Posts

Selon Koi Security (blog), une enquête attribue à l’acteur « ShadyPanda » une campagne d’extensions de navigateur étalée sur sept ans, visant Chrome et Edge, ayant infecté 4,3 millions d’utilisateurs avec des modules de surveillance et un backdoor à exécution de code à distance (RCE). • Phases de la campagne (2018–2025) : Phase 1 (2023) – « Wallpaper Hustle » (145 extensions, éditeurs nuggetsno15 et rocket Zhang) : fraude à l’affiliation (injection de codes affiliés eBay/Amazon/Booking), tracking via Google Analytics (visites, recherches, clics). Phase 2 (début 2024) – Détournement de recherche (ex. Infinity V+) : redirections via trovi.com, exfiltration de cookies (nossl.dergoodting.com), collecte des frappes de recherche vers s-85283.gotocdn[.]com et s-82923.gotocdn[.]com (HTTP non chiffré). Phase 3 (milieu 2024) – La « longue traque » : extensions légitimes depuis 2018–2019 (dont Clean Master, 200k+) weaponisées via mise à jour silencieuse après accumulation d’utilisateurs et badges « Featured/Verified ». Environ 300 000 utilisateurs touchés par un backdoor RCE commun à 5 extensions. Phase 4 (≈2023–2025) – « Spyware Empire » sur Microsoft Edge par Starlab Technology : 5 extensions totalisant 4 M+ d’installations (dont WeTab 新标签页 à 3 M) ; opération toujours active au moment du rapport. • Capacités et impacts clés : ...

Selon BleepingComputer, le client YouTube open source SmartTube pour Android TV a été compromis après qu’un attaquant a obtenu les clés de signature du développeur, poussant une mise à jour malveillante vers les utilisateurs. Play Protect a commencé à bloquer l’application, et le développeur, Yuriy Yuliskov, a confirmé la compromission, a révoqué l’ancienne signature et prévoit une nouvelle version avec un nouvel ID d’application. 🤖🔑 Sur la version 30.51, un utilisateur a identifié une bibliothèque native cachée, « libalphasdk.so » (absente du code source public), injectée dans les builds de release. Cette bibliothèque s’exécute en silencieux, effectue un fingerprinting du dispositif, enregistre l’appareil auprès d’un backend distant, et envoie périodiquement des métriques tout en récupérant une configuration via un canal chiffré. Aucune preuve d’activités plus intrusives (vol de comptes, DDoS) n’est rapportée, mais le risque d’escalade reste élevé. ⚠️ ...

Selon The Record (Recorded Future News), un vol d’environ 30 millions de dollars en cryptomonnaies a touché Upbit, le plus grand exchange sud-coréen. Des responsables sud-coréens estiment que le groupe nord-coréen Lazarus est probablement impliqué, au vu des tactiques d’intrusion et des méthodes de blanchiment observées. Les enquêteurs pensent que les assaillants ont usurpé l’identité d’administrateurs d’Upbit avant d’initier l’« retrait anormal » d’environ 30 M$. L’attaque présenterait des similarités avec l’incident de 2019 chez Upbit (environ 40 M$ dérobés), lui aussi attribué à Lazarus. 😟 ...

Selon ReliaQuest, une nouvelle campagne du collectif « Scattered Lapsus$ Hunters » cible les utilisateurs de Zendesk via une infrastructure de domaines typosquattés et des techniques de phishing multi‑volets. ReliaQuest a identifié plus de 40 domaines typosquattés/imitant des environnements Zendesk (ex. znedesk[.]com, vpn-zendesk[.]com) créés au cours des six derniers mois. Plusieurs hébergent des faux portails SSO affichés avant l’authentification Zendesk, visant le vol d’identifiants. Certains domaines combinent le nom de plusieurs organisations pour accroître la crédibilité. Des similarités avec une campagne d’août 2025 contre Salesforce sont relevées (formatage des domaines, caractéristiques d’enregistrement, portails SSO trompeurs). ...

Période analysée : les 30 derniers jours sur le Fediverse. Données collectées via CVE Crowd et enrichies avec les données CIRCL / Vulnerability-Lookup (EPSS, VLAI Severity). 📌 Légende : CVSS : Score de sévérité officielle. EPSS : Probabilité d’exploitation (Exploit Prediction Scoring System). VLAI : Score NLP open-source de sévérité estimée (IA). Poids social : Importance dans le Fediverse. CVE-2023-20198 [CVSS 10.0 🟥] [VLAI High 🟧] Produit : Cisco Cisco IOS XE Software Score CVSS : 10.0 🟥 EPSS : 0.94069 🟥 VLAI : High 🟧 Poids social (Fediverse) : 1554.5 Description : Cisco fournit une mise à jour concernant l’enquête en cours sur l’exploitation observée de la fonctionnalité web UI dans le logiciel Cisco IOS XE. Nous mettons à jour la liste des versions corrigées et ajoutons le Software Checker. Notre enquête a déterminé que les acteurs ont exploité deux vulnérabilités jusqu’alors inconnues. L’attaquant a d’abord exploité la vulnérabilité CVE-2023-20198 pour obtenir un accès initial et a exécuté une commande de privilège 15 afin de créer une combinaison utilisateur local et mot de passe. Cela a permis à l’utilisateur de se connecter avec un accès utilisateur normal. L’attaquant a ensuite exploité un autre composant de la fonctionnalité web UI, utilisant ce nouvel utilisateur local pour élever ses privilèges au niveau root et écrire un implant dans le système de fichiers. Cisco a attribué le numéro CVE-2023-20273 à cette vulnérabilité. La vulnérabilité CVE-2023-20198 a reçu un score CVSS de 10.0. La vulnérabilité CVE-2023-20273 a reçu un score CVSS de 7.2. Ces deux CVE sont suivies sous l’identifiant CSCwh87343. Date de publication officielle : 16 October 2023 à 15h12 Posts Fediverse (18 trouvés) 🗨️ All About Security – n/d Warnung vor BADCANDY: Neue Angriffe auf Cisco IOS XE über kritische Schwachstelle - Auf verwundbaren Cisco-IOS-XE-Geräten, die unter CVE-2023-20198 fallen, haben Angreifer seit Oktober 2023 Varianten des BADCANDY-Implantats entdeckt www.all-about-security.de/warnung-vor-… ...

