Exfiltration De Données

Source: The DFIR Report — Enquête technique détaillée sur une intrusion aboutissant au déploiement de Lynx ransomware dans un environnement Windows/AD, avec mouvement latéral, exfiltration de données et sabotage des sauvegardes. L’intrusion débute par un logon RDP réussi sur un hôte exposé, à l’aide d’identifiants déjà compromis (probablement via infostealer, réutilisation ou IAB). En 10 minutes, l’acteur passe sur un contrôleur de domaine avec un autre compte Domain Admin compromis, crée des comptes look‑alike (dont “administratr”) et les ajoute à des groupes privilégiés. Il installe AnyDesk pour la persistance (non réutilisé ensuite), cartographie l’infrastructure (Hyper‑V, partages) via SoftPerfect NetScan, puis fait une pause. ...

Selon l’actualité fournie, MedQ Inc., un prestataire de services administratifs pour le secteur de la santé, a accepté de régler des actions collectives liées à une attaque par ransomware survenue en décembre 2023. • Chronologie de l’incident: l’enquête a confirmé un accès non autorisé au réseau à partir du 20 décembre 2023, suivi du déploiement du ransomware aux alentours du 26 décembre 2023. L’exfiltration de données a été confirmée. • Portée et impact: l’incident a affecté 54 725 personnes. ...

Selon LayerX Security (Browser Security Report 2025), le navigateur est devenu l’endpoint le plus critique et le moins gouverné de l’entreprise, au croisement de l’IA, des identités et des données, avec une surface d’attaque largement invisible pour les piles DLP/EDR/SSE. 🧠 Croissance IA et déficit de gouvernance 45% des employés utilisent des outils GenAI, dont 92% du trafic sur ChatGPT. Près de 90% des sessions se déroulent hors contrôle IT. 77% des employés copient/collent des données dans des prompts, 82% via des comptes personnels. 40% des fichiers chargés dans des apps GenAI contiennent des données PII/PCI. La GenAI représente 32% des mouvements de données corporate → personnels, devenant le canal d’exfiltration n°1 dans le navigateur. 🧩 Extensions : chaîne d’approvisionnement logicielle non gérée ...

Source : mercurynews.com. Contexte : Intel a déposé une plainte en justice contre Jinfeng Luo, ingénieur logiciel employé depuis 2014, pour vol présumé de secrets commerciaux juste avant la fin de son contrat. Selon la plainte, Luo a été informé le 7 juillet de la fin de son emploi effective au 31 juillet. Huit jours avant cette date, il aurait tenté de copier des données vers un disque dur externe, tentative bloquée par les contrôles internes d’Intel. Cinq jours plus tard, il aurait utilisé un périphérique de stockage en réseau (NAS), décrit comme un petit serveur, et exfiltré près de 18 000 fichiers sur trois jours, dont certains marqués « Intel Top Secret ». ...

Selon Tenable Research (blog Tenable), une nouvelle étude dévoile sept vulnérabilités et techniques d’attaque affectant ChatGPT, dont certaines confirmées sur GPT‑5 et observées sur GPT‑4o, permettant l’exfiltration d’informations privées depuis les mémoires et l’historique de conversation, des attaques 0‑click via la recherche, des contournements de mécanismes de sécurité et des persistances entre sessions. Architecture et surface d’attaque identifiées : ChatGPT s’appuie sur un « System Prompt » enrichi par des « memories » (bio tool) pouvant contenir des données privées de l’utilisateur, et sur un web tool avec deux commandes: search (Search Context) et open_url (Browsing Context). D’après les tests, open_url délègue la navigation à un LLM isolé (« SearchGPT »), sans accès aux memories. Un mécanisme url_safe filtre les liens rendus à l’écran. ...

