Posts

Source et contexte — BleepingComputer (Lawrence Abrams, 6 déc. 2025) signale une exploitation à grande échelle de React2Shell (CVE-2025-55182), une faille de désérialisation non sécurisée dans React Server Components (touchant aussi Next.js), permettant une exécution de code à distance (RCE) non authentifiée via une seule requête HTTP. Les projets doivent mettre à jour React, recompiler et redéployer leurs applications. 🚨 Portée et exploitation — La fondation Shadowserver a recensé 77 664 adresses IP vulnérables (dont ~23 700 aux États‑Unis). GreyNoise a observé 181 IP distinctes tentant d’exploiter la faille en 24 h, avec un trafic majoritairement automatisé venant notamment des Pays‑Bas, de Chine, des États‑Unis et de Hong Kong. Palo Alto Networks indique que 30+ organisations ont déjà été compromises, avec exécution de commandes, reconnaissance et tentatives de vol de fichiers de configuration/identifiants AWS. Des intrusions sont liées à des acteurs étatiques chinois. ...

Source et contexte : FinCEN.gov (U.S. Department of the Treasury – FinCEN) publie une Financial Trend Analysis sur les incidents de ransomware observés dans les déclarations BSA entre 2022 et 2024, totalisant plus de 2,1 Md$ de paiements. • Points clés chiffrés 💰📈 2023 enregistre un pic avec 1 512 incidents et 1,1 Md$ de paiements (+77% vs 2022). 2024 observe un repli à 1 476 incidents et 734 M$ de paiements, après la perturbation par les forces de l’ordre de deux groupes de ransomware. Médiane des transactions: 124 097 $ (2022); 175 000 $ (2023); 155 257 $ (2024). La plage la plus courante est < 250 000 $. Sur janv. 2022 – déc. 2024: 7 395 rapports BSA relatifs à 4 194 incidents, pour > 2,1 Md$. À comparer aux 3 075 rapports et ≈ 2,4 Md$ sur 2013–2021. • Secteurs les plus touchés 🏭🏦🏥 ...

Source: Freedom Mobile — Avis publié le 3 décembre 2025. L’opérateur informe d’un incident de confidentialité détecté le 23 octobre, impliquant l’utilisation du compte d’un sous-traitant par un tiers pour accéder à la plateforme de gestion des comptes clients. L’incident concerne un accès non autorisé aux informations personnelles d’un nombre limité de clients. L’entreprise indique avoir rapidement identifié l’activité suspecte et mis en œuvre des mesures correctives, dont le blocage des comptes et des adresses IP associés, ainsi qu’un renforcement de la sécurité et une surveillance accrue. ...

Selon The Jerusalem Post, l’Armée israélienne (IDF) va durcir les règles d’usage mobile pour ses cadres et interdire les téléphones Android sur les lignes fournies par l’IDF, en n’autorisant que les iPhone pour les communications officielles des commandants à partir du grade de lieutenant-colonel. Objectif annoncé : réduire le risque d’intrusions sur les terminaux des officiers seniors et standardiser l’OS afin de simplifier les contrôles et mises à jour de sécurité. Army Radio indique que la directive est attendue dans les prochains jours. Les délais et exceptions n’ont pas été détaillés publiquement, et il n’y a pas eu de commentaire immédiat sur l’éventuelle couverture des appareils personnels utilisés au travail. ...

Source et contexte — Selon Nariman Gharib (03/12/2025), le groupe cyber « Banished Kitten » alias Handala, affilié au Ministère iranien du Renseignement (MOIS), a dévoilé par erreur un accès à des systèmes de l’aéroport Suvarnabhumi (BKK), Bangkok en tentant d’attribuer la compromission à des aéroports israéliens. Le « raté » opérationnel — Le 15 novembre 2025, Handala a publié « Smile for the Camera – Handala Is Watching » en se targuant d’un accès aux « systèmes de sécurité aéroportuaire du Shabak » (Israël) et en menaçant d’être présent « jusque dans les caméras de sortie des portes ». Or, la comparaison des images publiées avec des références publiques montre qu’il s’agit de BKK (Bangkok), pas de Ben Gourion : charpente métallique apparente, configuration du hall immigration, barrières de file d’attente et escalators typiques de Suvarnabhumi. L’article souligne qu’il s’agit de la première divulgation publique par le groupe d’un accès à une infrastructure critique hors d’Israël. 🎥🛫 ...

