Enquête sur le hacking des serveurs Microsoft SharePoint

Analyse de l'attaque contre Microsoft SharePoint – Juillet 2025

En juillet 2025, une campagne de cyberattaques d’ampleur a visé des serveurs Microsoft SharePoint déployés sur site. Cette opération s’est appuyée sur une vulnérabilité critique exploitée activement par des acteurs malveillants, déclenchant une réaction urgente de la part de Microsoft et des autorités américaines comme la CISA.

Nature de la vulnérabilité

Les failles identifiées, notamment CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 et CVE-2025-53771, permettaient à un attaquant non authentifié d'exécuter du code à distance sur des serveurs vulnérables. L’exploitation combinait un contournement d’authentification, une désérialisation non sécurisée et la capacité à injecter un web shell, rendant possible la compromission complète du système ciblé.

Chronologie de l'incident

Dès le 7 juillet 2025, des signes d’exploitation ont été détectés. Microsoft a publié des correctifs le 20 juillet pour certaines versions, tandis que la CISA a ordonné aux agences fédérales de mettre à jour leurs systèmes au plus tard le 22 juillet. L’attaque s’est intensifiée rapidement entre le 18 et le 21 juillet, entraînant la compromission de dizaines d’organisations.

Campagne ToolShell

Le nom de code ToolShell désigne la chaîne d’exploitation utilisée. Elle tire parti d’un chemin SharePoint spécifique pour déclencher l’exécution de charges malveillantes. La complexité de la chaîne, impliquant plusieurs failles successives, démontre un haut niveau de sophistication et une connaissance approfondie de l’environnement SharePoint.

Acteurs impliqués

Les premiers éléments d’analyse suggèrent l’implication de groupes de cyberespionnage chinois, dont Linen Typhoon et Violet Typhoon. Leur objectif semble être l’exfiltration de données sensibles et l’obtention d’un accès persistant à des réseaux gouvernementaux, éducatifs et industriels.

Impact global

À ce jour, plus de cinquante serveurs ont été identifiés comme compromis. Les organisations touchées se situent principalement dans les secteurs public, de l’éducation et de la santé. Le vol de clés de chiffrement internes a permis aux attaquants de manipuler des flux internes et de compromettre d’autres services intégrés à Microsoft 365, tels qu’Outlook et Teams.

Réaction des autorités

Microsoft a publié des correctifs d’urgence et des recommandations précises, incluant l’activation d’AMSI, la rotation des clés MachineKey et l’analyse des journaux. La CISA a rapidement classé les failles comme activement exploitées, déclenchant une obligation de correction immédiate pour les systèmes critiques du gouvernement américain. Des mesures ont également été prises pour isoler les serveurs vulnérables et renforcer la surveillance réseau.

Risques persistants

L’application des correctifs ne suffit pas à elle seule à garantir la sécurité, car les systèmes déjà compromis peuvent héberger des portes dérobées. Microsoft recommande fortement une analyse post-intrusion approfondie afin de détecter toute activité résiduelle, incluant la présence de web shells et la persistance de certificats ou clés dérobés.

Leçons à tirer

Cette attaque démontre la vulnérabilité structurelle des infrastructures sur site face à des menaces persistantes avancées. Elle souligne également les avantages du cloud en matière de sécurité, SharePoint Online n’ayant pas été concerné. Elle confirme enfin l’importance d’une coopération étroite entre éditeurs de logiciels, agences nationales de cybersécurité et entreprises du secteur privé.

En résumé

L’attaque contre Microsoft SharePoint en juillet 2025 marque un tournant dans la gestion des failles critiques dans des environnements professionnels sensibles. Elle appelle à une vigilance accrue, à une meilleure préparation à l’incident et à une évolution vers des architectures sécurisées et résilientes, capables de répondre aux nouvelles formes de cybermenaces complexes et coordonnées.

Source : The Hackers News - CISA Orders Urgent Patching After Chinese Hackers Exploit SharePoint Flaws in Live Attacks

Lire la suite

Le malware Android Konfety

À la mi-juillet 2025, les chercheurs en cybersécurité ont mis au jour une nouvelle variante du malware Android nommé Konfety. Cette version se distingue par des techniques d’obfuscation avancées destinées à contourner les solutions de détection, tout en poursuivant ses opérations de fraude publicitaire via des applications “jumeaux malveillants”.

