IOC

Selon GBHackers Security, le gang de ransomware Rhysida (ex-Vice Society depuis 2023) conduit une campagne sophistiquée de malvertising qui livre le malware OysterLoader via des publicités de moteurs de recherche trompeuses, notamment des annonces payantes Bing, offrant aux attaquants un accès complet aux appareils et aux réseaux compromis. Les annonces malveillantes se font passer pour des contenus liés à PuTTY, redirigeant les victimes vers une chaîne d’infection peaufinée par le groupe. Cette chaîne aboutit au déploiement d’OysterLoader, utilisé pour établir et maintenir l’accès sur les systèmes touchés. ...

Selon Help Net Security, YouTube (2,53 milliards d’utilisateurs) est devenu un terrain où coexistent divertissement, information et tromperie, avec une hausse notable des abus exploitant les failles de l’écosystème. L’article met en avant la prolifération d’arnaques et de deepfakes, ainsi que des promotions camouflant des liens malveillants derrière des logos familiers. Il cite aussi la présence de malware dans des vidéos tutoriels, des comptes de créateurs détournés, et des contenus de fraude à l’investissement devenus récurrents. ...

Source: NVISO (blog). Dans un billet signé par Maxime, NVISO présente une analyse technique de VShell, un outil d’intrusion en langue chinoise observé dans des activités d’espionnage à long terme, avec un suivi d’infrastructure mené sur plusieurs mois et des notifications de victimes réalisées avec l’appui de Team Cymru. NVISO indique que VShell est utilisé par plusieurs acteurs (étatiques et indépendants). Plusieurs intrusions ont été publiquement attribuées à UNC5174 (supposé courtier d’accès initial lié au MSS chinois), souvent via l’exploitation de systèmes exposés. Toutefois, la disponibilité publique et l’usage élargi de VShell empêchent une attribution exclusive à UNC5174. L’activité observée augmente en Amérique du Sud, Afrique et APAC. ...

Selon Google Cloud (rapport « Cybersecurity Forecast 2026 »), ce panorama rassemble des tendances observées en 2025 et projette les menaces majeures de 2026, couvrant l’IA offensive/défensive, la cybercriminalité, l’OT/ICS et les opérations de Russie, Chine, Iran et Corée du Nord. • IA et menace émergente: Les acteurs adopteront massivement l’IA pour accélérer les opérations (social engineering, opérations d’influence, développement de malware). Les agents IA automatiseront des étapes entières d’attaque. Les attaques de prompt injection visant à détourner les modèles et leurs garde-fous devraient augmenter. Le vishing intégrera la clonage de voix pour des usurpations réalistes, tandis que l’IAM devra évoluer vers une gestion d’identités agentiques. 🧠🤖 ...

Selon Tenable Research (blog Tenable), une nouvelle étude dévoile sept vulnérabilités et techniques d’attaque affectant ChatGPT, dont certaines confirmées sur GPT‑5 et observées sur GPT‑4o, permettant l’exfiltration d’informations privées depuis les mémoires et l’historique de conversation, des attaques 0‑click via la recherche, des contournements de mécanismes de sécurité et des persistances entre sessions. Architecture et surface d’attaque identifiées : ChatGPT s’appuie sur un « System Prompt » enrichi par des « memories » (bio tool) pouvant contenir des données privées de l’utilisateur, et sur un web tool avec deux commandes: search (Search Context) et open_url (Browsing Context). D’après les tests, open_url délègue la navigation à un LLM isolé (« SearchGPT »), sans accès aux memories. Un mécanisme url_safe filtre les liens rendus à l’écran. ...

Source : Check Point Research (blog). Dans cette publication, les chercheurs détaillent plusieurs vulnérabilités dans Microsoft Teams touchant la confiance au sein des conversations, avec un suivi de divulgation responsable et des correctifs Microsoft finalisés fin octobre 2025. • Découvertes clés (CVE-2024-38197) : Édition invisible de messages : réutilisation d’identifiants uniques pour modifier des messages sans l’étiquette « Édité » ➜ altération silencieuse de l’historique. Notifications spoofées : manipulation des champs de notification pour faire apparaître des alertes comme venant d’un cadre ou collègue de confiance. Changement de nom affiché en chat privé : modification du topic de conversation impactant le nom visible par les deux participants. Usurpation d’identité en appels audio/vidéo : modification arbitraire du display name via la manipulation des requêtes d’initiation d’appel. • Impact et contexte : avec plus de 320 M d’utilisateurs mensuels, Teams est une infrastructure critique. Ces failles permettent l’usurpation d’exécutifs, la fraude financière, la livraison de malware, des campagnes de désinformation et la perturbation de communications sensibles. Les chercheurs soulignent une tendance de fond : les applications de collaboration (Teams, Slack, Zoom, etc.) deviennent un nouvel espace d’attaque, prisé par des APT et des cybercriminels exploitant les signaux de confiance (noms affichés, notifications, messages cités). ...

