TTP

L’article de Check Point Research révèle une campagne malveillante ciblant les utilisateurs de Minecraft via le réseau Stargazers Ghost, opérant sur GitHub. Les attaquants distribuent des mods Minecraft infectés qui volent des données personnelles. La campagne utilise un processus en plusieurs étapes pour infecter les systèmes. Les mods malveillants, déguisés en outils de triche, téléchargent un voleur de données en Java, suivi d’un autre en .NET, ciblant spécifiquement les utilisateurs ayant Minecraft installé. ...

L’article publié par Securonix Threat Research met en lumière une campagne de malware sophistiquée appelée SERPENTINE#CLOUD. Cette campagne utilise les tunnels Cloudflare pour diffuser des charges utiles malveillantes. Les attaquants emploient des fichiers .lnk pour initier la chaîne d’infection, se terminant par un chargeur shellcode basé sur Python. Les fichiers de raccourci (.lnk) sont envoyés via des e-mails de phishing, souvent déguisés en documents liés à des arnaques de paiement ou de factures. Une fois exécutés, ces fichiers déclenchent une séquence d’infection complexe utilisant des scripts batch, VBScript et Python, pour finalement déployer un payload PE emballé par Donut en mémoire. ...

L’article publié par Qualys TRU révèle la découverte de deux vulnérabilités d’escalade de privilèges locales (LPE) sur SUSE Linux. Ces vulnérabilités, identifiées comme CVE-2025-6018 et CVE-2025-6019, permettent à un attaquant non privilégié d’obtenir un accès root complet. La première vulnérabilité, CVE-2025-6018, se trouve dans la configuration PAM d’openSUSE Leap 15 et SUSE Linux Enterprise 15. Elle permet à un attaquant local, via SSH par exemple, de s’élever au niveau de l’utilisateur “allow_active” et d’invoquer des actions polkit normalement réservées à un utilisateur physiquement présent. ...

Selon un article publié par Bleeping Computer, une nouvelle version du malware Android connu sous le nom de ‘Godfather’ a été détectée. Ce malware est conçu pour créer des environnements virtuels isolés sur les appareils mobiles afin de voler des données de compte et des transactions à partir d’applications bancaires légitimes. Le malware ‘Godfather’ cible spécifiquement les utilisateurs d’applications bancaires en créant un environnement sécurisé qui imite l’application bancaire légitime. Cela permet au malware de capturer les informations sensibles des utilisateurs, telles que les identifiants de connexion et les détails des transactions. ...

Elastic Security Labs a détecté une augmentation des campagnes utilisant la technique ClickFix, une méthode d’ingénierie sociale qui incite les utilisateurs à exécuter du code malveillant via des commandes PowerShell. Cette technique est exploitée pour déployer des Remote Access Trojans (RATs) et des malware voleurs d’informations. Le rapport met en lumière l’utilisation de GHOSTPULSE, un chargeur de payloads multi-étapes, pour introduire des versions mises à jour de malwares tels que ARECHCLIENT2. Cette campagne commence par un leurre ClickFix, suivi du déploiement de GHOSTPULSE, qui charge ensuite un loader .NET intermédiaire pour finalement injecter ARECHCLIENT2 en mémoire. ...

Dans un article publié sur le Frycos Security Diary, un analyste en cybersécurité partage sa découverte d’une variante de vulnérabilité Nday sur le Zyxel NWA50AX Pro, un point d’accès WiFi 6 destiné aux petites entreprises. L’analyste, en vacances, a exploré le firmware de l’appareil et a découvert une configuration du serveur lighttpd permettant l’accès non authentifié à certains endpoints CGI. En analysant les fichiers de configuration et en testant les réponses HTTP, il a pu accéder à des fichiers CGI sans authentification, révélant une potentielle faille de sécurité. ...

Selon un rapport de Cybereason, le paysage des ransomwares connaît une période de réorganisation tumultueuse. Des groupes autrefois dominants comme RansomHub, LockBit, Everest et BlackLock ont récemment subi des fermetures soudaines, des échecs opérationnels et des attaques sur leurs infrastructures du dark web, révélant une instabilité profonde dans l’écosystème cybercriminel. En mars 2025, RansomHub, considéré comme le groupe de ransomwares le plus actif de 2024, a disparu sans explication. Ce groupe s’était imposé rapidement grâce à un modèle de Ransomware-as-a-Service (RaaS) bien huilé. Cependant, sa disparition subite a laissé ses victimes en pleine négociation, semant la confusion. En parallèle, d’autres sites de fuites de ransomwares ont subi des perturbations inattendues, notamment LockBit et Everest, ciblés par des acteurs anonymes se faisant appeler “XOXO from Prague”. ...

Cet article de Trend™ Research met en lumière une campagne active exploitant la vulnérabilité CVE-2025-3248 dans les versions antérieures à 1.3.0 de Langflow, un cadre visuel Python pour la création d’applications d’IA. La vulnérabilité, avec un score CVSS de 9.8, permet une exécution de code à distance non authentifiée via des requêtes POST malveillantes au point de terminaison /api/v1/validate/code. Les attaquants utilisent cette faille pour exécuter des scripts téléchargeurs, installant ainsi le malware Flodrix sur les serveurs compromis. ...

Dans un article publié par Piotr Bazydlo sur la plateforme watchTowr, des vulnérabilités critiques ont été découvertes dans le Sitecore Experience Platform (XP), un système de gestion de contenu largement utilisé par les entreprises. L’article détaille une chaîne de RCE pré-authentification exploitant des identifiants codés en dur et des failles de sécurité dans les mécanismes d’authentification de Sitecore. Ces vulnérabilités permettent à des attaquants de prendre le contrôle de systèmes Sitecore sans authentification préalable. ...

L’article publié par Cato CTRL le 17 juin 2025 met en lumière l’évolution de WormGPT, un outil d’intelligence artificielle générative non censuré utilisé par des cybercriminels. WormGPT a initialement émergé en juin 2023 sur Hack Forums comme un outil facilitant les activités malveillantes. Bien que le projet ait été fermé en août 2023 en raison d’une exposition médiatique excessive, de nouvelles variantes ont depuis vu le jour sur BreachForums. Deux variantes, keanu-WormGPT et xzin0vich-WormGPT, ont été identifiées. Keanu-WormGPT utilise le modèle Grok avec un jailbreak personnalisé pour contourner les garde-fous, tandis que xzin0vich-WormGPT est basé sur le modèle Mixtral, comme le révèlent les prompts système divulgués. ...