IOC

Source: Mandiant et Google Threat Intelligence Group. Contexte: une campagne d’extorsion à large échelle, opérée sous la marque CL0P, a exploité une vulnérabilité zero‑day dans Oracle E‑Business Suite (EBS) pour voler des données clients. Oracle a publié un correctif le 4 octobre pour CVE‑2025‑61882, tandis que Mandiant/GTIG documentent plusieurs chaînes d’exploit distinctes visant EBS. — Chronologie et portée — • Activités d’exploitation probables dès juillet 2025, avant la campagne d’extorsion récente. • Oracle publie le 4 octobre un patch référencé CVE‑2025‑61882. Mandiant/GTIG estiment que les serveurs EBS mis à jour via ce correctif ne sont probablement plus vulnérables aux chaînes d’exploit connues. • L’attribution précise des vulnérabilités aux chaînes d’exploit reste incertaine. ...

Selon Black Hills Information Security (BHIS), ce deuxième volet d’une série sur le hacking de l’IA dissèque les vulnérabilités d’injection de prompt dans les grands modèles de langue (LLM) et explique comment des acteurs peuvent manipuler ou contourner les consignes système. L’article souligne une faiblesse centrale : l’absence de frontières de privilèges entre les consignes développeur (system prompts) et les entrées utilisateur, et la nature hautement suggestible des LLM. Cette vulnérabilité est présentée comme une menace critique pour les systèmes IA, comparable à une injection SQL dans les applications traditionnelles. Des plateformes de pratique sont évoquées pour développer les compétences de test en sécurité IA. 🚨 ...

Source: Natto Thoughts (Substack). Contexte: analyse sur deux décennies de transformation de l’écosystème chinois de recherche de vulnérabilités, passant de communautés informelles à un pipeline structuré et en partie aligné sur l’État. L’article met en avant une double mécanique: des règles « top-down » imposant la divulgation des vulnérabilités aux entités publiques (RMSV avec obligation de déclaration sous 48 h au MIIT, et CNNVD), et des réseaux « bottom-up » d’experts d’élite liés de façon informelle à des sous-traitants APT. Les concours nationaux (Tianfu Cup, Matrix Cup) et des plateformes de bug bounty (ex. Butian de Qi An Xin) structurent l’écosystème, tandis que les récompenses financières grimpent (jusqu’à 2,75 M$) et que l’intérêt s’élargit aux produits chinois en plus des cibles occidentales. Les frontières se brouillent entre recherche légitime et opérations offensives sponsorisées par l’État, nourrissant des inquiétudes sur le stockage de vulnérabilités et une opacité croissante. ...

Selon Zenity Labs, cette analyse détaille les risques de sécurité liés à la nouvelle plateforme OpenAI AgentKit pour concevoir des workflows d’agents, couvrant son architecture (Agent Builder, Connector Registry via MCP, ChatKit) et ses mécanismes de sécurité intégrés. L’article décrit l’architecture node-based d’Agent Builder, avec des nœuds principaux (Agent, Start, End), des nœuds d’outils (dont des Guardrails pour la détection PII et jailbreak) et des nœuds logiques (conditionnels, boucles, User Approval). Le Connector Registry étend les agents via des connecteurs MCP vers des services externes, et ChatKit fournit l’intégration UI. ...

Source : Sekoia.io (Threat Detection & Research), rapport publié le 8 oct. 2025 et basé sur des observations de honeypots dès le 22 juil. 2025 ; l’article, initialement privé, décrit des campagnes de smishing diffusées via des API de routeurs cellulaires Milesight exposées. Les honeypots ont vu des requêtes POST vers /cgi pour l’envoi d’SMS (paramètres JSON de type query_outbox/inbox), avec un ciblage marqué de la 🇧🇪 (messages en FR/NL, numéros +32, typosquatting de CSAM/eBox). Des campagnes de masse ont aussi touché 🇸🇪 (42 044 numéros) et 🇮🇹 (31 353), tandis que 🇫🇷 a été visée par des leurres variés (santé, colis, bancaire). Les premiers envois malveillants remontent à févr. 2022, suggérant une exploitation durable par plusieurs acteurs. ...

Selon Huntress (billet de blog), une campagne active depuis août 2025 cible des serveurs web exposant phpMyAdmin mal configuré, avec un enchaînement d’outils légitimes et de malwares menant au déploiement de Ghost RAT. Plus de 100 systèmes compromis ont été observés, majoritairement à Taïwan, au Japon, en Corée du Sud et à Hong Kong, suggérant un ciblage à motivations géopolitiques par un acteur Chine‑nexus. L’intrusion commence par l’exploitation de phpMyAdmin sur XAMPP/MariaDB via injection SQL pour activer le « general query logging » et rediriger la sortie des logs vers un fichier PHP accessible depuis le web. Les attaquants injectent ensuite un web shell PHP (eval) dans les logs, ouvrant une porte dérobée pilotée via AntSword (terminal virtuel) — une technique d’empoisonnement des logs (log poisoning) et de log injection. 🐚 ...

Source: Fortinet (FortiGuard Labs) — FortiGuard Labs publie une analyse de l’évolution de la famille Chaos et décrit une nouvelle variante C++ qui s’éloigne pour la première fois des implémentations .NET. Cette version met l’accent sur des tactiques plus destructrices et rapides: détournement du presse‑papiers pour voler des cryptomonnaies, chiffrement hybride (AES‑256‑CFB ou RSA, avec repli XOR) et suppression anti‑récupération lorsque les privilèges administrateur sont disponibles. FortiGuard indique fournir des protections via des signatures sur FortiGate, FortiMail, FortiClient et FortiEDR. ...

Selon Rapid7, un nouveau groupe de menace baptisé « Crimson Collective » intensifie ses attaques contre des environnements cloud AWS, avec deux cas observés en septembre. — Le groupe débute ses intrusions en compromettant des clés d’accès à long terme AWS et en exploitant les privilèges IAM associés. Une fois l’accès obtenu, il crée de nouveaux utilisateurs et élève les privilèges en attachant des politiques supplémentaires. — Après compromission, Crimson Collective mène de la reconnaissance pour identifier des données de valeur, puis exfiltre ces informations en s’appuyant sur des services AWS. En cas de succès, les victimes reçoivent une note d’extorsion. ...

Selon CYFIRMA, le paysage de la menace aux Émirats arabes unis a connu en 2025 une forte intensification, visant des institutions publiques, les services financiers, le secteur aérien et des plateformes numériques. — Cibles et impacts — • Fuites massives de données et ventes sur le dark web : accès non autorisé et bases exfiltrées issues d’organismes publics et d’entreprises privées. • Exemples notables : PCFC (Dubai) avec 1,94 To de données (passeports, Emirates IDs) vendus 50 000 USD ; Emirates Airlines avec 600 000 enregistrements de passagers ; Emirates NBD avec 700 000 détenteurs de cartes et des données de clients de courtage ; Lookinsure (CRM) vendu 4 000 USD (documents de prêts, paiements). ...

Selon Unit 42 (Palo Alto Networks), un kit de phishing automatisé nommé « IUAM ClickFix Generator » démocratise la technique de social engineering ClickFix en permettant à des acteurs peu qualifiés de créer des pages imitant des vérifications de navigateur afin d’amener les victimes à copier-coller des commandes malveillantes. Les chercheurs ont observé des campagnes actives diffusant les infostealers DeerStealer et Odyssey sur Windows et macOS, révélant un écosystème croissant de phishing-as-a-service et malware-as-a-service. 🎣 ...