Contexte et méthode “evil twin”

Konfety s'appuie sur une approche dite “evil twin” ou “décoy jumeau” : l’attaquant publie une application malveillante portant exactement le même nom de package qu’une application légitime présente sur le Play Store. Le but ? Tromper les victimes pour qu’elles installent la version vérolée depuis un magasin tiers, pensant obtenir une application authentique.

Le terme "evil twin" n’est pas nouveau, mais ici l’opération est élevée au rang d’industrie : les applications malveillantes copient minutieusement la réputation, le nom et parfois même la taille de l’application originale, si bien que l’utilisateur ne voit souvent aucune différence – outre l’absence de fonctionnalités réelles.

Techniques d’obfuscation et d’évasion

Structure ZIP/APK déformée

Les chercheurs de Zimperium zLabs ont identifié que cette variante utilise une structure malformed ZIP/APK, basée sur deux tricks :

• Flag de chiffrement illusoire : le bit 0 du champ "General Purpose Flags" est activé, faisant croire à la plupart des outils que l’APK est chiffré, nécessitant un mot de passe et bloquant la lecture du fichier.
• Compression BZIP fictive : la déclaration d’un mode de compression “BZIP” dans le manifeste Android provoque l’échec d’analyseurs comme APKTool ou JADX, tandis qu’Android installe toujours l’application sans difficulté.

Chargement dynamique du code (DEX)

Comme dans les variantes précédentes, le code malveillant principal est dissimulé dans un fichier DEX chiffré à l’intérieur de l’APK. Ce dernier n’est pas visible après un dépaquetage statique. Il est déchiffré et chargé uniquement à l’exécution, souvent directement en mémoire, ce qui rend la détection extrêmement difficile.

SDK public pour fraude publicitaire

Konfety exploite le SDK de CaramelAds, un réseau de publicité légitime, pour :

• Générer des impressions et clics frauduleux.
• Rediriger les utilisateurs vers des sites malveillants.
• Pousser l’installation d’applications indésirables.
• Envoyer de fausses notifications persistantes dans le navigateur.

Objectifs et capacités

Bien que Konfety ne soit pas un spyware ou un logiciel de type RAT, ses fonctionnalités incluent :

• Exfiltration d’informations non sensibles : applications installées, configuration réseau, système – données utiles à la fraude.
• Installation d’extensions ou modules additionnels via le DEX dynamique.
• Protection de sa visibilité : disparition de l’icône de l’application.
• Usage de la géofencing : son comportement change selon la région géographique de la victime.

Risques pour les utilisateurs et entreprises

• Fraude publicitaire massive : le malware génère des revenus pour les opérateurs illégaux via des campagnes automatisées.
• Menace pour la vie privée : bien que non ciblé pour le vol de données sensibles, il collecte des informations système précieuses pour les attaquants.
• Difficultés de détection : les outils classiques échouent face aux APK corrompus et aux structures trompeuses.
• Propagation accrue en Europe : les hubs Android non-GMS sont particulièrement vulnérables, notamment dans la sideloading et les stores alternatifs.

Conseils de protection et détection

Pour atténuer les risques liés à Konfety :

1. Installer uniquement via le Play Store : les boutiques tierces sont le principal vecteur.
2. Contrôler les sources inconnues et appliquer une politique stricte de sideloading.
3. Utiliser des solutions MTD (Mobile Threat Defense) capables d’analyser la structure APK et le comportement runtime.
4. Former les utilisateurs à vérifier nom de package, éditeur, permissions, et à se méfier des apps inutiles.
5. Intégrer la veille sur les menaces mobiles et mettre à jour les signatures régulièrement.
6. Déployer des techniques d’analyse dynamiques pour détecter le chargement de DEX et les comportements suspects en mémoire.

Évolution et légitimité

L’utilisation de techniques d’obfuscation avancées (APK déformée, faux flag, compression BZIP fictive) illustre l’évolution vers une génération de malware Android hautement sophistiquée. Konfety rejoint ainsi des menaces comparables, comme SoumniBot, qui cherchent à désarmer l’analyse statique.

