Posts

SecurityWeek rapporte que la MITRE Corporation a publié une version révisée de la liste « CWE Most Important Hardware Weaknesses (MIHW) », alignée sur l’évolution du paysage de la sécurité matérielle. Initialement publiée en 2021, la liste MIHW recense des erreurs fréquentes menant à des vulnérabilités matérielles critiques, afin de sensibiliser et d’éliminer ces défauts dès la conception. La version 2025 compte 11 entrées, introduit de nouvelles classes, catégories et faiblesses de base, tout en conservant 5 entrées de 2021. Elle met particulièrement l’accent sur la réutilisation de ressources, les bogues de mode debug et l’injection de fautes. ...

Selon The Register (22 août 2025), un ancien développeur d’Eaton a été condamné aux États-Unis après avoir saboté les systèmes de l’entreprise via un « kill switch » logiciel installé avant son départ. • Faits principaux 🧑‍💻🚨 L’accusé, Davis Lu (55 ans), a été rétrogradé lors d’une restructuration puis a installé un mécanisme de sabotage interne qui se déclenchait si ses accès réseau étaient révoqués. Après son licenciement le 9 septembre 2019, le code s’est activé, surchargé les serveurs et perturbé la connexion pour des milliers d’employés à l’échelle mondiale, avec suppression de certaines données. ...

Source et contexte — IBM X-Force publie une analyse technique de « QuirkyLoader », observé depuis novembre 2024, un nouveau loader employé pour déposer des charges additionnelles sur des hôtes déjà compromis. L’article détaille la chaîne d’infection, les techniques d’évasion, les familles livrées, la victimologie récente (Taïwan, Mexique) et des indicateurs d’infraction associés. Chaîne d’infection — La campagne débute par des e‑mails de spam contenant une archive malveillante. Celle‑ci regroupe un exécutable légitime, un payload chiffré (déguisé en DLL) et un module DLL loader. L’acteur exploite le DLL side‑loading: l’exécutable légitime charge la DLL malveillante, qui lit et déchiffre la charge, puis l’injecte dans un processus cible. Le module DLL est systématiquement écrit en C# .NET et compilé en Ahead‑of‑Time (AOT), produisant un binaire natif qui ressemble à du C/C++. Un variant noté utilise le chiffre Speck‑128 en mode CTR pour générer un keystream (opérations ARX) et déchiffrer le payload par XOR en blocs de 16 octets. ...

Selon Flashpoint, en 2025, les groupes de Ransomware-as-a-Service (RaaS) reconfigurent le paysage des menaces, avec une hausse de 179% des attaques d’une année sur l’autre et un recul de groupes auparavant dominants comme LockBit et BlackCat. Points clés 🔎 RaaS en forte progression, redessinant la dynamique des menaces en 2025. +179% d’attaques d’une année sur l’autre, d’après le suivi de Flashpoint. Déclin des acteurs historiques LockBit et BlackCat. Enjeux et contexte ...

Selon un billet publié le 24 août 2025, un chercheur décrit une attaque « SpAIware » contre Windsurf Cascade exploitant la prompt injection et la persistance en mémoire pour exfiltrer des données de façon continue. Windsurf Cascade est une fonctionnalité intégrée à l’éditeur de code Windsurf (basé sur Visual Studio Code) qui s’appuie sur l’intelligence artificielle pour assister les développeurs. L’article explique que Windsurf Cascade dispose d’un outil interne « create_memory » qui est invqué automatiquement sans approbation humaine. Cette conception permet à un attaquant, via une prompt injection indirecte (par exemple dans un commentaire de code C, un ticket GitHub ou une page web), de persister des instructions malveillantes dans la mémoire à long terme de l’agent. L’impact revendiqué couvre la confidentialité, l’intégrité et la disponibilité des futures conversations. ...

