Threat-Intelligence

Selon TRM Labs, à la suite du démantèlement de Garantex en mars 2025, des plateformes successeurs à haut risque — Grinex, ABCex et AEXbit — adoptent des tactiques opérationnelles similaires afin d’assurer la continuité et d’éviter l’attention des forces de l’ordre. L’analyse met en évidence, via des outils d’analyse blockchain, des schémas de co-spending entre des adresses attribuées à ABCex et AEXbit, indiquant avec une forte certitude un contrôle commun des deux plateformes. 🔗 ...

Selon une publication sur Substack (Natto Thoughts), cette étude retrace l’organisation de huit grands groupes de « red hackers » chinois et révèle l’écart entre leurs bases d’inscrits et leurs capacités opérationnelles réelles. Les collectifs patriotiques comme Honker Union of China (80 000 membres revendiqués) et China Eagle Union (113 000 utilisateurs enregistrés) ne comptaient en pratique que moins de 50 membres véritablement techniques au cœur des opérations 🧑‍💻. L’analyse décrit des structures hiérarchiques où un noyau technique (8–50 personnes) coexiste avec des rôles de soutien (traducteurs, administrateurs), l’expertise technique déterminant l’influence et la prise de décision. ...

Picus Security a publié une analyse complète du groupe de ransomware Ryuk mettant en lumière leurs attaques ciblées contre des grandes organisations, notamment dans le secteur de la santé et les entités gouvernementales. L’analyse cartographie la chaîne d’attaque de Ryuk selon le cadre MITRE ATT&CK, couvrant des tactiques allant de l’accès initial par hameçonnage ciblé au mouvement latéral, l’escalade de privilèges, et l’impact final de chiffrement. Les principales découvertes incluent l’utilisation par Ryuk de techniques de chiffrement à double impact, la désactivation systématique des services de sauvegarde, et des méthodes d’évasion sophistiquées. La plateforme Picus Security Validation Platform est mise en avant pour sa capacité à simuler ces attaques afin de tester les défenses organisationnelles et identifier les failles de sécurité avant que les attaquants ne puissent les exploiter. ...

L’analyse publiée par Unit 42 de Palo Alto Networks met en lumière les raisons pour lesquelles le groupe de menace Muddled Libra attire une attention médiatique significative par rapport à d’autres affiliés de ransomware-as-a-service. Leur playbook distinctif inclut des tactiques de social engineering sophistiquées, des vagues de ciblage spécifiques à l’industrie, et une maîtrise de l’anglais natif dans les attaques de vishing. Ces éléments contribuent à leur taux de succès élevé, avec 50% des cas récents aboutissant au déploiement du ransomware DragonForce et à l’exfiltration de données. ...

Darktrace a publié une analyse rétrospective de la première moitié de 2025, mettant en lumière une évolution significative du paysage des menaces. Les attaquants intègrent de plus en plus l’IA et l’automatisation dans leurs opérations, ce qui se traduit par une détection de plus de 12,6 millions d’emails malveillants. Les acteurs malveillants utilisent des modèles de langage avancés pour concevoir des campagnes de phishing sophistiquées à une échelle sans précédent. ...

Le rapport de mi-année publié par Forescout met en lumière les tendances de la cybersécurité pour la première moitié de 2025, avec une attention particulière sur l’augmentation des attaques ciblant les technologies opérationnelles (OT), les exploitations de failles zero-day, et les campagnes de ransomware. Les principales conclusions montrent une croissance de 46% des exploitations zero-day et une augmentation de 36% des attaques par ransomware, totalisant 3 649 incidents. Les menaces hacktivistes iraniennes évoluent, ciblant de plus en plus les infrastructures critiques. Le rapport identifie 137 acteurs de menace actifs, avec la Chine, la Russie et l’Iran en tête, tandis que les États-Unis restent la cible principale avec 53% des attaques. Le secteur de la santé a subi 341 violations affectant près de 30 millions de personnes. ...

Palo Alto Networks Unit 42 a publié un catalogue exhaustif des acteurs de la menace, organisé selon des conventions de dénomination basées sur les constellations. Ce document fournit des profils détaillés de groupes d’État-nation provenant de Pakistan (Draco), Biélorussie (Lynx), Corée du Nord (Pisces), Iran (Serpens), Chine (Taurus), et Russie (Ursa), ainsi que des groupes de cybercriminalité sous Libra et des opérateurs de ransomware sous Scorpius. Chaque profil inclut une évaluation de l’attribution, les motivations principales, les secteurs ciblés, les TTPs (Techniques, Tactiques et Procédures) opérationnels, et les alias connus, fournissant ainsi aux professionnels de la sécurité des renseignements exploitables pour la chasse aux menaces, la réponse aux incidents, et le développement de stratégies de défense. ...

Des chercheurs en sécurité ont identifié un package NPM malveillant sophistiqué généré par l’IA, ciblant les développeurs en tant que drain de portefeuille de cryptomonnaies. Le package, nommé @kodane/patch-manager, se fait passer pour un gestionnaire de cache de registre légitime mais inclut des fonctionnalités avancées pour voler des fonds de cryptomonnaies. Le malware procède à une infection en plusieurs étapes : installation via un script post-installation, établissement de la persistance à travers des processus en arrière-plan, connexion à un serveur C2 à l’adresse sweeper-monitor-production.up.railway.app, découverte de fichiers de portefeuille, et extraction des fonds vers une adresse Solana spécifique (B2XwbrGSXs3LAAcqFqKqGUug5TFA1Bug2NNGH3F3mWNK). ...

Cet article de Chainalysis met en lumière une campagne de scam par empoisonnement d’adresses qui cible les utilisateurs actifs de cryptomonnaies. Les attaquants génèrent des adresses similaires à celles utilisées fréquemment par les victimes et envoient de petites transactions pour contaminer l’historique des transactions. Les victimes, en copiant des adresses depuis leur historique pour des transactions futures, envoient par inadvertance des fonds vers des adresses contrôlées par les attaquants. L’analyse a révélé que cette campagne a ciblé 82,031 adresses avec un taux de réussite de seulement 0,03%. Cependant, le retour sur investissement est exceptionnel, atteignant 1,147% même après le retour de 68 millions de dollars. Les attaquants utilisent des infrastructures de kits d’outils disponibles sur les marchés du darknet pour mener ces attaques. ...

L’article publié le 28 juillet 2025 rapporte une attaque de la chaîne d’approvisionnement qui a compromis la version 0.5.15 du package Python populaire num2words, potentiellement liée à l’acteur de menace connu sous le nom de Scavenger. Le package malveillant a été publié sur PyPI sans les balises de dépôt correspondantes, ce qui a immédiatement suscité des inquiétudes. Grâce à une réponse rapide de la communauté et à la suppression rapide par PyPI, des dommages plus importants ont été évités. Les organisations utilisant ce package sont invitées à vérifier immédiatement leurs environnements, à rétrograder à une version antérieure non compromise, et à mettre en œuvre des mesures de sécurité renforcées pour la chaîne d’approvisionnement. ...