En résumé

La nouvelle variante de Konfety confirme une tendance préoccupante : les malwares mobiles exploitent désormais des constructions APK truquées pour contourner les mécanismes de sécurité statiques et dynamiques. Ce niveau d'ingéniosité, combiné à la diffusion via des magasins tiers et la fraude publicitaire automatisée, en fait un acteur dangereux dans un écosystème Android globalisé. Face à ce défi, seule une approche holistique — mêlant technologies adaptées, vigilance des utilisateurs et intelligence actionable — permettra d’en limiter la propagation.

Lire la suite

Les extensions malveillantes sur Chrome

Extensions malveillantes sur Chrome : comprendre les risques et se protéger

Les extensions Chrome peuvent enrichir votre navigateur avec des fonctionnalités utiles comme la météo, les VPN, ou les raccourcis. Toutefois, une menace sérieuse émerge : des extensions malveillantes dissimulées parmi des utilitaires légitimes ciblent des millions d’utilisateurs, compromettant la vie privée et la sécurité.

État des lieux : des millions d’installations à risque

En juillet 2025, Koi Security a mis en lumière une dizaine d’extensions malveillantes totalisant 1,7 million de téléchargements sur le Chrome Web Store. Parmi elles : intensificateur de son, VPN, clavier emoji, contrôleur de vitesse vidéo… Des outils anodins, mais capables d’injecter un code espion.

Même schéma pour Chromium Edge : environ 600 000 installations supplémentaires, soit 2,3 millions d’utilisateurs compromis.

En parallèle, d’autres acteurs malveillants ont orchestré des campagnes massives. Plus de 100 extensions malveillantes actives ont été détectées depuis 2024, continuant à siphonner sessions, cookies, compteurs d’ads, et données sensibles.

Comment ces extensions fonctionnent-elles ?

Dissimilation sous couvert d’utilitaires utiles : la tactique est simple : proposer un outil fonctionnel (VPN, météo, clavier emoji…), se rendant donc populaire avec de bons avis, puis injecter du code malveillant via les mises à jour.

Infection via les mises à jour : Google autorise les mises à jour silencieuses. Les auteurs intègrent le code espion une fois l’extension bien en place, sans interaction de l’utilisateur.

Exfiltration des données : en arrière-plan (« service worker »), l’extension écoute chaque navigation, envoie l’URL + un identifiant unique vers un serveur malveillant. Ce dernier peut renvoyer des règles, redirections, ou scripts coercitifs.

Stage avancé : vol d’identifiants et cookies : de nombreuses extensions interceptent vos cookies, jetons d’accès et peuvent se comporter en VPN ou proxy inline, ce qui ouvre la porte à la prise de contrôle de comptes.

Technique de l’extension « muable » : le groupe SquareX Labs a identifié des modules qui désactivent une extension légitime, plantent un clone visuel et la remplacent sournoisement — vous restez sur l’illusion alors que l’extension est un piège.

Cas concrets et statistiques

— 1,7 million d’installations sur Chrome pour une douzaine d’extensions malveillantes.

— 600 000 installations sur Edge, soit 2,3 millions d’utilisateurs au total.

— Plus de 100 extensions malveillantes détectées depuis début 2024.

— 30 extensions ciblées fin 2024 : 20 voleurs de cookies, 10 traqueurs via bibliothèques monétisées.

— 57 extensions suspectées actives récemment, représentant 6 millions d’installations.

Cadre réglementaire et protection

Politique Chrome Web Store : Google affirme que moins de 1 % des installations étaient potentiellement infectées. Depuis janvier 2025, des outils comme Manifest V3 limitent drastiquement les capacités malveillantes (évaluation académique : pertes d’API de 87 %, mais 56 % des malwares restent efficaces).

Mesures pour entreprises : avec Chrome Enterprise, les administrateurs peuvent restreindre les extensions validées, retirer celles déjà installées et bloquer les installations futures.

