TTP

L’article analyse le ransomware Secp0, apparu début 2025, qui a initialement été mal compris comme un groupe d’extorsion de divulgation de vulnérabilités, mais qui fonctionne en réalité comme un ransomware traditionnel à double extorsion, chiffrant les données tout en menaçant de les divulguer publiquement. Secp0 a été identifié pour la première fois en février 2025 et a revendiqué sa première victime en mars 2025, une entreprise IT américaine, en compromettant des données et en chiffrant des serveurs. En mai 2025, Secp0 a retardé ses publications, citant une file d’attente de sociétés et testant une solution logicielle, probablement la plateforme d’extorsion World Leaks. ...

L’article de Mandiant et Google Threat Intelligence Group met en lumière une campagne d’exploitation en cours par un acteur malveillant, désigné UNC6148, visant les appareils SonicWall Secure Mobile Access (SMA) 100 en fin de vie. UNC6148 utilise des identifiants et des seeds OTP volés lors d’intrusions précédentes pour accéder aux appareils, même après l’application de mises à jour de sécurité. Le malware OVERSTEP, un rootkit en mode utilisateur, est déployé pour modifier le processus de démarrage des appareils, voler des informations sensibles et se dissimuler. ...

L’article, publié par Phil Stokes & Dinesh Devadoss, met en lumière la résurgence du malware ZuRu qui cible les utilisateurs de macOS en trojanisant des applications populaires utilisées par les développeurs et professionnels de l’IT. Historique et évolution : Initialement découvert en juillet 2021, ZuRu a été distribué via des résultats de recherche empoisonnés sur Baidu, redirigeant les utilisateurs vers des versions trojanisées d’applications comme iTerm2. En 2024, des chercheurs ont identifié l’utilisation du framework open-source Khepri C2 pour les opérations post-infection. ...

L’article publié par Cofense met en lumière une augmentation de 19 fois des campagnes malveillantes lancées à partir de domaines .es, faisant de ce TLD le troisième le plus utilisé pour ces attaques après .com et .ru. Depuis janvier, 1 373 sous-domaines hébergent des pages web malveillantes sur 447 domaines de base en .es. 99 % de ces campagnes sont axées sur le phishing d’identifiants, tandis que le reste distribue des trojans d’accès à distance (RAT) comme ConnectWise RAT, Dark Crystal et XWorm. ...

Security Explorations, un laboratoire de recherche, a mené une analyse de sécurité sur la technologie eSIM, révélant une compromission des cartes eUICC de Kigen. Cette découverte remet en question les affirmations de sécurité de Kigen, qui prétend que ses eSIM sont aussi sécurisées que les cartes SIM traditionnelles grâce à la certification GSMA. L’attaque a permis de compromettre des cartes eUICC en accédant physiquement à la carte et en connaissant les clés nécessaires pour installer des applications Java malveillantes. Un vecteur d’attaque à distance via le protocole OTA SMS-PP a également été démontré. Cela prouve l’absence de sécurité pour les profils eSIM et les applications Java sur ces cartes. ...

L’article de gbhackers révèle une découverte inquiétante par Koi Security concernant une campagne de détournement de navigateur sophistiquée nommée “RedDirection”. Cette opération a compromis plus de 1,7 million d’utilisateurs via 11 extensions Chrome vérifiées par Google, et s’est étendue à Microsoft Edge avec des infections totalisant 2,3 millions à travers les plateformes. Les attaquants ont exploité des signaux de confiance tels que les badges de vérification, les mises en avant et les nombres élevés d’installations pour distribuer des logiciels malveillants sous couvert d’outils de productivité et de divertissement légitimes. ...

Cet article de ReversingLabs (RL) rapporte une attaque de la chaîne d’approvisionnement affectant l’extension ETHcode, un outil pour le développement de contrats intelligents Ethereum sur Visual Studio Code. ETHcode, développé par l’organisation GitHub 7finney, a été compromis par une pull request (PR) soumise par un utilisateur nommé Airez299. Cette PR, apparemment innocente, a introduit une dépendance malveillante nommée keythereum-utils, qui a permis l’exécution de code malveillant. L’analyse de RL a révélé que keythereum-utils contenait un code JavaScript fortement obfusqué, conçu pour lancer un script PowerShell caché téléchargeant un second payload potentiellement destiné à voler des actifs crypto ou compromettre des contrats Ethereum en développement. ...

L’article publié par CyberCube met en lumière la menace croissante posée par le groupe de cybercriminels Scattered Spider. Ce groupe, connu pour ses attaques par ransomware et extorsion, représente un risque significatif pour les grandes entreprises, notamment dans les secteurs de la distribution, de l’assurance et de l’aviation. Depuis 2022, Scattered Spider a évolué pour devenir l’un des groupes les plus agressifs du paysage actuel des menaces, avec 21 incidents majeurs signalés, dont 11 entre avril et début juillet 2025. Ces attaques ont entraîné des pertes financières importantes, comme le paiement d’une rançon de 15 millions de dollars par Caesars en 2023 et des pertes de 100 millions de dollars pour MGM. ...

L’article de CTM360, publié en juillet 2025, souligne l’augmentation des sites de fausses nouvelles utilisés pour orchestrer des fraudes d’investissement en ligne. Ces sites, appelés Baiting News Sites (BNS), imitent des médias reconnus pour diffuser des histoires fabriquées impliquant des figures publiques et des institutions financières renommées. Les escrocs utilisent des plateformes publicitaires comme Google et Meta pour promouvoir ces sites, qui redirigent les utilisateurs vers des plateformes frauduleuses promettant des profits faciles. CTM360 a identifié plus de 17 000 de ces sites dans 50 pays, souvent adaptés aux audiences locales avec des langues et des figures régionales pour renforcer leur crédibilité. ...

Morphisec, dans un article publié le 2025-07-09, dévoile la réapparition d’une menace cybernétique sophistiquée dans le sillage du conflit Israël-Iran-USA. Pay2Key.I2P, une opération de ransomware-as-a-service (RaaS) soutenue par l’Iran, a été relancée, ciblant des organisations à travers l’Occident. Ce ransomware est lié au groupe APT notoire Fox Kitten et intègre les capacités du ransomware Mimic, précédemment analysé par Morphisec. Le groupe offre désormais une part de profit de 80% aux affiliés soutenant l’Iran ou participant à des attaques contre ses ennemis, soulignant ainsi leur engagement idéologique. ...