Posts

Source : Check Point Research (blog). Dans cette publication, les chercheurs détaillent plusieurs vulnérabilités dans Microsoft Teams touchant la confiance au sein des conversations, avec un suivi de divulgation responsable et des correctifs Microsoft finalisés fin octobre 2025. • Découvertes clés (CVE-2024-38197) : Édition invisible de messages : réutilisation d’identifiants uniques pour modifier des messages sans l’étiquette « Édité » ➜ altération silencieuse de l’historique. Notifications spoofées : manipulation des champs de notification pour faire apparaître des alertes comme venant d’un cadre ou collègue de confiance. Changement de nom affiché en chat privé : modification du topic de conversation impactant le nom visible par les deux participants. Usurpation d’identité en appels audio/vidéo : modification arbitraire du display name via la manipulation des requêtes d’initiation d’appel. • Impact et contexte : avec plus de 320 M d’utilisateurs mensuels, Teams est une infrastructure critique. Ces failles permettent l’usurpation d’exécutifs, la fraude financière, la livraison de malware, des campagnes de désinformation et la perturbation de communications sensibles. Les chercheurs soulignent une tendance de fond : les applications de collaboration (Teams, Slack, Zoom, etc.) deviennent un nouvel espace d’attaque, prisé par des APT et des cybercriminels exploitant les signaux de confiance (noms affichés, notifications, messages cités). ...

Source et contexte: Zscaler ThreatLabz publie le « 2025 Mobile, IoT & OT Threat Report » (données juin 2024–mai 2025), fondé sur la télémétrie de son cloud et l’analyse de transactions mobiles et IoT/OT à grande échelle. 📱 Mobile: Les transactions de malwares Android ont grimpé de 67%. Zscaler recense 239 applications Android malveillantes (42 M de téléchargements sur Google Play). Le backdoor Android Void/Vo1d a infecté 1,6 M de box TV Android (cible: versions AOSP anciennes). Les menaces phares incluent les bancaires (Anatsa) et un nouveau RAT Xnotice (ciblant des candidats dans l’oil & gas), avec abus massif des services d’accessibilité, overlays, mishing (SMS), et contournements via ZIP/APK malformés et payloads DEX chiffrés. L’adware domine désormais (69%), devant Joker (23%) et Harly (5%). ...

Source et contexte: cyber.gov.au (Australian Government/ASD) publie une alerte sur l’implant « BADCANDY » observé depuis octobre 2023, avec une activité renouvelée en 2024‑2025, ciblant des équipements Cisco IOS XE vulnérables à CVE‑2023‑20198. ⚠️ L’ASD décrit BADCANDY comme un web shell Lua « low equity » installé après exploitation de l’interface Web (UI) de Cisco IOS XE. Les acteurs appliquent souvent un patch non persistant post‑compromission pour masquer l’état de vulnérabilité lié à CVE‑2023‑20198. La présence de BADCANDY indique une compromission via cette faille. L’implant ne persiste pas après redémarrage, mais des accès peuvent perdurer si des identifiants ou d’autres mécanismes de persistance ont été acquis; le correctif de CVE‑2023‑20198 doit être appliqué et l’accès à l’UI Web restreint. ...

Source: Embrace The Red (blog). Dans ce billet, l’auteur montre comment l’accès réseau autorisé par défaut du Code Interpreter de Claude permet une exfiltration de données en abusant de l’API Files d’Anthropic, sans passer par des liens externes, mais via des appels aux APIs intégrées autorisées par la liste blanche de domaines. Le cœur de l’attaque est une indirect prompt injection qui amène Claude à lire des données accessibles à l’utilisateur (ex. la dernière conversation via la fonction memories), à les écrire dans le sandbox (/mnt/user-data/outputs/hello.md), puis à exécuter du code qui appelle api.anthropic.com pour uploader ce fichier via l’API Files. Astuce clé: le code injecte la clé API de l’attaquant (variable d’environnement ANTHROPIC_API_KEY), ce qui envoie le fichier non pas vers le compte de la victime mais vers celui de l’attaquant. La taille exfiltrable annoncée est de 30 Mo par fichier, avec la possibilité d’en envoyer plusieurs. ...