Bonnes pratiques pour l’utilisateur

1. Limiter le nombre d’extensions installées et ne garder que celles strictement nécessaires.

2. Vérifier les autorisations demandées : attention aux extensions qui réclament un accès total aux données.

3. Consulter les avis extérieurs, notamment les forums de cybersécurité.

4. Observer tout changement de comportement après une mise à jour.

5. Utiliser un antivirus moderne avec protection comportementale web.

6. Surveiller les connexions ouvertes sur vos comptes sensibles.

7. Supprimer toute extension douteuse ou inutile via le menu « Extensions ».

En résumé

Le succès des extensions Chrome est contrebalancé par l’exploitation des failles du système : mises à jour silencieuses, permissions excessives, clones visuels, exfiltration de données. Chaque utilisateur doit adopter des réflexes de prudence : installer peu, réviser souvent, vérifier les droits. Pour Google, renforcer le contrôle qualité, les alertes comportementales et l’analyse automatique sont essentiels. L’écosystème des extensions ne peut évoluer sans préserver sa confiance.

Source : BleepingComputer - Malicious Chrome extensions with 1.7M installs found on Web Store.

Lire la suite

La fin de Hunters international

Un tournant dans l’univers du cybercrime

En juillet 2025, le groupe de ransomware Hunters International a officiellement annoncé sa dissolution. Cette organisation cybercriminelle, qui a sévi pendant près de deux ans, a choisi de mettre fin à ses opérations en rendant accessibles gratuitement des outils de déchiffrement aux victimes de ses attaques passées. Cependant, cette annonce, qui aurait pu être interprétée comme un renoncement sincère, cache en réalité une mutation stratégique vers un modèle de cybercriminalité différent. En effet, Hunters International cède la place à une nouvelle entité baptisée World Leaks, orientée exclusivement vers l’extorsion par fuite de données, sans recours au chiffrement.

Ascension et méthode de Hunters International

Apparu sur la scène cybercriminelle à la fin de l’année 2023, Hunters International s’est rapidement imposé comme l’un des groupes de ransomware les plus actifs et les plus organisés. Il a souvent été décrit comme l’héritier de Hive, un autre groupe de ransomware démantelé en janvier 2023 par une opération conjointe du FBI et d’agences européennes. À travers une structure de type Ransomware-as-a-Service (RaaS), Hunters proposait à des affiliés de déployer son rançongiciel contre une part des bénéfices générés. Ce modèle permettait une grande souplesse dans les attaques, tout en maintenant une efficacité redoutable.

Le groupe visait principalement les entreprises moyennes et grandes dans les secteurs de la santé, de l’industrie, des technologies et de la finance. Des entités comme Tata Technologies, le Fred Hutchinson Cancer Center et même le service des US Marshals ont été identifiées parmi les victimes. Les systèmes Windows, Linux, FreeBSD, SunOS et ESXi figuraient parmi les cibles du chiffreur. Une fois les systèmes compromis, les attaquants procédaient à un double chantage, exigeant une rançon pour le déchiffrement des fichiers et pour éviter la publication de données confidentielles volées en amont.

Une annonce de fermeture inattendue

Le 3 juillet 2025, Hunters International a publié un communiqué sur son site du darknet annonçant sa fermeture immédiate. Les administrateurs du groupe ont précisé qu’ils mettaient fin à leurs activités « à la lumière de récents développements » et qu’ils souhaitaient, dans un geste de bonne foi, fournir gratuitement les outils nécessaires au déchiffrement des fichiers verrouillés par leurs malwares. Le site de fuites, qui servait à faire pression sur les victimes, a été vidé de ses contenus, et un formulaire a été mis en place pour permettre aux entreprises affectées de demander leurs clés de déchiffrement.

Si certains observateurs ont salué cette décision comme une forme de repentir, d’autres y ont vu une manœuvre opportuniste. Des experts en cybersécurité, dont Luke Connolly de la société Emsisoft, ont mis en garde contre une utilisation aveugle des outils de déchiffrement fournis, évoquant le risque potentiel que ces derniers soient piégés ou défectueux. Les analystes ont souligné que malgré la fermeture officielle, le groupe avait probablement d’autres intentions, compte tenu de l’historique des groupes de ransomware qui se « rebrandent » plutôt que de disparaître.

