Posts

Selon Securelist (Kaspersky), des chercheurs ont mis au jour « Maverick », un trojan bancaire sophistiqué diffusé via WhatsApp au Brésil. En octobre (10 premiers jours), la campagne a été suffisamment active pour que 62 000 tentatives d’infection soient bloquées. Le malware s’appuie sur une chaîne d’infection entièrement fileless et se propage en détournant des comptes WhatsApp grâce à WPPConnect. La campagne utilise des archives ZIP contenant des fichiers LNK malveillants comme vecteur initial. Ces LNK exécutent des scripts PowerShell obfusqués avec une validation de User-Agent personnalisée. La charge est traitée en plusieurs étapes: payloads chiffrés par XOR (clé stockée en fin de fichier), emballés en shellcode Donut, et exécutés via .NET et PowerShell. Le code présente des recoupements significatifs avec le trojan bancaire Coyote et inclut des éléments de développement assisté par IA. ...

Source : Microsoft Security Blog — Raji Dani (Deputy CISO) décrit les risques inhérents aux opérations de support client et l’architecture de durcissement mise en place chez Microsoft face aux attaques, y compris celles d’acteurs étatiques comme Midnight Blizzard. Microsoft souligne que les outils de support disposent d’accès puissants convoités par les cyberattaquants pour atteindre des données sensibles et des environnements critiques. L’approche vise à empêcher le mouvement latéral et à détecter précocement les anomalies dans l’infrastructure de support. ...

Selon Microsoft, plus de 200 certificats numériques exploités par le groupe Vanilla Tempest (également suivi comme VICE SPIDER et Vice Society) ont été révoqués, ce qui a perturbé une campagne en cours mise au jour fin septembre. Les acteurs menaçants usurpaient des installations de Microsoft Teams afin d’infiltrer des réseaux d’entreprise et de déployer du ransomware. L’opération met en évidence l’évolution des tactiques des opérateurs de ransomware, qui détournent des logiciels à l’apparence légitime pour contourner les défenses de sécurité. 🚨 ...

Selon Trend Micro (Trend Research), l’opération « Operation Zero Disco » exploite la vulnérabilité Cisco SNMP CVE-2025-20352 pour implanter un rootkit Linux dans l’espace mémoire d’IOSd sur des équipements réseau. La campagne vise des systèmes Linux plus anciens sans EDR, notamment les Cisco 9400, 9300 et 3750G. Les attaquants utilisent des IPs usurpées et des backdoors fileless avec des mots de passe universels contenant « disco ». Le rootkit permet la RCE, le bypass des ACL VTY, la manipulation des journaux et la dissimulation de configuration. Une tentative d’exploitation d’une variante de la faille Telnet CVE-2017-3881 est également rapportée, tandis que l’ASLR offre une protection partielle sur les modèles plus récents. ...

Selon Imperva (blog), une vulnérabilité critique CVE-2025-61882 affecte Oracle E‑Business Suite 12.2.3 à 12.2.14, ciblant le composant Concurrent Processing/BI Publisher Integration, et fait l’objet d’exploitations actives à grande échelle. 🔥 Vulnérabilité et impact: Il s’agit d’une exécution de code à distance pré-authentification (RCE). Les fonctions finance, RH et ERP cœur sont impactées, exposant les organisations à un risque majeur. 🚨 Exploitation active: Des acteurs multiples, dont Cl0p, exploitent cette faille depuis août. Imperva rapporte plus de 557 000 tentatives d’attaque en une seule journée au niveau mondial. ...

Selon Have I Been Pwned, Prosper a annoncé en septembre 2025 avoir détecté un accès non autorisé à ses systèmes ayant entraîné l’exposition d’informations de clients et de candidats. L’incident correspond à un accès non autorisé conduisant à une exposition de données. Les informations compromises incluent 17,6 millions d’adresses email ainsi que des numéros de Sécurité sociale américains. Prosper indique ne pas avoir trouvé de preuve d’accès non autorisé aux comptes clients ni aux fonds, et précise que ses opérations orientées client n’ont pas été interrompues. ...

Selon une annonce de la Vegetable Marketing Organisation (VMO) à Hong Kong, en date du 15 octobre 2025, une attaque par ransomware a été détectée le 13 octobre sur une partie de ses systèmes informatiques. La VMO a arrêté les opérations réseau et isolé les serveurs concernés de toute connexion externe afin d’empêcher d’autres intrusions. 🛑 Les systèmes touchés sont le système de contrôle d’accès (gate) et le système de comptabilité du marché de gros de légumes de Cheung Sha Wan. Ces systèmes contiennent des informations sur environ 7 000 utilisateurs du marché, avec une possibilité de compromission de certaines données. 📊 ...

Selon un billet de blog technique de XLab de QiAnXin (référence fournie), des chercheurs ont identifié StealthServer, un backdoor sophistiqué ciblant à la fois Windows et Linux, attribué au groupe APT36. La distribution repose sur de l’ingénierie sociale avec des leurres à thématique politique et militaire, livrant des charges utiles déguisées en documents PDF. Le malware offre des capacités d’exfiltration de fichiers et d’exécution de commandes à distance, tout en recourant à des techniques anti-analyse étendues, notamment l’injection de code inutile et l’obfuscation du trafic. Plusieurs variantes indiquent un développement actif, avec une transition des communications de TCP vers WebSocket. ...

Selon une communication de la Ville de Sugar Land, la municipalité a subi un incident cyber le jeudi 9 octobre. La ville indique enquêter sur une intrusion affectant son infrastructure réseau interne, en collaboration étroite avec les forces de l’ordre locales, étatiques et fédérales 🔍. Les infrastructures critiques restent opérationnelles 🛡️. Certains services en ligne sont impactés, notamment le paiement des factures (bill pay) ⚠️. La ville affirme être déterminée à maintenir les services pour la communauté et fournira des mises à jour au fur et à mesure. ...

Selon The Record, le sénateur américain Bill Cassidy a adressé une lettre au PDG de Cisco, affirmant que l’entreprise doit encore améliorer sa communication avec le secteur privé concernant l’impact de deux vulnérabilités affectant ses Cisco Adaptive Security Appliances (ASA). 📨 Le sénateur Bill Cassidy (R-Louisiane) a adressé une lettre officielle au PDG de Cisco, Chuck Robbins, réclamant des explications sur deux failles majeures — CVE-2025-30333 et CVE-2025-20362 — qui ont déclenché, fin septembre, une directive d’urgence de la CISA imposant aux agences fédérales américaines de corriger les vulnérabilités en moins de 24 heures. ...