TTP

Selon Cofense Intelligence, une campagne de phishing sophistiquée exploite des scripts JavaScript intégrés à des pièces jointes HTML ou à des liens de plateformes de collaboration cloud pour contourner les contrôles de sécurité et voler des identifiants. L’attaque repose sur des pièces jointes HTML ou des liens vers des services cloud contenant du JavaScript qui réalise une sélection aléatoire d’un domaine .org, génère des UUIDs de suivi et remplace dynamiquement le contenu de la page par une fausse page de connexion, le tout sans redirection d’URL apparente. Par rapport aux scripts de phishing habituels, cette campagne se distingue par une sélection à domaine unique sans bascule, un double suivi par UUID (campagne et session) et une orchestration côté serveur qui imite finement des sites légitimes tout en contournant les contrôles de sécurité (SEG). 🎣 ...

Selon SEKOIA (blog.sekoia.io), TransparentTribe (APT36), un acteur lié au Pakistan, a fait évoluer sa campagne d’espionnage ciblant des organismes gouvernementaux et de défense indiens en introduisant DeskRAT, un nouveau RAT Linux en Golang livré via des fichiers .desktop malveillants et opéré via une infrastructure C2 WebSocket. 🎯 Ciblage et leurres Campagne d’espionnage visant des entités gouvernementales et de défense indiennes, avec des leurres exploitant les tensions régionales au Ladakh. Passage d’un hébergement sur Google Drive à des serveurs de staging dédiés pour la distribution des charges. 🛠️ Chaîne d’infection et livraison ...

Selon le blog de Sekoia, le groupe TransparentTribe mène une nouvelle campagne contre des entités militaires en Inde, en s’appuyant sur DeskRAT. 🎯 Acteur: TransparentTribe 🛡️ Cibles: entités militaires indiennes 🐹 Outil: DeskRAT, un cheval de Troie d’accès à distance (RAT) 💻 Technologie: développé en Go (Golang) Le billet met en avant le fonctionnement de cette nouvelle campagne et détaille l’usage de DeskRAT pour permettre un contrôle à distance des systèmes ciblés. ...

Selon l’extrait d’actualité fourni, le rançongiciel Warlock est attribué à un acteur basé en Chine et présente des liens avec des activités malveillantes remontant à 2019. Warlock est décrit comme une menace inhabituelle car, à la différence de nombreuses opérations de ransomware souvent associées à la CEI, il semble être utilisé par un groupe basé en Chine 🇨🇳. Bien que son nom soit nouveau (apparition en juin 2025), des connexions avec des activités antérieures et variées sont mentionnées. ...

Selon Group-IB Threat Intelligence, une campagne d’espionnage attribuée avec haute confiance à l’APT iranien MuddyWater a ciblé plus de 100 entités gouvernementales et des organisations internationales, principalement au Moyen-Orient et en Afrique du Nord, en août 2025. 🚨 Vecteur et kill chain. Les attaquants ont utilisé un compte email compromis (accédé via NordVPN) pour envoyer de faux courriels avec pièces jointes Microsoft Word incitant à « activer le contenu ». L’activation des macros exécute un VBA dropper qui écrit un loader « FakeUpdate » sur disque. Ce loader déchiffre et injecte le backdoor Phoenix v4 (nom de fichier sysProcUpdate) qui s’enregistre au C2 screenai[.]online, beaconne en continu et reçoit des commandes via WinHTTP. ...

Source: Medium (Deriv Tech). Un article de Shantanu dévoile « BeaverTail », une campagne sophistiquée mêlant ingénierie sociale (LinkedIn) et dépôt GitHub piégé pour compromettre des développeurs sous couvert d’un test technique. – Le leurre: un faux recruteur (« Tim Morenc, CEDS ») d’une fausse entreprise « DLMind » (org GitHub dlmind-tech) propose un rôle d’« Innovative AI Engineer » et demande de cloner et exécuter un projet Next.js « MEDIRA ». L’exécution (npm install / node run dev/build) déclenche un backdoor caché. ...

Source: RainPwn (blog). Le billet présente une analyse technique de CVE-2025-9133 affectant les appliances Zyxel ATP/USG, montrant comment le CGI zysh-cgi autorise un contournement d’autorisation durant la vérification 2FA, exposant la configuration système. • Vulnérabilité: bypass d’autorisation dans le flux 2FA via zysh-cgi, dû à une validation par préfixe (strncmp) des commandes et l’absence de tokenisation. En chaînant des commandes avec «;», un utilisateur partiellement authentifié peut exécuter des commandes non autorisées comme show running-config, malgré une allowlist restrictive pour le profil usr_type 0x14. ...

Source: Knostic (billet de blog référencé) — Contexte: mise en garde et synthèse technique sur les extensions VS Code malveillantes observées dans la campagne GlassWorm. 🚨 Fait saillant: les IDEs développeur deviennent une surface d’attaque critique, où des extensions VS Code malveillantes servent de vecteurs de livraison de malware, avec des capacités d’exécution de code à distance, vol d’identifiants et infiltration de la supply chain. Des solutions de détection comme Knostic Kirin sont citées pour bloquer les extensions infectées à l’installation. ...

Source: pacbypass.github.io (16 octobre 2025). Le billet analyse en détail une vulnérabilité de 7‑Zip liée au traitement des symlinks Linux/WSL lors de l’extraction d’archives ZIP sur Windows, en lien avec des rapports ZDI (CVE-2025-11001 et CVE-2025-11002) attribués à Ryota Shiga. Le cœur du problème réside dans la conversion des symlinks Linux vers Windows: un lien comportant un chemin Windows absolu (ex. C:...) est à tort classé comme « relatif » par le parseur, en raison d’une logique d’évaluation d’« absolute path » basée sur la sémantique Linux/WSL. Cette erreur alimente ensuite plusieurs vérifications défectueuses dans le flux d’extraction (GetStream → CloseReparseAndFile → SetFromLinkPath). ...

Source et contexte: Rubrik Zero Labs publie une analyse intitulée Unmasking the Invisible: Hunting and Defeating EDR-Evading Threats Like BRICKSTORM, soulignant que les EDR traditionnels ne tournent pas (ou ne peuvent pas) sur des appliances telles que VMware vCenter Server Appliance (VCSA) et d’autres équipements réseau Linux/BSD — une surface dont des acteurs malveillants tirent parti. 🔍 L’article met en avant des règles YARA signées par Google Threat Intelligence Group (GTIG) pour identifier le backdoor BRICKSTORM. Les règles référencées incluent G_APT_Backdoor_BRICKSTORM_3, G_Backdoor_BRICKSTORM_2, G_APT_Backdoor_BRICKSTORM_1 et G_APT_Backdoor_BRICKSTORM_2, avec des conditions ciblant des binaires ELF (vérifications de magie ELF comme 0x464c457f / 0x7F454C46) et des motifs d’obfuscation/décryptage. ...