Une transformation stratégique vers World Leaks

Très rapidement après l’annonce de la fermeture de Hunters International, une nouvelle entité, World Leaks, a été identifiée comme sa possible héritière. Le site de World Leaks présente une esthétique très similaire, et les premiers noms de victimes listés sur la nouvelle plateforme laissent peu de doute sur la continuité entre les deux organisations. Contrairement à Hunters International, World Leaks ne procède plus au chiffrement des systèmes. Le groupe se contente désormais de voler des données sensibles, puis de menacer de les rendre publiques si une rançon n’est pas versée.

Ce changement de stratégie reflète une tendance plus large observée dans l’écosystème des cybermenaces. Le vol de données, souvent facilité par des accès initiaux via phishing, vulnérabilités VPN ou mots de passe faibles, permet aux attaquants d’agir plus discrètement, avec des risques juridiques moindres et des coûts techniques réduits. De plus, le fait de ne pas chiffrer les fichiers rend les attaques moins visibles dans les premiers temps, prolongeant la période durant laquelle les criminels peuvent monétiser les données sans être détectés.

Les raisons d’un tel revirement

Plusieurs facteurs expliquent cette réorientation. D’abord, la pression judiciaire s’intensifie à l’encontre des groupes de ransomware. Aux États-Unis, des lois récentes assimilent certaines formes de cyberextorsion à des actes terroristes, exposant leurs auteurs à des poursuites internationales renforcées. Ensuite, la rentabilité des attaques par ransomware est en baisse. Les entreprises sont mieux préparées, les sauvegardes sont plus fréquentes, et les négociations de rançon aboutissent moins souvent à des paiements. Enfin, la gestion technique d’un ransomware est complexe et coûteuse : elle nécessite de maintenir des chiffreurs fiables, de gérer des portails de paiement anonymes et de coordonner des affiliés souvent peu disciplinés.

En se concentrant uniquement sur l’extorsion de données, World Leaks simplifie ses opérations, réduit les coûts, et maintient un levier de pression efficace sur ses victimes. De plus, cette approche attire moins l’attention des forces de l’ordre dans un premier temps, car les entreprises peuvent être réticentes à signaler la fuite de données lorsqu’aucun dysfonctionnement technique n’est immédiatement perceptible.

Réactions de la communauté de cybersécurité

La communauté cyber a réagi avec une prudence mêlée de scepticisme. Si certains ont salué la mise à disposition gratuite des déchiffreurs, beaucoup ont insisté sur le fait que cette démarche n’est en rien une preuve de remords. Il s’agit d’un repositionnement tactique. D’autres experts, comme Allan Liska de Recorded Future, estiment que cette transition vers l’extorsion simple s’inscrit dans une évolution naturelle du modèle économique des groupes de ransomware, qui cherchent à maximiser leurs gains tout en réduisant leur exposition au risque.

Par ailleurs, le site World Leaks a déjà commencé à publier des extraits de données provenant de victimes ayant refusé de coopérer. Cela démontre que, malgré le changement d’approche, les conséquences pour les entreprises restent dramatiques. Fuite de données confidentielles, atteinte à la réputation, litiges juridiques avec les clients et fournisseurs, amendes pour non-conformité au RGPD ou à d’autres réglementations : les impacts d’une telle attaque sont multiples.

Enjeux et perspectives

Le démantèlement de Hunters International ne signifie pas la fin du groupe, mais plutôt sa métamorphose. Pour les entreprises, la menace évolue mais ne disparaît pas. Il devient urgent d’adapter les stratégies de cybersécurité. Les sauvegardes, longtemps considérées comme l’ultime rempart contre les ransomwares, ne suffisent plus. La prévention de l’exfiltration de données devient une priorité. Les solutions de type DLP (Data Loss Prevention), la segmentation des réseaux, le chiffrement des données sensibles au repos et en transit, ainsi qu’une surveillance continue des comportements anormaux, sont des axes à renforcer.

Par ailleurs, les entreprises doivent se doter de plans de réponse aux incidents intégrant des scénarios d’extorsion sans chiffrement. Il est aussi essentiel d’anticiper la gestion de la communication de crise et les obligations de notification en cas de fuite avérée. La coopération avec les autorités, les CERT et les agences spécialisées dans la cybersécurité doit être renforcée. En parallèle, la surveillance active des sites de fuite comme World Leaks peut permettre une détection rapide en cas d’exposition.

