TTP

Source : socket.dev Une campagne de phishing sophistiquée a été lancée contre les développeurs npm, exploitant un domaine typosquatté, npnjs.com, pour voler des identifiants à travers de fausses pages de connexion. Les attaquants ont usurpé des emails de support npm, visant particulièrement les mainteneurs de packages ayant une grande influence. L’attaque a été orchestrée depuis l’IP 45.9.148.108 (Nice IT Customers Network) et a utilisé le domaine typosquatté pour imiter le site légitime de npm. Les emails malveillants ont échoué aux vérifications SPF, DKIM, et DMARC, et contenaient des URL tokenisées pour le suivi. ...

Socket.dev rapporte une attaque sophistiquée ciblant le registre npm, où une campagne de phishing a été utilisée pour compromettre les identifiants des mainteneurs npm. Cette attaque a permis la publication de versions malveillantes de packages populaires tels que eslint-config-prettier et eslint-plugin-prettier. Les attaquants ont utilisé un domaine typosquatté, npnjs.com, pour rediriger les mainteneurs vers une fausse page de connexion npm, récoltant ainsi leurs identifiants. Ces informations ont ensuite été utilisées pour injecter du code malveillant dans les packages compromis, ciblant spécifiquement les systèmes Windows. ...

Arctic Wolf Labs a publié une analyse technique détaillée sur les campagnes menées par Greedy Sponge, un acteur malveillant motivé par des gains financiers, qui cible les organisations mexicaines depuis 2021. Ces campagnes utilisent une version modifiée du AllaKore RAT, un outil d’accès à distance, pour voler des informations bancaires et des jetons d’authentification. Les attaques sont lancées via des installateurs MSI trojanisés envoyés par phishing, qui déploient des variantes personnalisées d’AllaKore. ...

L’article publié par Intel 471 fournit une analyse complète de la famille de malwares Lumma infostealer, mettant en lumière ses méthodes de distribution via des campagnes de logiciels piratés et les efforts récents de perturbation par les forces de l’ordre. L’analyse technique décrit l’implémentation de Lumma utilisant le crypteur CypherIT pour l’évasion, la méthodologie de déploiement du programme d’installation NSIS, et l’infrastructure de commande et contrôle. Les techniques de chasse aux menaces se concentrent sur la détection de modèles comportementaux où les attaquants utilisent Tasklist.exe avec Findstr pour énumérer les processus de sécurité en cours d’exécution. ...

L’article publié par Sucuri analyse une campagne de malware ciblant WordPress, qui exploite les conteneurs Google Tag Manager (GTM) pour rediriger les utilisateurs vers des domaines de spam. Les chercheurs en sécurité ont découvert que cette attaque injecte des scripts GTM malveillants directement dans la base de données WordPress, plutôt que dans les fichiers de thème, rendant ainsi la détection plus difficile. La campagne a déjà affecté plus de 200 sites web et utilise le domaine légitime googletagmanager.com pour contourner les filtres de sécurité. ...

L’article de KrebsOnSecurity rapporte une fuite de données majeure chez Paradox.ai, causée par une infection au malware Nexus Stealer sur l’appareil d’un développeur vietnamien. Le malware a permis l’exfiltration de mots de passe stockés, de cookies d’authentification et de données de navigation, exposant les informations personnelles de millions de candidats à l’emploi chez McDonald’s et des mots de passe faibles pour des comptes de clients Fortune 500. La compromission a révélé des faiblesses systémiques en matière de sécurité, telles que de mauvaises pratiques de gestion des mots de passe, la réutilisation des identifiants sur plusieurs systèmes d’entreprise, et la compromission de jetons d’authentification pour les plateformes Okta SSO et Atlassian. ...

Cet article publié par Enea présente une nouvelle technique d’attaque par contournement du protocole SS7, mise en lumière par leur équipe d’experts en renseignement sur les menaces. SS7 est un protocole utilisé par les opérateurs mobiles pour échanger des informations, et le TCAP (Transaction Capabilities Application Part) est une couche de ce protocole qui transporte des données d’application. Cette couche est codée en ASN.1 BER, offrant une certaine flexibilité qui a été exploitée par des attaquants. ...

L’article publié par Emerging Technology Security fournit des conseils sur la manière de bien délimiter les évaluations de sécurité des applications lorsque des modèles de langage (LLMs) sont intégrés. Il souligne que l’intégration de composants d’intelligence artificielle élargit les surfaces d’attaque en créant des relations transitives entre les utilisateurs et les systèmes backend, ce qui signifie que tout ce qu’un modèle de langage peut accéder doit être considéré comme accessible aux utilisateurs. ...

Imperva rapporte une attaque sophistiquée impliquant un package Python malveillant nommé ‘cloudscrapersafe’ sur PyPI. Ce package se fait passer pour un outil légitime de scraping web, mais intègre des capacités de vol de cartes de crédit. Le malware cible spécifiquement les transactions des passerelles de paiement, extrayant les numéros de cartes et les dates d’expiration avant d’exfiltrer ces données vers un bot Telegram. Cette attaque illustre les risques des attaques de la chaîne d’approvisionnement et l’importance d’une vigilance accrue lors de l’utilisation d’outils de contournement de sécurité. ...

L’article analyse le ransomware Secp0, apparu début 2025, qui a initialement été mal compris comme un groupe d’extorsion de divulgation de vulnérabilités, mais qui fonctionne en réalité comme un ransomware traditionnel à double extorsion, chiffrant les données tout en menaçant de les divulguer publiquement. Secp0 a été identifié pour la première fois en février 2025 et a revendiqué sa première victime en mars 2025, une entreprise IT américaine, en compromettant des données et en chiffrant des serveurs. En mai 2025, Secp0 a retardé ses publications, citant une file d’attente de sociétés et testant une solution logicielle, probablement la plateforme d’extorsion World Leaks. ...