Posts

Source et contexte — Alerte conjointe (NSA, CISA, FBI, DC3, ASD/ACSC, CCCS/CSIS, NCSC‑NZ, NCSC‑UK, NÚKIB, SUPO, BND/BfV/BSI, AISE/AISI, Japon NCO/NPA, MIVD/AIVD, SKW/AW, CNI) publiée en août 2025, TLP:CLEAR. Elle décrit une campagne d’espionnage conduite par des APT chinoises visant des réseaux mondiaux (télécoms, gouvernement, transport, hôtellerie, militaire), avec un fort accent sur les routeurs backbone/PE/CE et la persistance de long terme. Les activités se recoupent avec Salt Typhoon, OPERATOR PANDA, RedMike, UNC5807, GhostEmperor. ...

Selon The Register (28 août 2025), des banques allemandes ont détecté lundi une série de prélèvements automatiques non autorisés liés à PayPal, entraînant un gel massif des transactions avant un retour à la normale annoncé mardi matin. Des établissements, cités par l’Association des banques allemandes et le DSGV, ont constaté des prélèvements SEPA non autorisés en provenance de PayPal et ont réagi de diverses manières, dont l’arrêt total des transactions PayPal pour certains. Le volume de paiements gelés est estimé à environ 10 milliards d’euros. ...

Selon Hackread.com (article de Deeba Ahmed), une attaque supply chain nommée « s1ngularity » a compromis la plateforme de build Nx à partir du 26 août 2025, ciblant les versions 20.9.0 à 21.8.0. L’objectif principal : le vol d’identifiants et de secrets de développeurs, touchant majoritairement des utilisateurs macOS. L’attaque a exfiltré des tokens GitHub, clés d’authentification npm et clés privées SSH. Elle a également visé des clés API d’outils d’IA (dont Gemini, Claude et Q), marquant un intérêt pour les plateformes d’IA émergentes. Un payload destructeur modifiait les fichiers de démarrage du terminal, provoquant le plantage des sessions. 🔐 ...

Selon Wiz (blog), une attaque de supply chain a touché le 26 août 2025 le système de build Nx sur npm via des versions malveillantes contenant un malware post-install. Le code a collecté des actifs sensibles (wallets crypto, tokens GitHub/npm, clés SSH, fichiers .env, etc.) et a exfiltré ces données vers des dépôts publics créés au sein des comptes GitHub des victimes (s1ngularity-repository). GitHub a désactivé ces dépôts le 27 août à 9h UTC, mais la fenêtre d’exposition (~8h) a permis des téléchargements par les attaquants et d’autres acteurs. ...

Contexte: Akamai publie une analyse expliquant l’impact du patch Microsoft pour la vulnérabilité BadSuccessor (CVE-2025-53779) dans Active Directory, liée aux nouveaux comptes dMSA sous Windows Server 2025. Avant patch, BadSuccessor permettait à un utilisateur faiblement privilégié de lier un delegated Managed Service Account (dMSA) à n’importe quel compte AD, poussant le KDC à fusionner les privilèges dans le PAC et à retourner un paquet de clés Kerberos du compte cible, entraînant une élévation directe au niveau Domain Admin. ...

Source et contexte: BforeAI (PreCrime Labs) publie en août 2025 une analyse des domaines récemment enregistrés autour de la FIFA Club World Cup 2025 et de la Coupe du Monde 2026, montrant une préparation active d’infrastructures frauduleuses. • Volume et temporalité: 498 domaines analysés, avec un pic de 299 enregistrements du 8 au 12 août 2025. Les acteurs réutilisent d’anciens domaines ou enregistrent tôt pour les « faire vieillir » avant les campagnes, y compris des mentions de 2026 (41), 2030 (10) et 2034 (1). ...

Selon Permiso (permiso.io), des acteurs menaçants exploitent Microsoft Teams comme vecteur d’ingénierie sociale pour distribuer un payload PowerShell, en se faisant passer pour du support IT afin d’obtenir un accès à distance et déployer des malwares. Les campagnes observées s’appuient sur des comptes Microsoft Teams nouvellement créés ou compromis, usurpant des rôles de « IT SUPPORT », « Help Desk », etc., parfois agrémentés d’un ✅ dans le nom pour simuler une vérification. Ces identités tirent parti de tenants onmicrosoft.com aux conventions de nommage génériques (admin, engineering, supportbotit). Les cibles sont variées mais basées en régions anglophones. Le contact initial se fait par messages/appels externes sur Teams que l’utilisateur doit autoriser. 💬 ...

Selon DoublePulsar (29/08/2025), s’appuyant sur un rapport du NCSC des Pays‑Bas, la vulnérabilité CVE‑2025‑6543 affectant Citrix NetScaler a été activement exploitée en zero‑day depuis début mai 2025, bien avant le correctif publié fin juin. Bien que décrite par Citrix comme un simple problème de déni de service, elle permet en réalité l’exécution de code à distance (RCE) et a conduit à des compromissions étendues, notamment d’organismes gouvernementaux et de services juridiques. Citrix aurait fourni sur demande un script de vérification, sous conditions particulières, sans expliquer pleinement la situation, et le script serait incomplet. ...

Selon un article de la Thurgauer Zeitung, les écoles de Frauenfeld ont récemment été la cible d’un phishing sophistiqué, orchestré depuis l’étranger. Des courriels frauduleux, envoyés au nom d’un employé, invitaient les destinataires à cliquer sur un lien pour accéder à un document prétendument partagé. Grâce à la vigilance du collaborateur touché et à l’intervention rapide de l’équipe IT, la propagation a pu être stoppée avant tout vol de données sensibles. ...

Source: darkreading.com (Robert Lemos, 22 août 2025). L’article décrit comment certains assureurs cyber testent des mécanismes pour responsabiliser les assurés sur la remédiation des failles, en limitant les indemnisations quand des attaques exploitent des vulnérabilités anciennes ou des lacunes de défense. Coalition, assureur cyber, évoque dans un billet de blog ces approches dites « CVE exclusions » et affirme ne pas les soutenir, notant qu’elles restent peu répandues et surtout observées hors des États‑Unis. ...