Source: Cisco Talos — Dans un billet signé par Sara McBroom, Talos détaille une campagne d’espionnage étatique menée par le groupe russe Static Tundra, actif depuis plus d’une décennie et lié au FSB (Center 16), visant des équipements réseau Cisco non patchés pour des accès persistants et la collecte de renseignements. Le groupe exploite agressivement depuis au moins 2021 la vulnérabilité CVE-2018-0171 dans la fonctionnalité Smart Install (Cisco IOS/IOS XE), patchée en 2018 mais encore présente sur des équipements non mis à jour ou en fin de vie. Les cibles prioritaires sont les télécoms, l’enseignement supérieur et la fabrication en Amérique du Nord, Asie, Afrique et Europe, avec une intensification notable contre l’Ukraine depuis le début de la guerre. Static Tundra récupérerait les configurations pour des usages ultérieurs, en fonction des priorités stratégiques russes. ...

Selon Hackread.com (18 août 2025), un acteur de menace se présentant comme « Chucky_BF » propose sur un forum cybercriminel un lot baptisé « Global PayPal Credential Dump 2025 » comprenant plus de 15,8 millions de paires email:mot de passe (en clair), assorties d’URLs liées aux services PayPal. Le vendeur affirme que le dump (environ 1,1 Go) couvre des comptes à l’échelle mondiale (Gmail, Yahoo, Hotmail, domaines pays), avec des entrées raw email:password:url. Les échantillons montreraient des adresses Gmail associées à des mots de passe et pointant vers des endpoints PayPal tels que /signin, /signup, /connect, ainsi que des URIs Android, suggérant une structuration qui faciliterait l’automatisation de connexions et l’abus de services. Certains comptes apparaissent en formats web et mobile. 💳 ...

Selon la National Crime Agency (Royaume‑Uni), dans un communiqué du 16 août 2025, Al‑Tahery Al‑Mashriky (26 ans, Rotherham) a été condamné le 15 août à 20 mois d’emprisonnement par la Crown Court de Sheffield, après avoir plaidé coupable le 17 mars à neuf infractions au Computer Misuse Act. Les enquêteurs de la NCA, agissant sur des renseignements des autorités américaines au sujet des groupes de hackers « Spider Team » et « Yemen Cyber Army », ont arrêté Al‑Mashriky en août 2022. Ils l’ont relié au « Yemen Cyber Army » via des comptes de réseaux sociaux et des adresses e‑mail. Son activité consistait à obtenir un accès non autorisé à des sites web, puis à créer des pages cachées portant ses pseudonymes et des messages religieux et politiques. ...

Source: Investigace.cz — Enquête sur le rôle d’acteurs basés en Tchéquie dans la chaîne d’approvisionnement d’Intellexa (Predator), sur fond de sanctions américaines et de procès en Grèce. L’enquête met au centre Dvir Horef Hazan, entrepreneur israélien installé à Krnov (Tchéquie), qui aurait servi de fournisseur/fixeur pour Intellexa et sociétés affiliées (au moins €1,73 M versés de 2019 à début 2023). À Krnov, plusieurs de ses entités (Zambrano Trade s.r.o., Hadastech s.r.o., Shilo s.r.o.) ont expédié vers Intellexa S.A. (Grèce) du matériel réseau, SDR/USRPs, routeurs cellulaires, serveurs, onduleurs, capteurs, avec une facture initiale en 2020 pour du « matériel de labo d’occasion » et des livraisons totalisant près de €500k. Un bon d’expédition (12/2020) mentionne « 18 palettes de pièces informatiques ». Une facture du 28/07/2022 cite un paiement pour POC « Aladin », système qu’Intellexa présentait en 2022 pour des infections à distance via publicités (potentiellement zero‑click). Hazan a aussi agi comme intermédiaire pour des stands de conférences (dont ISS World Prague 2022). ...

Selon Ashes Cybersecurity (billet de recherche du 21 août 2025), une vulnérabilité 0‑day dans le pilote kernel « elastic-endpoint-driver.sys » d’Elastic EDR permettrait une chaîne d’attaque complète aboutissant à un bypass EDR, de la RCE, de la persistance et un DoS privilégié provoquant un BSOD sur les hôtes protégés. Le chercheur décrit une chaîne en quatre étapes: 1) contournement d’Elastic Agent/Elastic Defend via un loader C maison, 2) exécution de code à faible privilège sans détection, 3) persistance par chargement d’un pilote personnalisé interagissant avec « elastic-endpoint-driver.sys », 4) DoS persistant où le pilote d’Elastic adopte un comportement de type malveillant et peut rendre le système inutilisable 🚫. ...