Selon BleepingComputer, des acteurs malveillants exploitent activement une vulnérabilité critique (CVE-2025-11833, score 9,8) dans le plugin WordPress Post SMTP (installé sur 400 000+ sites), permettant la lecture non authentifiée des journaux d’e-mails et la prise de contrôle de comptes administrateurs. — Détails techniques et impact — La faille provient de l’absence de contrôles d’autorisation dans le constructeur ‘_construct’ de la classe PostmanEmailLogs, qui rend directement le contenu des e-mails journalisés sans vérification de capacités. Les journaux exposent notamment des messages de réinitialisation de mot de passe contenant des liens permettant de modifier le mot de passe d’un administrateur, conduisant à une compromission complète du site. 🚨 — Chronologie — ...

BleepingComputer rapporte que des pirates exploitent activement une vulnérabilité critique dans le thème WordPress premium JobMonster (NooThemes), observée par Wordfence qui a bloqué de multiples tentatives au cours des dernières 24 heures. ⚠️ Vulnérabilité: CVE-2025-5397 (score de sévérité 9,8) est un contournement d’authentification affectant toutes les versions jusqu’à 4.8.1. Le problème provient de la fonction check_login() qui ne vérifie pas correctement l’identité de l’utilisateur avant l’authentification. Le correctif est disponible en version 4.8.2. ...

Source: Microsoft Security Blog — Microsoft Incident Response (DART) publie une analyse technique d’un nouveau backdoor, « SesameOp », découvert en juillet 2025 lors d’une réponse à incident où les attaquants visaient une persistance longue durée à des fins d’espionnage. • 🧩 Chaîne d’infection et composants: Le loader Netapi64.dll (obfusqué via Eazfuscator.NET) est chargé par injection .NET AppDomainManager via un fichier .config, crée des marqueurs (fichier C:\Windows\Temp\Netapi64.start, mutex) et exécute un binaire XOR-décodé « .Netapi64 ». Le composant principal OpenAIAgent.Netapi64 lit une configuration dans la ressource .NET TextFile1 au format <OpenAI_API_Key>|<Dictionary_Key_Name>|, gère les proxys, encode le nom d’hôte en Base64 et interagit avec l’écosystème Assistants/Vector Stores d’OpenAI. ...

Source : Darknet.org.uk — L’article traite en 2025 du phénomène « Deepfake-as-a-Service » et explique comment le clonage de voix et les médias synthétiques affectent les entreprises. 🎭 Le contenu met en avant la montée des services de deepfake « prêts à l’emploi » et leur utilisation dans la fraude ciblant les organisations, en soulignant leur impact opérationnel et réputationnel. Les deepfakes ont quitté le domaine expérimental pour devenir un modèle économique criminel industrialisé, baptisé Deepfake-as-a-Service (DFaaS). Ces services permettent aujourd’hui à n’importe quel acteur malveillant de louer des capacités de clonage vocal ou vidéo en temps réel pour mener des fraudes, manipulations sociales ou opérations d’espionnage à grande échelle. ...

Source: Proofpoint (Threat Insight Blog). Contexte: analyse d’un cluster d’activité depuis au moins juin 2025 visant des transporteurs et courtiers fret nord-américains pour faciliter des vols de cargaisons via l’abus d’outils RMM légitimes. • Proofpoint suit un cluster de cybercriminalité ciblant les transporteurs et courtiers afin de détourner des cargaisons réelles. Les acteurs utilisent des RMM/RAS comme ScreenConnect, SimpleHelp, PDQ Connect, Fleetdeck, N‑able et LogMeIn Resolve, souvent en tandem (ex: PDQ Connect installe ScreenConnect et SimpleHelp). L’objectif est d’obtenir un accès à distance discret pour usurper des identités, enchérir sur des chargements et voler les marchandises, revendues ensuite en ligne ou expédiées à l’étranger. 🚚🖥️ ...

D’après l’extrait fourni, les procureurs affirment que des employés de DigitalMint (basée à River North, Chicago), société spécialisée dans la négociation de rançons en cas d’attaque, ont mis en place leur propre stratagème d’extorsion visant plusieurs entreprises. ⚖️ Des employés d’une société anti-ransomware impliqués dans leurs propres cyberattaques, selon le FBI Le FBI a révélé qu’au moins deux employés de la société DigitalMint, basée à Chicago, spécialisée dans la négociation de rançons lors d’attaques informatiques, auraient participé à une série de cyberattaques par ransomware afin de s’enrichir personnellement. Les suspects auraient extorqué plus d’un million de dollars à plusieurs entreprises américaines entre mai 2023 et avril 2025. ...