En résumé

Le cas de Hunters International illustre parfaitement la résilience et l’adaptabilité des cybercriminels. Face à des environnements juridiques et techniques en mutation, ces groupes n’hésitent pas à se réinventer. Leur objectif reste le même : monétiser l’accès à des données sensibles. La disparition des ransomwares ne doit donc pas être interprétée comme un recul de la menace, mais plutôt comme une transformation. La communauté de la cybersécurité, tout comme les entreprises et institutions publiques, doit rester vigilante et proactive pour répondre à ces nouveaux défis.

Source : Security Week - Hunters International Shuts Down, Offers Free Decryptors as It Morphs Into World Leaks

Lire la suite

Des hackers chinois s'intéressent au gouvernement français

Contexte général

En septembre 2024, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a détecté une campagne d’intrusions visant de nombreuses entités françaises. Les secteurs touchés incluent l’administration, les télécommunications, les médias, les transports et la finance. L’attaque n’a pas été limitée à la France, mais s’est également étendue à d’autres pays européens, à l’Amérique du Sud et à l’Asie du Sud-Est. L’origine de la menace est attribuée à un groupe cybercriminel d’origine chinoise, nommé Houken par l’ANSSI et identifié comme UNC5174 par Google Mandiant. Ce groupe est également connu sous les noms Uteus ou Uetus. Leur objectif principal semble être l’espionnage, mais certains aspects de leurs opérations suggèrent également une finalité commerciale.

Vulnérabilités exploitées

Les attaquants ont ciblé spécifiquement les appliances Ivanti Cloud Service Appliance (CSA), un composant utilisé pour la gestion sécurisée des connexions VPN. Plusieurs failles zero-day ont été découvertes et utilisées par les pirates, notamment CVE-2024-8963, CVE-2024-9380 et CVE-2024-8190. Ces vulnérabilités ont permis une exécution de code à distance sans authentification. Une fois l’accès initial obtenu, les attaquants ont injecté des web shells PHP et modifié des scripts existants pour maintenir une présence persistante sur les systèmes compromis.

Chaîne d’infection et techniques utilisées

L’infection débute par l’exploitation des failles zero-day. Cela permet l’installation de fichiers PHP malveillants, dont certains sont inspirés d’outils comme Behinder et neo-reGeorg. Ensuite, un module noyau malveillant est installé, souvent identifié sous le nom sysinitd.ko, accompagné d’un script d’installation nommé install.sh. Ce module fonctionne comme un rootkit au niveau noyau, fournissant aux attaquants un accès complet avec les privilèges root. Il permet également d’établir des tunnels HTTP ou HTTPS, facilitant ainsi les mouvements latéraux à l’intérieur du réseau.

Après cette phase, plusieurs outils de post-exploitation sont déployés. GOREVERSE et SNOWLIGHT sont deux composants de tunneling utilisés pour maintenir des connexions discrètes. SNOWLIGHT, également connu sous le nom dnsloger, permet un contrôle distant via DNS. Le groupe utilise aussi un agent personnalisé appelé VShell, qui exploite les WebSockets pour maintenir une communication entre les systèmes compromis et leurs serveurs de commande et de contrôle. VShell est sophistiqué, capable de charger dynamiquement des modules et de manipuler des flux de données via JSON.

Organisation opérationnelle

L’attaque montre une séparation nette des rôles, ce qui suggère une opération structurée. D’un côté, certains acteurs se concentrent sur la découverte des vulnérabilités. Une autre équipe, probablement liée directement à UNC5174, assure la compromission initiale et le déploiement des charges utiles. Une troisième partie semble responsable de la post-exploitation, de la gestion des accès persistants, de l’exfiltration des données et éventuellement de la revente des accès. Cela indique une approche en plusieurs couches, avec une chaîne logistique cybercriminelle bien développée.

