Microsoft Exchange

🌐 Contexte Source : The Register (exclusivité), publié le 30 avril 2026. Rapport d’investigation de TrendAI partagé en exclusivité. L’activité malveillante a débuté en décembre 2024 et des traces ont été détectées aussi récemment qu’avril 2026. 🎯 Acteurs de la menace Deux nouveaux groupes liés à la Chine ont été identifiés : Shadow-Earth-053 : groupe principal, ciblant gouvernements, contractants de défense, entreprises technologiques et secteur des transports. Shadow-Earth-054 : groupe connexe, partageant les mêmes vulnérabilités exploitées, hashes d’outils identiques et techniques similaires. Présente des chevauchements réseau avec CL-STA-0049 (Unit 42 / Palo Alto Networks), REF7707 (Elastic Security Labs) et Earth Alux. Tom Kellermann (TrendAI) compare ces groupes à Salt Typhoon et Volt Typhoon, les qualifiant de « jeunes frères et sœurs des campagnes Typhoon ». ...

🗓️ Contexte Article publié le 29 avril 2026 par Bloomberg (Patrick Howell O’Neill), basé sur les conclusions de la firme de cybersécurité Gambit Security. L’opération s’inscrit dans un contexte géopolitique tendu : blocus naval américain de Cuba, raid américain au Venezuela, et décision de l’administration Trump de suspendre les livraisons de pétrole à Cuba. 🎯 Cible et impact Les attaquants ont compromis l’ambassade cubaine à Washington, DC, accédant aux boîtes mail de 68 officiels, dont : ...

Selon Arctic Wolf, Microsoft a divulgué la vulnérabilité CVE-2025-53786 touchant les serveurs Exchange on-premises en environnements hybrides, tandis que la CISA a émis la directive d’urgence 25-02 exigeant un correctif d’ici le 11 août. • Gravité et impact: La faille permet à des acteurs déjà authentifiés et disposant d’un accès administrateur aux serveurs Exchange on-premises d’obtenir un accès étendu à Exchange Online et SharePoint, en contournant des contrôles de sécurité et en ne laissant que peu de traces d’audit. Les jetons obtenus peuvent rester valides jusqu’à 24 heures. 🚨 ...

Selon la CISA, une directive d’urgence (25-02) exige des agences fédérales une mitigation immédiate de CVE-2025-53786, une vulnérabilité post-authentification visant les environnements Microsoft Exchange hybrides, avec recommandation à toutes les organisations concernées de suivre les guidances de l’éditeur. ⚠️ Vulnérabilité: CVE-2025-53786 affecte les configurations Microsoft Exchange hybrides. Elle permet à des acteurs ayant déjà un accès administrateur sur un serveur Exchange d’élever leurs privilèges et d’exploiter des configurations « hybrid-joined » vulnérables contre l’environnement cloud connecté de l’organisation. ...

Selon Tenable (blog), une vulnérabilité critique affecte les déploiements hybrides de Microsoft Exchange, permettant une élévation de privilèges du local vers le cloud. Le contexte inclut la publication d’un hotfix par Microsoft et une directive d’urgence de la CISA pour les agences fédérales. • Nature et impact: La faille d’élévation de privilèges CVE-2025-53786 exploite des service principals partagés entre Exchange Server on‑premises et Exchange Online. Un acteur disposant de droits administrateur on‑prem peut abuser de cette relation de confiance pour escalader ses privilèges dans le cloud, compromettant l’intégrité de l’environnement cloud, avec des traces difficiles à détecter. 🔐 ...

Selon bleepingcomputer.com, Microsoft a publié un avis de sécurité concernant une vulnérabilité haute gravité dans les déploiements Exchange Server hybrides qui peut permettre une élévation de privilèges dans Exchange Online, souvent sans traces auditables dans Microsoft 365. Dans les configurations hybrides, les serveurs Exchange on-premises et Exchange Online partagent le même service principal (identité de service) utilisé pour l’authentification. En abusant de cette identité partagée, un acteur ayant le contrôle de l’Exchange on-prem peut forger/manipuler des jetons de confiance ou des appels API acceptés par le cloud comme légitimes. ...

L’article de Nattothoughts analyse l’arrestation de Xu Zewei, un hacker lié au groupe HAFNIUM, et révèle l’interconnexion du cyberécosystème chinois. Xu Zewei a navigué entre des entreprises de sécurité d’État, des firmes de cybersécurité légitimes et des industries stratégiques, illustrant les flux de talents entre intérêts personnels, commerciaux et étatiques en Chine. Sa carrière a débuté chez Shanghai Powerock Network, suspectée d’être une entreprise écran pour le Shanghai State Security Bureau, avant de rejoindre Chaitin Tech et GTA Semiconductor. ...

Selon une annonce du Département de la Justice des États-Unis, Rami Khaled Ahmed, un Yéménite de 36 ans, a été inculpé pour avoir mené environ 1 500 attaques sur des serveurs Microsoft Exchange avec le ransomware ‘Black Kingdom’. Ahmed est soupçonné d’être le développeur et l’opérateur principal de ce ransomware. Il aurait déployé le malware sur des ordinateurs aux États-Unis et à l’étranger, exigeant des paiements de rançon de 10 000 $ en Bitcoin. ...