Posts

Selon The Record, l’agence de transport public à l’échelle de l’État du Maryland a confirmé qu’une cyberattaque déjà révélée a entraîné l’exposition d’une quantité inconnue de données, tandis qu’un gang de cybercriminalité très actif (Rhysida) a revendiqué l’opération. – Type d’incident : cyberattaque ayant conduit à une exposition de données. – Impact : quantité de données exposées inconnue à ce stade. – Acteurs : gang cybercriminel très actif ayant revendiqué l’attaque. ...

Selon The Record, la semaine dernière, des experts en cybersécurité et des entreprises technologiques ont tiré la sonnette d’alarme au sujet d’une vaste compromission de la chaîne d’approvisionnement logicielle. Au cœur de l’incident se trouve Shai-Hulud, un ver auto-réplicant utilisé pour infecter plus de 500 paquets intégrés à divers logiciels. 🐛 La CISA a publié une alerte urgente concernant une attaque de chaîne d’approvisionnement logicielle baptisée Shai-Hulud, qui a compromis plus de 500 packages npm utilisés par des développeurs à travers le monde. Cette attaque repose sur un ver auto-réplicatif capable d’insérer du code malveillant dans des bibliothèques logicielles, compromettant ainsi les projets qui les utilisent. Une fois en place, le malware volait des identifiants sensibles (tokens GitHub, clés API de services cloud, etc.) et les diffusait publiquement, permettant aux attaquants de prendre le contrôle d’autres environnements de développement. ...

Source: Microsoft Security Blog — Microsoft décrit l’intervention de son équipe DART pour contenir deux cyberattaques sophistiquées ciblant des organisations du secteur retail. Les assaillants ont exploité des vulnérabilités SharePoint (CVE-2025-49706, CVE-2025-49704) pour déposer des web shells ASPX, conduisant à de la spoofing d’identité et de l’injection de code à distance. L’objectif opérationnel incluait la prise de contrôle d’identités et la persistance dans l’environnement cible. ⚠️ Pour maintenir la présence malveillante, les acteurs ont utilisé Azure Virtual Desktop, RDP, PsExec et des outils de proxy/tunneling comme Teleport et Rsocx, signe d’un enchaînement TTPs visant mobilité latérale et évasion. 🧭 ...

Source: D3Lab. Dans les derniers jours, l’équipe Cyber Threat Intelligence de D3Lab a détecté une campagne de phishing visant Facebook Business. L’élément mis en avant est l’utilisation de l’infrastructure de Salesforce — un des principaux CRM au monde — comme vecteur, ce qui rend la campagne particulièrement insidieuse. 🎣☁️ Une récente campagne de phishing ciblant Facebook Business a été détectée, exploitant de façon ingénieuse l’infrastructure légitime de Salesforce. Les emails frauduleux proviennent d’adresses totalement authentiques comme noreply@salesforce.com et parviennent à passer tous les contrôles de sécurité standards (SPF), ce qui les rend particulièrement difficiles à identifier et bloquer. Les cybercriminels obtiennent un accès à Salesforce via l’offre de démonstration gratuite, puis l’utilisent pour envoyer des notifications qui semblent officielles et fiables. ...

Source: DomainTools (rapport d’analyse). Contexte: publication d’un dossier technique consolidant l’attribution, les campagnes, l’infrastructure, les IOCs et TTPs de Salt Typhoon, un groupe APT chinois aligné sur le MSS. 🚨 Salt Typhoon est présenté comme une capacité d’espionnage SIGINT de longue durée, opérant depuis au moins 2019, ciblant en priorité les télécommunications, des réseaux de Garde nationale US, et des fournisseurs européens/alliés. Le groupe combine exploitation d’équipements de bord (routeurs, VPN, firewalls), implants firmware/rootkits pour la persistance, et collecte de métadonnées, configs VoIP et journaux d’interception légale. Il opère via un modèle État–sous‑traitants (fronts et sociétés liées) offrant dénégation plausible, avec des liens confirmés vers i‑SOON. ...

Selon Natto Thoughts (Substack), une note conjointe de cybersécurité poubliées par les principales agences gouvernementales et de renseignement spécialisées en cybersécurité et sécurité nationale de plusieurs pays alliés, évite désormais de nommer des groupes précis, illustrant la difficulté d’attribution lorsque des services de renseignement chinois opèrent directement via des produits et services commerciaux. L’analyse avance que trois entreprises chinoises agissent comme fournisseurs de capacités et de services cyber aux unités de la PLA et du MSS, plutôt que comme opérateurs directs. Les véritables opérateurs seraient des personnels en uniforme ou des prestataires sous contrat, ce qui dilue les liens classiques entre « groupe APT » et opérations observées. ...

Source : Trend Micro (Emerging Technology Security). Le billet présente une analyse des techniques de compromission des modèles de langage et insiste sur une démarche de sécurité « verify, then trust » pour protéger la chaîne d’approvisionnement IA. L’analyse met en avant trois méthodes clés de compromission : l’injection de code malveillant dans les fichiers de modèles (notamment via des vulnérabilités de sérialisation pickle), des adapteurs LoRA malveillants capables de manipuler le comportement du modèle, et l’empoisonnement des données de formation pour implanter des portes dérobées. Elle évoque également des attaques par ré‑entraînement direct du modèle. 🔎 ...

Selon Unit 42 (Palo Alto Networks), cette étude applique leur Attribution Framework pour relier de façon probante la famille de malware Bookworm au groupe APT chinois Stately Taurus, avec un score de confiance de 58,4 (système Admiralty). Les chercheurs décrivent Bookworm, un RAT modulaire actif depuis 2015, comme un outil clé des opérations de cyberespionnage de Stately Taurus visant des entités gouvernementales et commerciales en Europe et en Asie. L’attribution s’appuie sur une analyse combinant artefacts du malware, chevauchements d’infrastructure, schémas opérationnels et victimologie. ...

Selon Radware (radware.com), des chercheurs ont mis au jour ShadowLeak, une attaque zero‑click exploitant l’agent Deep Research de ChatGPT lorsqu’il est connecté à Gmail et à la navigation web, permettant une exfiltration de données côté service depuis l’infrastructure d’OpenAI. L’attaque, basée sur une injection indirecte de prompt camouflée dans le HTML d’un email, a atteint un taux de réussite de 100% avant correction et a été corrigée par OpenAI début août 2025. ...

Selon le Counter Threat Unit (CTU), le groupe se présentant comme Warlock Group (suivi comme GOLD SALEM) mène depuis mars 2025 des intrusions suivies du déploiement du ransomware Warlock. Microsoft le piste sous l’appellation Storm-2603 et évoque avec « confiance modérée » une origine en Chine, une attribution que le CTU ne corrobore pas faute d’éléments suffisants. 🚨 Activité et victimologie. Le DLS (site de fuite sur Tor) de GOLD SALEM liste 60 victimes à la mi-septembre 2025, de petites entités jusqu’à de grands groupes, en Amérique du Nord, Europe et Amérique du Sud. Le groupe publie des données pour 19 victimes (32%) et affirme en avoir vendu pour 27 (45%), trois entrées ayant été retirées. Il a surtout évité Chine et Russie, mais a listé le 8 septembre une entreprise russe du secteur de l’ingénierie pour la production électrique, ce qui suggère une activité hors de cette juridiction. Le DLS est alimenté par vagues avec une date « countdown » à J+12/14, et inclut parfois des victimes déjà exposées par d’autres opérations ransomware, illustrant des accès revendus ou des compromissions répétées. ...