Selon Reuters, Marquis (fintech et fournisseur texan de marketing digital et physique) a signalé via un dépôt auprès du procureur général du Maine qu’une attaque par ransomware survenue en août a permis à des acteurs malveillants d’accéder à des fichiers contenant des données clients. 🔎 L’entreprise indique avoir d’abord détecté une activité suspecte sur son réseau, avant de confirmer qu’il s’agissait d’un incident impliquant un ransomware. 🏦 Impact et parties concernées : à la suite de cette confirmation, Marquis notifie des banques et credit unions américaines potentiellement affectées par l’accès non autorisé aux fichiers de données clients. ...

Source et contexte: Cloudflare publie la 23e édition de son rapport trimestriel consacré aux menaces DDoS, focalisée sur le T3 2025 et fondée sur les données issues de son réseau mondial. 📈 Chiffres clés 8,3 millions d’attaques DDoS automatiquement détectées et atténuées au T3 2025 (+15 % vs T2, +40 % vs N-1), soit en moyenne 3 780 attaques/heure. 36,2 millions d’attaques atténuées depuis le début de 2025 (soit 170 % du total de 2024, avec un trimestre restant). 71 % des attaques sur la couche réseau (5,9 M; +87 % QoQ, +95 % YoY) vs 29 % sur la couche HTTP (2,4 M; -41 % QoQ, -17 % YoY). 🚨 Aisuru: botnet hyper‑volumétrique record ...

Palo Alto Networks (Unit 42) publie une analyse technique montrant, via trois preuves de concept réalisées sur un copilot de code intégrant MCP, comment la fonctionnalité de sampling du Model Context Protocol peut être abusée pour mener des attaques, et détaille des stratégies de détection et de prévention. Contexte. MCP est un standard client-serveur qui relie des applications LLM à des outils et sources externes. La primitive de sampling permet à un serveur MCP de demander au client d’appeler le LLM avec son propre prompt, inversant le schéma d’appel classique. Le modèle de confiance implicite et l’absence de contrôles de sécurité robustes intégrés ouvrent de nouveaux vecteurs d’attaque lorsque des serveurs (non fiables) peuvent piloter ces requêtes de complétion. ...

Selon Cyber Security News, une campagne d’exploitation active vise les portails Palo Alto Networks GlobalProtect depuis fin novembre 2025, avec un suivi par GrayNoise et Shadowserver montrant des scans et tentatives d’intrusion en provenance de plus de 7 000 IP réparties mondialement. — Contexte et ampleur de l’attaque — • Des scans massifs et des tentatives d’exploitation ciblent les passerelles GlobalProtect exposées sur Internet, notamment via UDP 4501. Les sources incluent des proxies résidentiels, des hébergeurs bulletproof et des VPS compromis en Asie, Europe et Amérique du Nord. Un chercheur mentionne des acteurs qui enchaînent des exploits connus et recherchent des configurations faibles. ...

Source: Trend Micro — Dans le contexte d’une vague d’attaques au Brésil exploitant WhatsApp, Trend Micro décrit une campagne Water Saci combinant ingénierie sociale, chaîne d’infection multi‑étapes et automatisation pour livrer un trojan bancaire. La chaîne débute par des pièces jointes malveillantes envoyées depuis des contacts de confiance sur WhatsApp (ZIP, PDF, et surtout HTA déclenchant immédiatement un VBScript obfusqué). Le script crée un batch (C:\temp\instalar.bat) qui récupère un MSI contenant un chargeur AutoIt (DaXGkoD7.exe + Ons7rxGC.log). Le code vérifie parfois la langue Windows (0416, pt-BR), inventorie les dossiers/URL bancaires, détecte des antivirus, puis décrypte un payload via un RC4‑like custom (seed 1000) et décompresse avec LZNT1 (RtlDecompressFragment). Le trojan est injecté par process hollowing dans svchost.exe, avec persistance via Run et ré‑injections conditionnées à l’ouverture de fenêtres bancaires. ...