Source et contexte: Zscaler ThreatLabz publie le « 2025 Mobile, IoT & OT Threat Report » (données juin 2024–mai 2025), fondé sur la télémétrie de son cloud et l’analyse de transactions mobiles et IoT/OT à grande échelle. 📱 Mobile: Les transactions de malwares Android ont grimpé de 67%. Zscaler recense 239 applications Android malveillantes (42 M de téléchargements sur Google Play). Le backdoor Android Void/Vo1d a infecté 1,6 M de box TV Android (cible: versions AOSP anciennes). Les menaces phares incluent les bancaires (Anatsa) et un nouveau RAT Xnotice (ciblant des candidats dans l’oil & gas), avec abus massif des services d’accessibilité, overlays, mishing (SMS), et contournements via ZIP/APK malformés et payloads DEX chiffrés. L’adware domine désormais (69%), devant Joker (23%) et Harly (5%). ...

Source: Embrace The Red (blog). Dans ce billet, l’auteur montre comment l’accès réseau autorisé par défaut du Code Interpreter de Claude permet une exfiltration de données en abusant de l’API Files d’Anthropic, sans passer par des liens externes, mais via des appels aux APIs intégrées autorisées par la liste blanche de domaines. Le cœur de l’attaque est une indirect prompt injection qui amène Claude à lire des données accessibles à l’utilisateur (ex. la dernière conversation via la fonction memories), à les écrire dans le sandbox (/mnt/user-data/outputs/hello.md), puis à exécuter du code qui appelle api.anthropic.com pour uploader ce fichier via l’API Files. Astuce clé: le code injecte la clé API de l’attaquant (variable d’environnement ANTHROPIC_API_KEY), ce qui envoie le fichier non pas vers le compte de la victime mais vers celui de l’attaquant. La taille exfiltrable annoncée est de 30 Mo par fichier, avec la possibilité d’en envoyer plusieurs. ...

Source: Microsoft Security Blog — Microsoft Incident Response (DART) publie une analyse technique d’un nouveau backdoor, « SesameOp », découvert en juillet 2025 lors d’une réponse à incident où les attaquants visaient une persistance longue durée à des fins d’espionnage. • 🧩 Chaîne d’infection et composants: Le loader Netapi64.dll (obfusqué via Eazfuscator.NET) est chargé par injection .NET AppDomainManager via un fichier .config, crée des marqueurs (fichier C:\Windows\Temp\Netapi64.start, mutex) et exécute un binaire XOR-décodé « .Netapi64 ». Le composant principal OpenAIAgent.Netapi64 lit une configuration dans la ressource .NET TextFile1 au format <OpenAI_API_Key>|<Dictionary_Key_Name>|, gère les proxys, encode le nom d’hôte en Base64 et interagit avec l’écosystème Assistants/Vector Stores d’OpenAI. ...

Source : Darknet.org.uk — L’article traite en 2025 du phénomène « Deepfake-as-a-Service » et explique comment le clonage de voix et les médias synthétiques affectent les entreprises. 🎭 Le contenu met en avant la montée des services de deepfake « prêts à l’emploi » et leur utilisation dans la fraude ciblant les organisations, en soulignant leur impact opérationnel et réputationnel. Les deepfakes ont quitté le domaine expérimental pour devenir un modèle économique criminel industrialisé, baptisé Deepfake-as-a-Service (DFaaS). Ces services permettent aujourd’hui à n’importe quel acteur malveillant de louer des capacités de clonage vocal ou vidéo en temps réel pour mener des fraudes, manipulations sociales ou opérations d’espionnage à grande échelle. ...