Selon un billet publié sur Medium, un chercheur attribue la société écran « DredSoftLabs » à l’APT nord-coréenne Wagemole et dévoile une méthode de fingerprinting permettant de retrouver des dépôts GitHub malveillants, avec 77 référencés au 28 novembre 2025. Le contexte décrit Wagemole comme une APT nord-coréenne exploitant l’ingénierie sociale pour décrocher des emplois à distance en Occident, en s’appuyant sur des données personnelles volées (campagne « Contagious Interview »). Les opérateurs fabriquent de fausses identités (passeports, permis), préparent des « study guides » d’entretien, utilisent de l’IA générative pour des réponses structurées, ciblent surtout les PME via Upwork et Indeed, emploient des scripts d’automatisation pour créer des comptes, partagent du code en interne et demandent des paiements via PayPal pour masquer leur identité. ...

Source et contexte: GCSP (Geneva Centre for Security Policy) – Policy Brief No.22 de novembre 2025 par Dr Gazmend Huskaj. Le document dresse un panorama global des opérations de cyberspace offensives, analyse les risques de mauvaise attribution et d’escalade, met en lumière les angles morts juridiques, et formule des recommandations pour renforcer la stabilité et la coopération internationale. Principaux constats: La capacité à mener des opérations cyber offensives s’est largement diffusée (au moins 40 États dès 2019, x4 depuis 2011), abaissant la barrière d’entrée et « nivelant » le rapport de forces. Des exemples marquants illustrent l’impact disproportionné de certains acteurs: WannaCry (2017, rançongiciel) attribué à la Corée du Nord, attaques iraniennes (2022) contre l’Albanie, et intrusion supply‑chain SolarWinds (2021) liée à l’écosystème du renseignement russe. Les grandes puissances et alliances adaptent leurs doctrines: OTAN (cyber reconnu comme domaine opérationnel, Cyberspace Operations Centre IOC en 2023, emploi de « sovereign cyber effects »), doctrines de persistent engagement et defend forward; unités dédiées au Royaume‑Uni (National Cyber Force) et en Allemagne. La compétition autour des zero‑days et l’opacité des autorités de décision entretiennent les risques. ...

Selon un communiqué officiel du Canton de Zurich (Staatsanwaltschaft II) publié sur le site zh.ch le 1er décembre 2025, une opération coordonnée a permis de localiser et démanteler l’infrastructure serveur du Bitcoin mixer « cryptomixer.io » opérée dans le canton de Zurich. 🚔 Les enquêteurs de la Stadt- et Kantonspolizei Zürich, sous la direction de la Staatsanwaltschaft II, ont identifié puis mis hors ligne, fin novembre 2025, l’infrastructure et la domaine du service. Le capital d’exploitation d’environ 23 millions de francs suisses en Bitcoin a été saisi, et 12 To de données ont été sécurisés pour analyse. ...

Période analysée : les 7 derniers jours sur le Fediverse. Données collectées via CVE Crowd et enrichies avec les données CIRCL / Vulnerability-Lookup (EPSS, VLAI Severity). 📌 Légende : CVSS : Score de sévérité officielle. EPSS : Probabilité d’exploitation (Exploit Prediction Scoring System). VLAI : Score NLP open-source de sévérité estimée (IA). Poids social : Importance dans le Fediverse. CVE-2021-26829 [CVSS None ⚪] [VLAI Medium 🟨] Produit : None None Score CVSS : None ⚪ EPSS : 0.48271 🟨 VLAI : Medium 🟨 Poids social (Fediverse) : 902.0 Description : OpenPLC ScadaBR jusqu’à la version 0.9.1 sous Linux et jusqu’à la version 1.12.4 sous Windows permet une vulnérabilité de type XSS stockée via le fichier system_settings.shtm. Date de publication officielle : 11 June 2021 à 11h05 Posts Fediverse (9 trouvés) 🗨️ piggo – n/d Cisa CISA has added an actively exploited OpenPLC ScadaBR XSS vulnerability (CVE-2021-26829) to its KEV catalog. IOCs: CVE-2021-26829 #CVE202126829 #SCADA #ThreatIntel ...

Source: Center for Security Studies (CSS), ETH Zürich — Ce rapport (novembre 2025) cartographie et analyse les opérations cyber visant le secteur spatial dans le contexte de la guerre de Gaza (et recoupements avec Ukraine et Israël–Iran), en s’appuyant sur un jeu de données de 237 événements. Principaux constats: 237 opérations identifiées; 71% de DDoS; aucune compromission confirmée de satellites en orbite (impacts concentrés sur les segments utilisateur, contrôle et interfaces web). Au total 77 entités spatiales ciblées et 73 groupes impliqués, majoritairement des hacktivistes pro‑palestiniens; pic d’activité de 72 opérations durant la guerre Israël–Iran (juin 2025); effet limité sur le champ de bataille cinétique. ...