Intelligence Sur Les Menaces

Le Cyber Fusion Center de Kudelski Security a signalé une exploitation active d’une vulnérabilité zero-day dans les appareils SonicWall Gen 7 SSL-VPN par des affiliés du ransomware Akira. Cette vulnérabilité permet de contourner l’authentification et la MFA sur des appareils entièrement patchés, offrant ainsi un accès direct au réseau. Des intrusions confirmées ont eu lieu en Amérique du Nord et en Europe, entraînant le vol de données d’identification, la désactivation d’outils de sécurité, et le déploiement de ransomware. ...

SpyCloud a analysé un jeu de données recirculé provenant d’une fuite de données de la base de données de la police nationale de Shanghai, qui contient plus de 104 millions de numéros d’identification nationaux chinois uniques. Cette fuite affecte environ 7,4 % de la population chinoise et met en lumière comment ces numéros, qui contiennent des informations intégrées telles que le lieu de naissance, la date de naissance et le sexe, peuvent être exploités par des acteurs malveillants pour des attaques de social engineering et des fraudes à l’identité. ...

L’article publié par Specops Software met en lumière l’effondrement de KNP Logistics Group, une entreprise de 158 ans, suite à une attaque dévastatrice par le groupe de ransomware Akira. Cet incident tragique, ayant entraîné la perte de 700 emplois, souligne l’importance cruciale de la sécurité des mots de passe et de l’authentification multi-facteurs. L’attaque a débuté par l’accès initial aux systèmes de l’entreprise via des identifiants VPN compromis, dépourvus d’authentification multi-facteurs. Les attaquants ont ensuite exploité la vulnérabilité CVE-2024-40711 dans Veeam Backup & Replication pour créer des comptes administrateurs et déployer le ransomware. L’impact a été total avec le chiffrement des serveurs, des terminaux, des sauvegardes et des systèmes de reprise après sinistre. ...

Sygnia, une entreprise spécialisée en cybersécurité, a identifié un acteur menaçant sophistiqué nommé Fire Ant, lié à la Chine, menant des campagnes d’espionnage contre des organisations d’infrastructures critiques. Fire Ant utilise des méthodes d’attaque centrées sur l’infrastructure pour compromettre les hôtes VMware ESXi et les serveurs vCenter, extrayant des identifiants de comptes de service et déployant des portes dérobées persistantes qui survivent aux redémarrages système. L’acteur contourne la segmentation réseau en compromettant des appareils réseau et en établissant des tunnels à travers des segments de réseau via des chemins légitimes. Leurs outils et techniques s’alignent étroitement avec UNC3886, exploitant des vulnérabilités spécifiques de vCenter/ESXi. ...