APT

Lors d’une session clé de l’événement Infosecurity Europe 2025, Paul Chichester, directeur des opérations au National Cyber Security Centre (NCSC) du Royaume-Uni, a souligné l’importance pour les dirigeants d’entreprise de suivre l’évolution géopolitique afin d’adapter leurs stratégies de cybersécurité. Chichester a mis en garde contre l’intensification des efforts des États connus pour soutenir des groupes de hackers, visant notamment les infrastructures critiques. Il a particulièrement mis en avant les capacités cybernétiques accrues de la Russie, qui a profité de l’invasion de l’Ukraine pour affiner ses techniques offensives, ainsi que la menace posée par les groupes soutenus par la Chine. ...

L’article publié par BleepingComputer met en lumière une série d’attaques menées par le groupe APT ‘Stealth Falcon’ exploitant une vulnérabilité RCE dans Windows WebDav. Depuis mars 2025, le groupe a ciblé des organisations de défense et gouvernementales en Turquie, au Qatar, en Égypte et au Yémen. Stealth Falcon, également connu sous le nom de ‘FruityArmor’, est réputé pour ses attaques de cyberespionnage contre des entités du Moyen-Orient. La vulnérabilité, identifiée sous le code CVE-2025-33053, provient d’une mauvaise gestion du répertoire de travail par certains exécutables système légitimes de Windows. En manipulant un fichier .url pour définir son répertoire de travail sur un chemin WebDAV distant, un outil intégré de Windows peut être trompé pour exécuter un exécutable malveillant depuis cet emplacement distant. ...

L’article publié par Trend Research met en lumière les activités du groupe APT nommé Earth Lamia, connu pour exploiter des vulnérabilités dans les applications web afin d’accéder aux organisations ciblées. Depuis 2023, Earth Lamia a principalement visé des organisations situées au Brésil, en Inde et en Asie du Sud-Est. Initialement concentré sur les services financiers, le groupe a élargi ses cibles aux secteurs de la logistique, du commerce en ligne, et plus récemment aux entreprises IT, aux universités et aux organisations gouvernementales. ...

Selon un rapport de Trend Research, Earth Lamia est un acteur de menace APT qui exploite des vulnérabilités dans les applications web pour accéder aux organisations, notamment en Asie du Sud-Est, en Inde et au Brésil. Depuis 2023, ce groupe a évolué dans ses cibles, passant des services financiers à la logistique, au commerce en ligne, et plus récemment aux entreprises IT, aux universités et aux organisations gouvernementales. Earth Lamia utilise des techniques de détection et d’exfiltration de données sophistiquées, développant et personnalisant des outils de piratage pour éviter la détection, tels que PULSEPACK et BypassBoss. Le groupe exploite principalement les vulnérabilités SQL des applications web pour accéder aux serveurs SQL des organisations ciblées. ...

GreyNoise a découvert une campagne d’exploitation furtive ciblant les routeurs ASUS, exploitant la vulnérabilité CVE-2023-39780 et d’autres techniques non corrigées. Cette activité, observée pour la première fois le 18 mars 2025, a été rendue publique après coordination avec des partenaires gouvernementaux et industriels. Les attaquants ont réussi à obtenir un accès non autorisé et persistant à des milliers de routeurs ASUS exposés à Internet. Cette opération semble être une tentative de créer un réseau distribué de dispositifs avec des portes dérobées, potentiellement pour former un botnet futur. ...

L’article publié par EclecticIQ met en lumière une campagne d’exploitation menée par des APT (advanced persistent threat) liés à la Chine en avril 2025. Ces acteurs ont ciblé les réseaux d’infrastructures critiques en exploitant une vulnérabilité dans SAP NetWeaver Visual Composer. Les attaquants ont utilisé la vulnérabilité CVE-2025-31324, qui permet l’exécution de code à distance via un téléchargement de fichier non authentifié. Cette évaluation repose sur un répertoire exposé publiquement, contrôlé par les attaquants, contenant des journaux d’événements détaillés des systèmes compromis. ...

La cyberguerre entre Israël et l’Iran dure depuis l’épisode du malware Stuxnet dans les années 2010. Mais depuis l’attaque du 7 octobre 2023 par le Hamas et l’invasion israélienne de Gaza, un nouvel acteur est monté en puissance : CyberAv3ngers. Qui sont les CyberAv3ngers ? Un groupe lié aux Gardiens de la Révolution iraniens (IRGC). Présenté comme un hacktiviste au départ, mais clairement sponsorisé par l’État. Actif depuis 2020, mais s’est fait remarquer en novembre 2023. ...

Le groupe de cybermenaces chinois Billbug, également connu sous les noms de Lotus Panda, Lotus Blossom et Bronze Elgin, a récemment lancé une attaque contre plusieurs organisations dans un pays d’Asie du Sud-Est. Les détails spécifiques de l’attaque n’ont pas été divulgués, mais l’implication de Billbug indique qu’il s’agit probablement d’une menace persistante avancée (APT) sophistiquée. Billbug est connu pour ses attaques ciblées et ses techniques avancées, et a été impliqué dans plusieurs incidents de cybersécurité par le passé. Les chercheurs de Symantec ont identifié cette nouvelle campagne, soulignant l’importance de la surveillance continue des menaces et de la défense proactive contre les APT. ...

🎣 ClickFix : Quand les hackers d’État vous font exécuter la menace vous-même 📰 Contexte de publication L’article original, intitulé “State-sponsored hackers embrace ClickFix social engineering tactic”, a été publié le 20 avril 2025 sur le site spécialisé en cybersécurité BleepingComputer, par le journaliste Bill Toulas. Ce billet s’inscrit dans la veille constante sur les tactiques d’ingénierie sociale utilisées par des groupes APT (Advanced Persistent Threats) soutenus par des États. Il met en lumière une technique redoutablement efficace : ClickFix, une méthode qui exploite la psychologie des utilisateurs pour les amener à s’auto-infecter volontairement. ...