Source: Embrace The Red (blog). Dans ce billet, l’auteur montre comment l’accès réseau autorisé par défaut du Code Interpreter de Claude permet une exfiltration de données en abusant de l’API Files d’Anthropic, sans passer par des liens externes, mais via des appels aux APIs intégrées autorisées par la liste blanche de domaines. Le cœur de l’attaque est une indirect prompt injection qui amène Claude à lire des données accessibles à l’utilisateur (ex. la dernière conversation via la fonction memories), à les écrire dans le sandbox (/mnt/user-data/outputs/hello.md), puis à exécuter du code qui appelle api.anthropic.com pour uploader ce fichier via l’API Files. Astuce clé: le code injecte la clé API de l’attaquant (variable d’environnement ANTHROPIC_API_KEY), ce qui envoie le fichier non pas vers le compte de la victime mais vers celui de l’attaquant. La taille exfiltrable annoncée est de 30 Mo par fichier, avec la possibilité d’en envoyer plusieurs. ...

Source et contexte: POLITICO (27 octobre 2025) publie une enquête basée sur des milliers de pages d’écoutes et mandats, des interviews d’«auteurs», de victimes et d’enquêteurs, décrivant une opération de cyberintelligence/chantage centrée à Milan autour de la société Equalize et de la plateforme «Beyond». Au cœur du dispositif, Beyond, une base agrégée de centaines de milliers d’enregistrements provenant de bases de l’État (transactions financières signalées, enquêtes pénales) et d’autres sources, destinée à profiler des politiques, chefs d’entreprise et figures publiques. Des dossiers auraient servi à faire pression/menacer des cibles, ou à alimenter la presse pour les discréditer. Des personnalités visées incluent l’ex-Premier ministre Matteo Renzi et Ignazio La Russa (président du Sénat). Le groupe se présentait comme une entreprise d’intelligence d’affaires et proposait des prestations de «risk management». ...

HelixGuard Team publie une analyse mettant en lumière une campagne d’abus de l’écosystème d’extensions VSCode (Microsoft Marketplace et OpenVSX), identifiant 12 composants malveillants — dont 4 toujours non retirés — et détaillant leurs comportements, canaux d’exfiltration et adresses C2. Faits saillants 🚨 Au moins 12 extensions malveillantes détectées, 4 encore en ligne: Christine-devops1234.scraper, Kodease.fyp-23-s2-08, GuyNachshon.cxcx123, sahil92552.CBE-456. Vecteur: attaque supply chain via le marketplace VSCode, ciblant développeurs et postes de travail. Impacts: exfiltration de code/source et données sensibles, captures d’écran/clipboard, backdoors/RCE, détection d’installation et téléchargement de trojan. Contexte sectoriel: citation d’une étude arXiv signalant ~5,6% d’extensions « suspectes » (2 969/52 880) totalisant 613 M d’installations. Comportements malveillants observés ...

Selon Axios, lors de l’appel de résultats du 4e trimestre, F5 a détaillé l’impact d’une récente cyberattaque sur son activité et ses mesures de réponse. Le PDG François Locoh-Donou a indiqué que la croissance des revenus devrait ralentir sur les deux prochains trimestres, nombre de clients ayant mis en pause ou retardé leurs achats pour gérer l’incident. Il a décrit une attaque hautement sophistiquée et exprimé la déception de l’entreprise, soulignant la charge pour les clients qui ont dû mettre à niveau des produits affectés ⚠️. ...

Selon l’extrait d’actualité fourni, des cas récents montrent l’abus de l’outil open source Cyberduck par des acteurs du ransomware Qilin pour l’exfiltration de données. Les attaquants tirent parti de services cloud légitimes pour l’exfiltration 📤, ce qui leur permet de camoufler leurs activités au sein de domaines de confiance et de trafic web légitime. Un artefact clé mentionné est le fichier d’historique Cyberduck, qui indique l’usage d’un hôte Backblaze comme destination ainsi que l’activation d’un paramètre personnalisé de téléversements fractionnés/multipart afin de transférer de gros fichiers ☁️. ...