TTP

L’article publié par Cofense met en lumière une augmentation de 19 fois des campagnes malveillantes lancées à partir de domaines .es, faisant de ce TLD le troisième le plus utilisé pour ces attaques après .com et .ru. Depuis janvier, 1 373 sous-domaines hébergent des pages web malveillantes sur 447 domaines de base en .es. 99 % de ces campagnes sont axées sur le phishing d’identifiants, tandis que le reste distribue des trojans d’accès à distance (RAT) comme ConnectWise RAT, Dark Crystal et XWorm. ...

Security Explorations, un laboratoire de recherche, a mené une analyse de sécurité sur la technologie eSIM, révélant une compromission des cartes eUICC de Kigen. Cette découverte remet en question les affirmations de sécurité de Kigen, qui prétend que ses eSIM sont aussi sécurisées que les cartes SIM traditionnelles grâce à la certification GSMA. L’attaque a permis de compromettre des cartes eUICC en accédant physiquement à la carte et en connaissant les clés nécessaires pour installer des applications Java malveillantes. Un vecteur d’attaque à distance via le protocole OTA SMS-PP a également été démontré. Cela prouve l’absence de sécurité pour les profils eSIM et les applications Java sur ces cartes. ...

L’article de gbhackers révèle une découverte inquiétante par Koi Security concernant une campagne de détournement de navigateur sophistiquée nommée “RedDirection”. Cette opération a compromis plus de 1,7 million d’utilisateurs via 11 extensions Chrome vérifiées par Google, et s’est étendue à Microsoft Edge avec des infections totalisant 2,3 millions à travers les plateformes. Les attaquants ont exploité des signaux de confiance tels que les badges de vérification, les mises en avant et les nombres élevés d’installations pour distribuer des logiciels malveillants sous couvert d’outils de productivité et de divertissement légitimes. ...

Cet article de ReversingLabs (RL) rapporte une attaque de la chaîne d’approvisionnement affectant l’extension ETHcode, un outil pour le développement de contrats intelligents Ethereum sur Visual Studio Code. ETHcode, développé par l’organisation GitHub 7finney, a été compromis par une pull request (PR) soumise par un utilisateur nommé Airez299. Cette PR, apparemment innocente, a introduit une dépendance malveillante nommée keythereum-utils, qui a permis l’exécution de code malveillant. L’analyse de RL a révélé que keythereum-utils contenait un code JavaScript fortement obfusqué, conçu pour lancer un script PowerShell caché téléchargeant un second payload potentiellement destiné à voler des actifs crypto ou compromettre des contrats Ethereum en développement. ...

L’article publié par CyberCube met en lumière la menace croissante posée par le groupe de cybercriminels Scattered Spider. Ce groupe, connu pour ses attaques par ransomware et extorsion, représente un risque significatif pour les grandes entreprises, notamment dans les secteurs de la distribution, de l’assurance et de l’aviation. Depuis 2022, Scattered Spider a évolué pour devenir l’un des groupes les plus agressifs du paysage actuel des menaces, avec 21 incidents majeurs signalés, dont 11 entre avril et début juillet 2025. Ces attaques ont entraîné des pertes financières importantes, comme le paiement d’une rançon de 15 millions de dollars par Caesars en 2023 et des pertes de 100 millions de dollars pour MGM. ...

L’article de CTM360, publié en juillet 2025, souligne l’augmentation des sites de fausses nouvelles utilisés pour orchestrer des fraudes d’investissement en ligne. Ces sites, appelés Baiting News Sites (BNS), imitent des médias reconnus pour diffuser des histoires fabriquées impliquant des figures publiques et des institutions financières renommées. Les escrocs utilisent des plateformes publicitaires comme Google et Meta pour promouvoir ces sites, qui redirigent les utilisateurs vers des plateformes frauduleuses promettant des profits faciles. CTM360 a identifié plus de 17 000 de ces sites dans 50 pays, souvent adaptés aux audiences locales avec des langues et des figures régionales pour renforcer leur crédibilité. ...

Morphisec, dans un article publié le 2025-07-09, dévoile la réapparition d’une menace cybernétique sophistiquée dans le sillage du conflit Israël-Iran-USA. Pay2Key.I2P, une opération de ransomware-as-a-service (RaaS) soutenue par l’Iran, a été relancée, ciblant des organisations à travers l’Occident. Ce ransomware est lié au groupe APT notoire Fox Kitten et intègre les capacités du ransomware Mimic, précédemment analysé par Morphisec. Le groupe offre désormais une part de profit de 80% aux affiliés soutenant l’Iran ou participant à des attaques contre ses ennemis, soulignant ainsi leur engagement idéologique. ...

Check Point Research met en lumière les activités du groupe de cybermenaces Scattered Spider, connu pour ses attaques par ingénierie sociale et phishing ciblé, qui élargit désormais son champ d’action vers le secteur de l’aviation. Des attaques récentes, notamment une violation de données touchant six millions de clients de Qantas en juillet 2025, ont été attribuées à ce groupe. Les analystes en cybersécurité ont observé des tactiques telles que la fatigue MFA et le vishing, correspondant aux méthodes connues de Scattered Spider. Des incidents similaires chez Hawaiian Airlines et WestJet soulignent l’urgence de traiter les vulnérabilités des fournisseurs tiers liés à l’aviation. ...

L’article publié par Secureannex met en lumière une nouvelle menace en cybersécurité liée à la bibliothèque de monétisation développée par Mellowtel. Cette bibliothèque permet de transformer des extensions de navigateur en un réseau de scraping distribué, compromettant potentiellement près d’un million d’appareils. Contexte : De nombreux développeurs d’extensions de navigateur cherchent à monétiser leur travail. Des entreprises proposent des bibliothèques de monétisation qui peuvent être intégrées aux extensions, souvent sans nécessiter de nouvelles autorisations. Cependant, certaines de ces bibliothèques collectent des données de navigation pour créer des profils de comportement utilisateur. ...

Le laboratoire NSFOCUS Fuying a récemment découvert un nouveau botnet nommé hpingbot. Ce botnet, écrit en langage Go, cible des environnements Windows et Linux/IoT, supportant plusieurs architectures processeur telles que amd64, mips, arm, et 80386. Contrairement aux botnets dérivés bien connus comme Mirai, hpingbot se distingue par son innovation en utilisant des ressources peu conventionnelles pour la discrétion et l’efficacité. Il exploite la plateforme de stockage de texte en ligne Pastebin pour la distribution de charges utiles et l’outil de test réseau hping3 pour exécuter des attaques DDoS. ...