IOC

Source : NCSC (UK) — Dans un contenu dédié aux opérations de sécurité, l’accent est mis sur les limites des IOCs (adresses IP, domaines, hachages) et sur la nécessité de privilégier des détections fondées sur les TTPs (tactiques, techniques et procédures) pour mieux capter les comportements adverses et soutenir la chasse aux menaces. Le texte explique que les IOCs sont facilement contournés via des tactiques comme le Fast Flux, l’usage d’infrastructures cloud et les approches LOLBAS (Living off the Land), alors que les TTPs offrent une compréhension plus profonde des comportements attaquants et une meilleure résilience face à l’évasion. Il s’appuie sur la Pyramid of Pain pour illustrer la difficulté croissante imposée aux attaquants lorsqu’on s’éloigne des IOCs pour aller vers des détections comportementales. 🔍 ...

Selon CYFIRMA, ce profil de l’acteur étatique chinois Hafnium (aussi connu sous les noms Silk Typhoon et MURKY PANDA, lié au MSS) décrit des opérations d’espionnage ciblant des secteurs critiques, principalement aux États-Unis, Royaume‑Uni, Australie, Japon, Vietnam, Canada et Mexique. Le groupe privilégie l’exploitation d’applications exposées (souvent via zero-days) et a accentué ses attaques sur les services cloud. Les cibles techniques incluent Microsoft Exchange et SharePoint, ainsi que d’autres technologies d’entreprise. Les campagnes suivent des attaques multi‑étapes combinant vol d’identifiants, mouvement latéral et exfiltration de données. 🎯 ...

Selon Wiz Research, une vulnérabilité critique de type exécution de code à distance (RCE) baptisée RediShell (CVE-2025-49844) touche Redis, avec un score CVSS de 10.0 (vu à 9.9 selon certaines sources) et un correctif publié par Redis le 3 octobre 2025. 🚨 Principaux faits: Vulnérabilité: Use-After-Free (UAF) menant à une évasion du bac à sable Lua et à l’exécution de code natif sur l’hôte. Produits concernés: Redis (toutes les versions), vulnérabilité présente depuis ~13 ans dans le code source. Conditions d’exploitation: post-auth via envoi d’un script Lua malveillant (Lua activé par défaut). Risque critique si l’instance est exposée Internet sans authentification. Impact: Accès complet à l’hôte avec possibilités d’exfiltration, effacement ou chiffrement de données, détournement de ressources et mouvements latéraux dans les environnements cloud. Prévalence: Redis est présent dans ~75% des environnements cloud; il s’agirait de la première vulnérabilité Redis notée critique. Exposition et risque: ...

Source : Mend.io — Dans un guide détaillé, le média présente une analyse technique et opérationnelle des principaux risques de sécurité liés aux grands modèles de langage (LLM) et propose des contre-mesures concrètes de bout en bout. Le contenu couvre les vulnérabilités majeures inspirées de l’« OWASP Top 10 » pour LLM, dont injection de prompt, gestion de sortie non sécurisée, empoisonnement des données d’entraînement et déni de service du modèle. Il met aussi en avant des risques émergents liés à l’IA agentique, aux modèles open source et aux déploiements sensibles géopolitiquement, avec une approche cycle de vie intégrale, de la collecte de données jusqu’aux opérations post-déploiement. ...

Selon GuidePoint Security, dans le cadre du Cybersecurity Awareness Month, un risque émergent touche les environnements d’entreprise : les « Shadow AI Agents » — des systèmes IA autonomes créant des identités non humaines (NHI) avec des accès larges via API, comptes de service et tokens, souvent sans supervision. L’article détaille comment de simples chatbots évoluent en agents autonomes et pourquoi ils posent des risques de sécurité (comportements imprévisibles, sur‑privilèges, exposition via tokens et comptes de service). Il explique aussi comment des attaquants peuvent les exploiter et créer des angles morts d’observabilité. ...

