Posts

Source: NVISO – Depuis octobre 2025, le SOC de NVISO a observé quatre tentatives d’intrusion exploitant Telegram, et propose une analyse des modes d’abus de la plateforme ainsi que des pistes concrètes de détection et de chasse. • Fonctionnement et abus de Telegram: la messagerie cloud, ses bots (créés via @BotFather) et ses canaux sont détournés pour leurs avantages opérationnels. Des malwares intègrent des bot tokens et chat/channel IDs, et appellent des endpoints clés comme /getMe, /sendMessage, /sendDocument, /getUpdates, /getWebhookInfo et /deleteWebhook (dont /deleteWebhook?drop_pending_updates=true pour purger l’historique des commandes), afin d’assurer fiabilité, anonymat et résilience côté attaquant. ...

Selon Malwarebytes (rapport ThreatDown 2025 State of Malware), 2025 marque une accélération nette des menaces sur Android avec une professionnalisation des campagnes et une industrialisation des vols de données et d’accès. 📈 Tendances clés: les détections d’adware ont presque doublé sur la période juin–novembre 2025 vs décembre 2024–mai 2025, les PUPs ont fortement augmenté, et les malwares ont aussi progressé. Sur l’année précédente, malwares et PUPs représentent ensemble près de 90% des détections Android (≈43% malwares, 45% PUPs, 12% adware). Les attaques par SMS (smishing) et le vol de codes OTP sont désormais déployés à grande échelle. ...

Selon l’article publié au Luxembourg le 14 décembre 2025, le Club de la sécurité des systèmes d’information Luxembourg (CLUSIL) a mené une expérience de sensibilisation en disséminant des clés USB dans l’espace public afin d’évaluer les risques liés à la curiosité des utilisateurs. Le CLUSIL a semé 250 clés USB dans des gares, parcs et centres d’affaires. Une organisation ayant découvert ces supports a réagi rapidement: réunion d’urgence en <45 minutes, isolement des supports, copie du contenu sur disque, mise sous coffre, puis contact d’un CERT. Le président du CLUSIL, Cédric Mauny, a salué ces réflexes. ...

Source : Kaspersky (Security technologies, 11 décembre 2025). Contexte : l’article analyse comment identifier le framework de post‑exploitation open source Mythic dans le trafic réseau, alors que ces outils (Mythic, Sliver, Havoc, Adaptix C2) sont de plus en plus utilisés par des acteurs malveillants, dont Mythic Likho (Arcane Wolf) et GOFFEE (Paper Werewolf). Le focus porte sur la tactique MITRE ATT&CK Command and Control (TA0011) et la détection NDR/IDS. • Aperçu du framework et des canaux C2. Mythic multiplie agents (Go, Python, C#) et transports (HTTP/S, WebSocket, TCP, SMB, DNS, MQTT). Deux architectures sont décrites : P2P entre agents via SMB/TCP, ou communication directe vers le serveur C2 via HTTP/S, WebSocket, MQTT ou DNS. Les agents priorisent l’évasion EDR, mais restent détectables via l’analyse réseau. ...

Source : CISA — Le 11 décembre 2025, la CISA a publié une mise à jour des Cross-Sector Cybersecurity Performance Goals (CPG 2.0) destinée aux propriétaires et opérateurs d’infrastructures critiques, avec des actions mesurables pour établir un socle de cybersécurité. CPG 2.0 intègre des enseignements tirés des retours d’expérience, s’aligne sur les révisions les plus récentes du NIST Cybersecurity Framework et cible les menaces les plus courantes et impactantes qui pèsent aujourd’hui sur les infrastructures critiques. ...

Selon La Voix du Nord, le ministère de l’Intérieur a confirmé une cyberattaque survenue dans la nuit du 11 au 12 décembre 2025, tandis qu’un message publié le 13 décembre sur BreachForums revendique une compromission bien plus large avec accès à des fichiers sensibles. Un groupe de hackers affirme avoir « compromis » le réseau du ministère de l’Intérieur et eu accès à des bases hautement sensibles, notamment le TAJ (Traitement des antécédents judiciaires) et le FPR (Fichier des personnes recherchées), potentiellement concernant 16,4 millions de Français. Ils prétendent aussi avoir touché la DGFiP (impôts) et la CNAV (retraites). L’attaque est présentée comme une représaille au démantèlement du groupe « Shiny Hunters » par la France. ⚠️ ...

Selon BleepingComputer, Petróleos de Venezuela (PDVSA), la compagnie pétrolière d’État du Venezuela, a été touchée par une cyberattaque survenue durant le week-end, provoquant une perturbation des opérations d’exportation. 1) Fait principal Petróleos de Venezuela (PDVSA), la compagnie pétrolière nationale vénézuélienne, a été victime d’un cyberincident durant le week-end. L’attaque a provoqué des perturbations significatives des systèmes informatiques, avec des effets signalés sur les exportations de pétrole brut. PDVSA affirme officiellement que les opérations industrielles n’ont pas été affectées, tandis que des sources internes contredisent partiellement cette version. 2) Version officielle de PDVSA Dans un communiqué publié lundi, PDVSA indique : ...

Selon Help Net Security (article de Zeljka Zorz), Eurojust a annoncé le 16 décembre 2025 une opération conjointe ayant mené au démantèlement de centres d’appels en Ukraine impliqués dans des escroqueries visant des victimes à travers l’Europe. Modus operandi et techniques: les auteurs utilisaient de l’ingénierie sociale en se faisant passer pour des policiers ou des employés de banque. Ils persuadaient les victimes de transférer leur argent depuis des comptes soi-disant « compromis » vers des comptes “sûrs” contrôlés par le réseau. Ils incitaient également à télécharger des logiciels d’accès à distance et à saisir des identifiants bancaires, permettant la prise de contrôle des comptes. 💳🖥️ ...

Selon une publication de recherche de Koi (blog Koi.ai) datée du 16 décembre 2025, des extensions populaires marquées comme mises en avant sur les stores Chrome et Edge interceptent et exfiltrent des conversations d’IA à grande échelle. 🔍 Découverte et portée Koi, via son moteur de risque Wings, a identifié Urban VPN Proxy (plus de 6 M d’utilisateurs, badge Featured) comme collectant par défaut les conversations sur plusieurs plateformes d’IA, dont ChatGPT, Claude, Gemini, Microsoft Copilot, Perplexity, DeepSeek, Grok (xAI), Meta AI. La même logique de collecte apparaît dans sept autres extensions du même éditeur, totalisant plus de 8 millions d’utilisateurs. ...

Source: Kaspersky Team (12 déc. 2025). Analyse d’une campagne malveillante exploitant des sites web générés par IA pour propager une version détournée de l’outil d’accès à distance Syncro. Les attaquants créent des versions signées d’un outil d’accès à distance (RAT) légitime, Syncro, puis les distribuent via des pages web générées en masse avec l’outil IA Lovable 🎭. Ces sites imitent de façon convaincante des services populaires (ex. clones liés à Polymarket, portefeuilles Lace et Yoroi, Liqwid DeFi, antivirus Avira, gestionnaire de mots de passe Dashlane), sans être des copies parfaites. Les noms de domaine suivent souvent le motif {application}+desktop.com. ...