’appels, notifications et effectuer des opérations de messagerie sans sollicitation de l’utilisateur. Il supporte des commandes à distance permettant l’exfiltration de données (SMS, logs d’appels, notifications, infos appareil), la capture caméra et le déclenchement d’appels/SMS. ...

Selon BleepingComputer, ConnectWise a diffusé une mise à jour de sécurité visant à corriger plusieurs vulnérabilités dans son produit Automate, dont une classée critique. ️ ConnectWise corrige deux failles critiques dans Automate exposant les communications à l’interception L’éditeur ConnectWise a publié une mise à jour de sécurité pour son outil Automate, une plateforme de supervision et de gestion à distance (RMM) utilisée par les MSP et services informatiques d’entreprises. Deux vulnérabilités, dont une jugée critique (CVE-2025-11492, score 9.6), pouvaient permettre l’interception ou la modification de communications sensibles. ...

Source: Tom’s Hardware (Jowi Morales). Le média rapporte la revendication par le groupe de hackers Crimson Collective d’un piratage de Nintendo, accompagnée d’une capture d’écran partagée sur X par la société de renseignement Hackmanac. Le groupe affirme avoir accédé à des données de Nintendo, illustrées par des dossiers censés contenir des assets de production, des fichiers développeurs et des sauvegardes. Nintendo n’a pas communiqué sur l’incident, laissant planer l’incertitude sur l’authenticité de la preuve. ...

Selon HawkTrace, une faille critique CVE-2025-59287 affecte Microsoft Windows Server Update Services (WSUS), permettant une exécution de code à distance non authentifiée avec privilèges SYSTEM via la désérialisation non sécurisée d’objets AuthorizationCookie. ⚠️ Impact principal: exécution de code à distance (RCE) non authentifiée conduisant à une compromission complète du système. Le problème réside dans le flux GetCookie() où des données de cookie chiffrées sont décryptées (AES-128-CBC) puis désérialisées via BinaryFormatter sans contrôle strict de type. ...

Source: watchTowr Labs – billet technique approfondi analysant, reproduisant et exploitant CVE-2025-9242 dans WatchGuard Fireware OS, avec diff de correctif, chemin protocolaire IKEv2, primitives d’exploitation et artefacts de détection. • Vulnérabilité et impact Type: Out-of-bounds Write / débordement de tampon sur la pile dans le processus iked (IKEv2). Impact: exécution de code arbitraire pré-auth sur un appliance périmétrique 🧱 (service IKEv2 exposé, UDP/500). Score: CVSS v4.0 = 9.3 (Critique). Produits/Services affectés: Mobile User VPN (IKEv2) et Branch Office VPN (IKEv2) configuré avec dynamic gateway peer. Cas résiduel: même après suppression de ces configs, l’appliance peut rester vulnérable si une BOVPN vers un static gateway peer est encore configurée. Versions affectées: 11.10.2 → 11.12.4_Update1, 12.0 → 12.11.3, et 2025.1. • Analyse du correctif et cause racine ...

Selon BleepingComputer, une nouvelle campagne malveillante cible les développeurs macOS en usurpant des plateformes populaires (Homebrew, LogMeIn et TradingView) afin de diffuser des malwares voleurs d’informations. La campagne repose sur l’usurpation de sites/plateformes légitimes (Homebrew, LogMeIn, TradingView) qui servent de leurre pour amener les victimes à installer des logiciels compromis. Les charges utiles identifiées incluent des infostealers tels que AMOS (Atomic macOS Stealer) et Odyssey. Les cibles explicitement mentionnées sont les développeurs macOS, attirés par des outils ou plateformes familiers et largement utilisés dans leurs activités. ...

Selon BleepingComputer, des cybercriminels exploitent TikTok pour diffuser des vidéos se présentant comme des « guides d’activation gratuits » de logiciels populaires, afin d’y dissimuler et propager des malwares voleurs d’informations. • Leurre principal : des tutoriels d’activation gratuits pour Windows, Spotify et Netflix. • Canal de diffusion : TikTok est utilisé comme vecteur pour attirer les victimes via des contenus prétendument légitimes. • Charge malveillante : un malware voleur d’informations (information stealer) est propagé à partir de ces contenus. ...