Source et contexte: krebsonsecurity.com (Brian Krebs) rapporte qu’un groupe lié à ShinyHunters/UNC6040 a lancé un site d’extorsion visant Salesforce et des dizaines d’entreprises, après une campagne de vishing en mai 2025 ayant conduit au vol de données Salesforce. Le blog « Scattered LAPSUS$ Hunters » publie les noms de victimes (Toyota, FedEx, Disney/Hulu, UPS, etc.) et menace de divulguer les données volées si une rançon n’est pas payée d’ici le 10 octobre. Google TIG (GTIG) suit le groupe comme UNC6040 et a confirmé qu’un de ses propres environnements Salesforce a été affecté par la campagne. Salesforce indique qu’elle ne paiera pas et qu’aucune vulnérabilité du cœur de la plateforme n’est en cause. 🔓 ...

ReliaQuest (Threat Spotlight) publie une analyse du paysage ransomware au T3 2025, mettant en avant une intensification des menaces, des évolutions tactiques notables et des mesures défensives recommandées. 📈 Le trimestre enregistre un record de 81 sites de fuite de données actifs. Le paysage se fragmente, de plus petites équipes comblant le vide laissé par de grandes opérations, ce qui entraîne des schémas d’attaque imprévisibles touchant de nouveaux secteurs et régions. La Thaïlande subit une hausse de 69 % des attaques, tandis que le secteur de la santé progresse de 31 %, porté par des groupes émergents. Qilin reste le groupe le plus actif avec un nombre record de victimes listées. ...

Selon Volexity (blog), l’acteur UTA0388, aligné sur la Chine, a mené entre juin et septembre 2025 des campagnes de spear phishing sophistiquées déployant le malware GOVERSHELL, avec un recours présumé aux LLM pour générer du contenu multilingue. • Contexte et cibles 🎯 UTA0388 cible des organisations en Amérique du Nord, en Asie et en Europe, avec un intérêt marqué pour les enjeux géopolitiques asiatiques, en particulier Taïwan. Les campagnes s’appuient sur des tactiques de « rapport‑building » (création de lien) et montrent des indices d’automatisation par LLM (fabrications absurdes, personas incohérents, ciblage inconsistant). ...

Source: watchTowr Labs — Les chercheurs publient une analyse technique de la chaîne d’exploitation derrière CVE‑2025‑61882, une RCE pré‑authentifiée visant Oracle E‑Business Suite (EBS), après l’alerte officielle d’Oracle confirmant une exploitation active et l’impact sur les versions 12.2.3 à 12.2.14. — Contexte et impact Oracle a diffusé une alerte indiquant une vulnérabilité exploitable à distance sans authentification pouvant conduire à une exécution de code. watchTowr Labs a obtenu un PoC et a reconstitué la chaîne d’attaque, composée d’« au moins cinq » failles orchestrées, démontrant une maîtrise approfondie d’Oracle EBS et un large périmètre d’impact. — Chaîne d’exploitation (vue d’ensemble) ...

Selon CYFIRMA, le paysage ransomware de septembre 2025 affiche une forte intensification des capacités techniques et opérationnelles, avec 504 victimes dans le monde et une concentration aux États-Unis. Les chiffres et cibles 🎯 504 victimes recensées mondialement en septembre 2025, dont 294 aux États-Unis. Secteurs principalement touchés : services professionnels, manufacture, services aux consommateurs. Qilin reste dominant, tandis que Incransom et Safepay progressent nettement. Évolutions techniques marquantes 🔧 Akira est passé de l’exploitation de CVE-2024-40766 à un contournement MFA via vol des seeds OTP sur VPN SonicWall. MalTerminal intègre GPT-4 pour la génération de charges utiles à l’exécution, créant des ransomwares adaptatifs qui contournent la détection statique. HybridPetya arme des bootkits UEFI en exploitant le contournement Secure Boot (CVE-2024-7344), avec chiffrement du MFT au niveau firmware pour une persistance pré-boot. CountLoader se présente comme une plateforme modulaire multi-langages (.NET, PowerShell, JavaScript) diffusant Cobalt Strike, AdaptixC2 et PureHVNC RAT, avec abus de LOLBins et chiffrement PowerShell à la volée. Opérations et acteurs 🕵️ ...