TTP

Selon KrebsOnSecurity, une compromission majeure de la plateforme de chatbot IA Drift (Salesloft) a conduit au vol de jetons d’authentification utilisés par des centaines d’intégrations tierces, facilitant une vaste campagne d’exfiltration menée par l’acteur UNC6395. • Impact et portée: des jetons permettant l’accès à Salesforce, Google Workspace, Slack, Amazon S3, Microsoft Azure et OpenAI ont été dérobés. Les organisations utilisant les intégrations Salesloft sont appelées à invalider immédiatement tous les jetons stockés et à partir du principe que leurs données sont compromises. L’incident met en lumière le risque d’‘authorization sprawl’, où des jetons légitimes permettent de circuler sans entraves entre systèmes cloud. ...

Cette analyse de Kaspersky (securelist) examine en profondeur le rôle des cookies de navigateur comme composants de sécurité et montre comment les cookies de session contenant des Session IDs deviennent des cibles majeures. Le contenu couvre les types de cookies, les exigences de conformité (GDPR, CCPA, LGPD), et comment une mauvaise gestion peut exposer des identifiants d’authentification et des données personnelles. L’étude détaille plusieurs vecteurs d’attaque : session hijacking, XSS, CSRF, et man-in-the-middle. Sur le plan technique, elle décrit la capture de session via HTTP non chiffré, le vol de cookies par injection JavaScript malveillante (XSS), la session fixation avec des Session IDs prédéfinis, ainsi que le cookie tossing exploitant des vulnérabilités de sous-domaine. ...

Source: Optiv (référence citée). Contexte: analyse de sécurité des NAS d’entreprises (QNAP, Synology, Zyxel) et cartographie des techniques d’attaque selon MITRE ATT&CK. Le rapport identifie les NAS comme des cibles prioritaires pour des groupes ransomware et opérateurs de botnets, en raison de leur rôle central dans le stockage des données. Il met en avant une exploitation rapide (≤72 h) des vulnérabilités divulguées et l’émergence de souches de ransomware spécialisées visant spécifiquement les environnements NAS. ...

Source : Sekoia (blog) — Le rapport dresse une vue d’ensemble 2010‑2025 de l’écosystème des vendeurs de surveillance commerciale (CSV), montrant comment des entreprises privées conçoivent et vendent des spyware à des clients gouvernementaux, malgré des crises de légitimité et des sanctions. Le document met en avant l’évolution des CSV qui continuent de prospérer via rebranding, structures corporatives complexes et méthodes d’attaque de plus en plus sophistiquées. Il souligne les risques systémiques pour la société civile, les journalistes et les activistes à l’échelle mondiale. ...

Source : watchTowr Labs. Contexte : les chercheurs décrivent comment ils ont observé et reproduit l’exploitation active de CVE-2025-54309 affectant CrushFTP, listée dans le CISA KEV le 22 juillet 2025, et permettant un accès administrateur via HTTPS lorsque la fonctionnalité proxy DMZ n’est pas utilisée. • Vulnérabilité et impact. La faille touche « CrushFTP 10 avant 10.8.5 » et « 11 avant 11.3.4_23 » et provient d’une mauvaise gestion de la validation AS2. Exploitée en juillet 2025, elle permet d’obtenir des privilèges administrateur (ex. l’utilisateur intégré crushadmin), entraînant un contrôle total du serveur (création/lecture de fichiers sensibles). Le billet souligne l’ampleur potentielle avec plus de 30 000 instances exposées. ...

Selon Nextron Systems, une campagne sophistiquée attribuée à APT36, rappelant les tactiques d’Operation Sindoor, vise des organisations indiennes via des pièces jointes .desktop piégées se faisant passer pour des PDF, afin de prendre le contrôle à distance de systèmes Linux. • Nature de l’attaque 🎣: des e‑mails de spear‑phishing livrent des fichiers .desktop malveillants qui déclenchent une infection en plusieurs étapes, aboutissant à l’installation de MeshAgent pour un accès à distance complet, la surveillance et l’exfiltration de données. ...

Selon AWS (aws.amazon.com), l’équipe Threat Intelligence d’Amazon a identifié et neutralisé une campagne de watering hole menée par APT29/Midnight Blizzard (associé au SVR russe). Des sites légitimes compromis redirigeaient une fraction des visiteurs vers des domaines imitant des pages de vérification Cloudflare, afin de les amener à valider des appareils contrôlés par l’attaquant via le flux d’authentification Microsoft par code d’appareil. AWS précise qu’aucun système AWS n’a été compromis et qu’aucun impact direct sur ses services n’a été observé. ...

Source: Medium — Le chercheur Seyfullah KILIÇ décrit une expérience visant à identifier des déploiements TeslaMate accessibles publiquement et la quantité de données sensibles qu’ils exposent. Il explique avoir réalisé un balayage à l’échelle d’Internet 🔎 pour repérer les hôtes avec le port 4000 ouvert, ce qui a permis une découverte rapide et massive grâce à une infrastructure multi-serveurs 10 Gbps. Après détection des hôtes, il a utilisé un outil de fingerprinting HTTP pour confirmer les installations TeslaMate via leur titre par défaut. Cette étape a affiné la liste aux déploiements effectivement identifiés comme TeslaMate. ...

Selon BleepingComputer, des acteurs de menace utilisent plusieurs sites web promus par des publicités Google pour piéger les internautes avec une application d’édition PDF convaincante qui sert de vecteur à un malware voleur d’informations nommé TamperedChef. Le stratagème repose sur des publicités Google menant à plusieurs sites qui proposent un supposé éditeur PDF. L’application, présentée de manière convaincante, sert en réalité à livrer un logiciel malveillant. L’impact principal mentionné est le vol d’informations via le malware TamperedChef, classé comme info-stealer, ce qui indique un risque d’exfiltration de données sensibles des victimes. ...

Source et contexte: Publication académique de Lukasz Olejnik (King’s College London) analysant la faisabilité d’« usines à propagande IA » opérées avec des petits modèles de langage (SLM) en local sur du matériel grand public. L’étude démontre qu’un pipeline complet de génération et d’évaluation de contenus politiques peut fonctionner sans intervention humaine, en local, avec des SLM ouverts. Huit personas politiques (gauche/droite, tons et styles variés) sont testés sur 180 fils Reddit ChangeMyView. Les réponses sont évaluées automatiquement par un juge LLM local (Qwen3‑30B) pour mesurer la fidélité au persona (PF), l’adhérence idéologique (IAS) et l’extrémité (EIC). ...