IOC

Ce rapport, préparé par Quorum Cyber, met en lumière une campagne de malware ciblant spécifiquement le secteur de l’enseignement supérieur au Royaume-Uni. Deux universités ont été infectées par des Remote Access Trojans (RAT), indiquant une possible escalade des attaques dans ce secteur. Les RATs permettent aux attaquants de prendre le contrôle à distance des systèmes infectés, facilitant l’accès aux fichiers, la surveillance des activités et la manipulation des paramètres système. Les attaquants peuvent également introduire d’autres outils ou malwares, exfiltrer des données ou détruire des informations. Cette campagne utilise des Cloudflare Tunnels pour contourner les pare-feux et maintenir un accès persistant et discret. ...

L’article publié par SecureList de Kaspersky décrit une campagne de minage de crypto-monnaie qui utilise des API Docker exposées pour propager un malware de manière autonome. Cette attaque ne nécessite pas de serveur de commande et de contrôle, s’appuyant sur la croissance exponentielle du nombre de conteneurs infectés pour se propager. Lors d’une évaluation de compromission, des analystes ont détecté des conteneurs exécutant des activités malveillantes. L’analyse a révélé que l’attaquant a accédé à l’infrastructure conteneurisée en exploitant une API Docker publiée de manière non sécurisée, compromettant ainsi les conteneurs en cours d’exécution et en créant de nouveaux pour miner la crypto-monnaie Dero et lancer des attaques externes. ...

Microsoft Threat Intelligence a publié un rapport sur Void Blizzard, un nouvel acteur de menace affilié à la Russie, qui mène des opérations de cyberespionnage ciblant principalement des organisations importantes pour les objectifs du gouvernement russe. Ces cibles incluent les secteurs gouvernementaux, de la défense, des transports, des médias, des ONG et de la santé, principalement en Europe et en Amérique du Nord. Void Blizzard utilise des identifiants volés, souvent achetés sur des marchés en ligne, pour accéder aux organisations et voler de grandes quantités d’emails et de fichiers. En avril 2025, ils ont commencé à utiliser des méthodes plus directes pour voler des mots de passe, telles que l’envoi de faux emails pour tromper les utilisateurs. ...

L’article de BleepingComputer rapporte la découverte d’un nouveau malware nommé PumaBot, qui cible spécifiquement les appareils IoT sous Linux. PumaBot est un botnet écrit en Go, un langage de programmation connu pour sa portabilité et son efficacité. Ce malware utilise des attaques par force brute pour compromettre les identifiants SSH des appareils IoT, ce qui lui permet de déployer des charges utiles malveillantes. Les appareils IoT, souvent mal sécurisés, sont des cibles privilégiées pour ce type d’attaques, car ils peuvent être intégrés dans un réseau de botnets pour mener diverses activités malveillantes telles que des attaques DDoS ou l’exfiltration de données. ...

GreyNoise a découvert une campagne d’exploitation furtive ciblant les routeurs ASUS, exploitant la vulnérabilité CVE-2023-39780 et d’autres techniques non corrigées. Cette activité, observée pour la première fois le 18 mars 2025, a été rendue publique après coordination avec des partenaires gouvernementaux et industriels. Les attaquants ont réussi à obtenir un accès non autorisé et persistant à des milliers de routeurs ASUS exposés à Internet. Cette opération semble être une tentative de créer un réseau distribué de dispositifs avec des portes dérobées, potentiellement pour former un botnet futur. ...

GreyNoise a utilisé un outil d’analyse de trafic réseau alimenté par l’IA, nommé SIFT, pour détecter des charges utiles anormales visant à désactiver les fonctionnalités de sécurité TrendMicro sur les routeurs ASUS. Cette activité a été découverte initialement le 18 mars 2025, mais la divulgation publique a été retardée pour coordonner les découvertes avec des partenaires gouvernementaux et industriels. L’attaque combine des méthodes anciennes et nouvelles, débutant par des attaques par force brute sur login.cgi, suivies d’exploitations de vulnérabilités de contournement d’authentification plus anciennes. Une fois l’accès privilégié obtenu, les attaquants exploitent une vulnérabilité d’injection de commande pour créer un fichier vide à /tmp/BWSQL_LOG, activant ainsi la journalisation BWDPI, une fonctionnalité TrendMicro intégrée. ...