TTP

Selon ReliaQuest, une nouvelle campagne du collectif « Scattered Lapsus$ Hunters » cible les utilisateurs de Zendesk via une infrastructure de domaines typosquattés et des techniques de phishing multi‑volets. ReliaQuest a identifié plus de 40 domaines typosquattés/imitant des environnements Zendesk (ex. znedesk[.]com, vpn-zendesk[.]com) créés au cours des six derniers mois. Plusieurs hébergent des faux portails SSO affichés avant l’authentification Zendesk, visant le vol d’identifiants. Certains domaines combinent le nom de plusieurs organisations pour accroître la crédibilité. Des similarités avec une campagne d’août 2025 contre Salesforce sont relevées (formatage des domaines, caractéristiques d’enregistrement, portails SSO trompeurs). ...

Selon un billet publié sur Medium, un chercheur attribue la société écran « DredSoftLabs » à l’APT nord-coréenne Wagemole et dévoile une méthode de fingerprinting permettant de retrouver des dépôts GitHub malveillants, avec 77 référencés au 28 novembre 2025. Le contexte décrit Wagemole comme une APT nord-coréenne exploitant l’ingénierie sociale pour décrocher des emplois à distance en Occident, en s’appuyant sur des données personnelles volées (campagne « Contagious Interview »). Les opérateurs fabriquent de fausses identités (passeports, permis), préparent des « study guides » d’entretien, utilisent de l’IA générative pour des réponses structurées, ciblent surtout les PME via Upwork et Indeed, emploient des scripts d’automatisation pour créer des comptes, partagent du code en interne et demandent des paiements via PayPal pour masquer leur identité. ...

Source et contexte: GCSP (Geneva Centre for Security Policy) – Policy Brief No.22 de novembre 2025 par Dr Gazmend Huskaj. Le document dresse un panorama global des opérations de cyberspace offensives, analyse les risques de mauvaise attribution et d’escalade, met en lumière les angles morts juridiques, et formule des recommandations pour renforcer la stabilité et la coopération internationale. Principaux constats: La capacité à mener des opérations cyber offensives s’est largement diffusée (au moins 40 États dès 2019, x4 depuis 2011), abaissant la barrière d’entrée et « nivelant » le rapport de forces. Des exemples marquants illustrent l’impact disproportionné de certains acteurs: WannaCry (2017, rançongiciel) attribué à la Corée du Nord, attaques iraniennes (2022) contre l’Albanie, et intrusion supply‑chain SolarWinds (2021) liée à l’écosystème du renseignement russe. Les grandes puissances et alliances adaptent leurs doctrines: OTAN (cyber reconnu comme domaine opérationnel, Cyberspace Operations Centre IOC en 2023, emploi de « sovereign cyber effects »), doctrines de persistent engagement et defend forward; unités dédiées au Royaume‑Uni (National Cyber Force) et en Allemagne. La compétition autour des zero‑days et l’opacité des autorités de décision entretiennent les risques. ...

Source: Center for Security Studies (CSS), ETH Zürich — Ce rapport (novembre 2025) cartographie et analyse les opérations cyber visant le secteur spatial dans le contexte de la guerre de Gaza (et recoupements avec Ukraine et Israël–Iran), en s’appuyant sur un jeu de données de 237 événements. Principaux constats: 237 opérations identifiées; 71% de DDoS; aucune compromission confirmée de satellites en orbite (impacts concentrés sur les segments utilisateur, contrôle et interfaces web). Au total 77 entités spatiales ciblées et 73 groupes impliqués, majoritairement des hacktivistes pro‑palestiniens; pic d’activité de 72 opérations durant la guerre Israël–Iran (juin 2025); effet limité sur le champ de bataille cinétique. ...

Selon Disclosing Observer, une fuite (28 mars 2025) des bases internes de l’hébergeur « bulletproof » Media Land — plus tard sanctionné par le Royaume-Uni, les États‑Unis et l’Australie (19 nov. 2025) — a permis de reconstruire, de façon data‑driven, le fonctionnement de sa plateforme (comptes, abonnements, VM, allocation d’IP) et d’illustrer comment ces données internes peuvent éclairer la chaîne d’approvisionnement du ransomware. 📊 L’étude reconstitue le schéma des tables couvrant trois couches : clients/facturation, compute/services et réseau. Les identifiants stables (user_id, clés SSH, paiements) permettent de pivoter de l’identité client aux abonnements, des abonnements aux VM, puis aux historiques d’assignation IP. L’infrastructure s’appuie sur des composants modernes (VXLAN, KVM, Ceph, IPMI) avec une orchestration automatisée centrée sur les événements de cycle de vie des VM et une traçabilité fine des mouvements d’adresses. ...

