TTP

En juillet 2025, Arctic Wolf a observé une augmentation de l’activité de ransomware ciblant les dispositifs de firewall SonicWall pour un accès initial. Dans les intrusions examinées, plusieurs attaques pré-ransomware ont été détectées sur une courte période, impliquant un accès VPN via les VPN SSL de SonicWall. Bien que l’accès aux identifiants par brute force, attaques par dictionnaire, et credential stuffing n’ait pas encore été définitivement écarté dans tous les cas, les preuves disponibles suggèrent l’existence d’une vulnérabilité zero-day. Dans certains cas, des dispositifs SonicWall entièrement patchés ont été affectés même après la rotation des identifiants. Malgré l’activation de l’authentification multi-facteurs (TOTP MFA), certains comptes ont tout de même été compromis. ...

Microsoft Threat Intelligence a découvert une campagne de cyberespionnage menée par l’acteur d’État russe connu sous le nom de Secret Blizzard, ciblant les ambassades à Moscou depuis au moins 2024. Cette campagne utilise une technique d’adversaire-au-milieu (AiTM) pour déployer leur malware personnalisé ApolloShadow. ApolloShadow a la capacité d’installer un certificat racine de confiance pour tromper les appareils en leur faisant croire que les sites contrôlés par les acteurs malveillants sont sûrs, permettant à Secret Blizzard de maintenir une persistance sur les appareils diplomatiques, probablement pour la collecte de renseignements. ...

Proofpoint a identifié une campagne de phishing utilisant des applications OAuth de Microsoft falsifiées pour usurper l’identité de diverses entreprises telles que RingCentral, SharePoint, Adobe et DocuSign. Ces campagnes visent à obtenir un accès aux comptes Microsoft 365 en contournant l’authentification multifactorielle (MFA). Les campagnes utilisent des kits de phishing attacker-in-the-middle (AiTM), notamment Tycoon, pour intercepter les identifiants et les jetons de session. Les attaques ont été observées dans des campagnes d’email impliquant plus de 50 applications usurpées et plusieurs kits de phishing. ...

Dans le cadre de leurs efforts continus de chasse aux menaces, des chercheurs de Nextron Systems ont identifié un backdoor furtif pour Linux, nommé Plague. Ce backdoor est conçu comme un module d’authentification modulaire (PAM) malveillant, permettant aux attaquants de contourner silencieusement l’authentification du système et d’obtenir un accès SSH persistant. Bien que plusieurs variantes de ce backdoor aient été téléchargées sur VirusTotal au cours de l’année écoulée, aucun moteur antivirus ne les a signalées comme malveillantes. Cela suggère que Plague a réussi à éviter la détection dans de nombreux environnements. Le backdoor s’intègre profondément dans la pile d’authentification, survit aux mises à jour du système et laisse presque aucune trace médico-légale, ce qui le rend exceptionnellement difficile à détecter avec des outils traditionnels. ...

Les chercheurs de Lookout ont mis en lumière une campagne sophistiquée de logiciel espion Android, nommée DCHSpy, attribuée au groupe de menaces iranien Static Kitten. Cette campagne cible spécifiquement les utilisateurs mobiles iraniens en exploitant des applications VPN et Starlink trompeuses, distribuées via des campagnes de phishing. DCHSpy est actif depuis octobre 2023, en plein conflit régional, et est conçu pour exfiltrer des données sensibles telles que les messages WhatsApp, les données de localisation, les photos et les journaux d’appels. Le malware exploite des tactiques d’ingénierie sociale et tire parti de la demande d’accès Internet non censuré en Iran. ...

Le rapport publié par Renzon Cruz, Nicolas Bareil et Navin Thomas de la société Palo Alto Networks analyse les activités récentes ciblant les infrastructures télécoms, attribuées avec une haute confiance au groupe Liminal Panda. Les attaquants ont utilisé des outils sur mesure adaptés aux environnements télécoms, exploitant des protocoles courants tels que SSH, ICMP, DNS et GTP pour maintenir l’accès et établir des canaux de commande et de contrôle dissimulés. ...

Des chercheurs en sécurité ont identifié un package NPM malveillant sophistiqué généré par l’IA, ciblant les développeurs en tant que drain de portefeuille de cryptomonnaies. Le package, nommé @kodane/patch-manager, se fait passer pour un gestionnaire de cache de registre légitime mais inclut des fonctionnalités avancées pour voler des fonds de cryptomonnaies. Le malware procède à une infection en plusieurs étapes : installation via un script post-installation, établissement de la persistance à travers des processus en arrière-plan, connexion à un serveur C2 à l’adresse sweeper-monitor-production.up.railway.app, découverte de fichiers de portefeuille, et extraction des fonds vers une adresse Solana spécifique (B2XwbrGSXs3LAAcqFqKqGUug5TFA1Bug2NNGH3F3mWNK). ...

L’article publié par KrebsOnSecurity révèle une opération criminelle sophistiquée impliquant plus de 1 200 sites de jeux frauduleux. Ces sites utilisent des publicités sur les réseaux sociaux et de fausses recommandations de célébrités pour attirer les victimes. Les sites proposent des interfaces de jeu soignées avec des crédits fictifs de 2 500 $, mais exigent des dépôts de vérification qui ne sont jamais remboursés. Cette opération est une variante des arnaques de type ‘pig butchering’, optimisée pour un volume élevé plutôt que pour cibler des victimes individuelles. ...

Cet article, publié par Praetorian, met en lumière les risques de sécurité associés aux plateformes de surveillance et de journalisation internes telles que Datadog, Kibana et Sumo Logic. Il démontre comment des testeurs d’intrusion et des équipes rouges peuvent exploiter ces plateformes pour découvrir des informations sensibles et des identifiants involontairement enregistrés. L’article présente une étude de cas détaillée où l’accès à une instance Kibana non authentifiée a conduit à une compromission complète du domaine à travers une chaîne de découvertes d’identifiants. Cette chaîne inclut la découverte de GitHub PAT, l’analyse de dépôt avec Nosey Parker, la compromission de plateformes DevOps, la coercition d’authentification LDAP avec Responder, l’escalade de privilèges Active Directory via une attaque de Shadow Credentials, et finalement DCSync pour l’accès admin du domaine. ...

Cet article de Chainalysis met en lumière une campagne de scam par empoisonnement d’adresses qui cible les utilisateurs actifs de cryptomonnaies. Les attaquants génèrent des adresses similaires à celles utilisées fréquemment par les victimes et envoient de petites transactions pour contaminer l’historique des transactions. Les victimes, en copiant des adresses depuis leur historique pour des transactions futures, envoient par inadvertance des fonds vers des adresses contrôlées par les attaquants. L’analyse a révélé que cette campagne a ciblé 82,031 adresses avec un taux de réussite de seulement 0,03%. Cependant, le retour sur investissement est exceptionnel, atteignant 1,147% même après le retour de 68 millions de dollars. Les attaquants utilisent des infrastructures de kits d’outils disponibles sur les marchés du darknet pour mener ces attaques. ...