Source: ReversingLabs — Dans un billet de recherche, les auteurs détaillent comment des scripts bootstrap historiques liés à zc.buildout et à l’ancien écosystème setuptools/distribute exposent des paquets PyPI à un scénario de prise de contrôle de domaine. Des chercheurs de ReversingLabs ont identifié du code vulnérable dans des scripts bootstrap qui, lors de leur exécution, récupèrent et exécutent un installateur de « distribute » depuis python-distribute[.]org — un domaine abandonné et à vendre depuis 2014. Cette dépendance à un domaine codé en dur crée une fenêtre pour une prise de contrôle de domaine menant à l’exécution de code arbitraire si un attaquant rachète le domaine et y sert un script malveillant. ⚠️ ...

Source et contexte — Truffle Security Co. publie un billet invité de Luke Marshall détaillant un scan exhaustif d’environ 5,6 millions de dépôts publics GitLab Cloud (initialisé le 10/09/2025) à l’aide de TruffleHog, qui a permis d’identifier 17 430 secrets « live » vérifiés et de récolter plus de 9 000 $ en primes, pour un coût d’infrastructure d’environ 770 $ et une durée d’exécution d’un peu plus de 24 h. ...

Selon Unit 42 (Palo Alto Networks), des modèles de langage malveillants « sans garde-fous » comme WormGPT 4 et KawaiiGPT sont désormais commercialisés ou librement accessibles, permettant de générer à la chaîne des leurres de phishing/BEC et du code de malware, matérialisant le dilemme « dual-use » de l’IA. • Contexte et définition. L’article qualifie de LLM malveillants les modèles entraînés/affinés pour des usages offensifs avec des garde-fous éthiques supprimés. Ils sont marketés sur des forums et Telegram, capables de générer des e-mails de phishing, écrire du malware (y compris polymorphe) et automatiser la reconnaissance, abaissant drastiquement la barrière de compétence et compressant les délais d’attaque. 🚨 ...

Source et contexte: ANSSI (Agence nationale de la sécurité des systèmes d’information) – rapport TLP:CLEAR daté du 26 novembre 2025. Le document synthétise l’évolution de la menace sur les téléphones mobiles depuis 2015, détaille les vecteurs d’attaque, les capacités et finalités des acteurs (étatiques, privés et cybercriminels) et propose des recommandations de sécurité. • Synthèse générale 📱: L’omniprésence des smartphones, leurs interfaces sans fil et la complexité des OS créent une large surface d’attaque. Des campagnes sophistiquées exploitent des chaînes zéro‑clic et des implants non persistants difficiles à détecter. Le marché de la LIOP (surveillance privée offensive) industrialise et diffuse ces capacités. Le rapport souligne l’initiative franco‑britannique « Processus de Pall Mall » pour encadrer la vente et l’usage d’outils offensifs commerciaux. ...

Source: Trend Micro (blog de recherche Trend Vision One). Contexte: poursuite de l’enquête sur l’attaque supply chain NPM du 15 septembre et nouveaux incidents signalés le 24 novembre avec des centaines de dépôts mentionnant Sha1‑Hulud: The Second Coming. L’analyse décrit un malware Shai‑hulud 2.0 ciblant les écosystèmes cloud et développeurs. Il vole des identifiants et secrets de AWS, GCP, Azure, ainsi que des tokens NPM et jetons GitHub, et exploite les services de gestion de secrets (AWS Secrets Manager, GCP Secret Manager, Azure Key Vault). Il met en place un C2 via GitHub Actions (création d’un dépôt contrôlé par l’attaquant sous le compte de la victime, déploiement d’un runner auto‑hébergé nommé SHA1HULUD, workflows de commande), et inclut un mécanisme destructif effaçant les données si le vol d’identifiants échoue. ☁️🪱 ...