Objectifs et motivations

Le premier objectif identifié est l’espionnage, notamment par la collecte massive de courriels, comme observé lors d’une attaque contre un ministère des affaires étrangères en Amérique du Sud. Le groupe semble également motivé par des gains financiers. Plusieurs cas de cryptominage ont été observés sur des systèmes compromis. En outre, des accès persistants sont parfois revendus à d’autres groupes ou acteurs étatiques. Fait intéressant, les attaquants ont été vus en train de « patcher » les systèmes compromis eux-mêmes, empêchant ainsi d’autres groupes d’exploiter les mêmes vulnérabilités.

Cibles géographiques et sectorielles

En France, les cibles comprenaient des entités sensibles du secteur public et privé. À l’échelle internationale, des victimes ont été identifiées en Europe, en Amérique du Sud et en Asie. Dans cette dernière région, les secteurs de l’éducation, les ONG, les entités politiques et des infrastructures critiques ont été visés. Des attaques ont aussi été confirmées à Hong Kong, Macao et dans des pays limitrophes. L’ampleur de la campagne suggère une opération d’envergure, menée dans le cadre d’objectifs de surveillance et d’influence.

Réponses et recommandations

Face à cette menace, l’ANSSI recommande aux organisations utilisant des appliances Ivanti de procéder immédiatement aux mises à jour de sécurité disponibles. Il est également conseillé d’analyser les journaux systèmes pour détecter toute activité suspecte, en particulier la présence de web shells PHP ou de modules noyau non autorisés. Un audit des connexions réseau et des déplacements latéraux est essentiel, tout comme l’isolement des équipements exposés à Internet. Il est aussi fortement recommandé de mettre en place une surveillance réseau plus rigoureuse et de restreindre les communications entrantes vers les interfaces d’administration.

Les entreprises doivent adopter une approche de défense en profondeur, segmenter les réseaux, renforcer la gestion des accès et établir des procédures de réponse rapide en cas d’anomalie. La coopération avec les éditeurs de logiciels, notamment pour le déploiement accéléré des correctifs, est également cruciale.

Liens avec d'autres campagnes

UNC5174 n’en est pas à sa première campagne. Le groupe a précédemment exploité d’autres plateformes vulnérables telles que SAP NetWeaver, les solutions Palo Alto, ConnectWise ScreenConnect et F5 BIG-IP. Il a également déployé les mêmes outils (SNOWLIGHT, VShell, GOREVERSE) dans différents contextes, ce qui permet de les relier à des attaques menées dès 2023. Cette continuité d’opérations renforce l’hypothèse d’une structure organisée, dotée de moyens techniques importants et probablement soutenue par des intérêts étatiques.

En résumé

La campagne menée par Houken/UNC5174 illustre l’évolution des cybermenaces, marquées par une grande sophistication technique, l’exploitation rapide de vulnérabilités critiques, et une forte coordination entre différentes cellules opérationnelles. Le recours à des rootkits au niveau noyau, à des techniques de persistance avancées et à des outils de tunneling personnalisés démontre une capacité d’action rare, digne d’un groupe sponsorisé par un État. Il est crucial que les organisations exposées prennent conscience du risque encouru, renforcent leurs défenses et adoptent des mesures proactives pour faire face à ce type de menace.

Sources :
The Record - French cybersecurity agency confirms government affected by Ivanti hacks
The Hacker News - Chinese Hackers Exploit Ivanti CSA Zero-Days in Attacks on French Government, Telecoms.

Lire la suite

Des dépôts Github infectés de trojans

Une vaste campagne malveillante menée via GitHub a été découverte par ReversingLabs. Baptisée “Banana Squad” par les chercheurs de ReversingLabs, cette opération implique 67 dépôts GitHub diffusant des outils Python trojanisés, notamment pour les jeux et le développement, mais infectant en réalité les utilisateurs avec des backdoors.

Contexte et continuité d’anciennes campagnes

Banana Squad s’inscrit dans la continuité d’une campagne découverte en 2023, ciblant le registre PyPI avec des packages Python truqués téléchargés plus de 75 000 fois sur Windows et conçus pour voler des données sensibles.

Auparavant, en novembre 2024, le SANS Internet Storm Center a signalé un dépôt GitHub prétendant offrir un outil « steam‑account‑checker » ; celui-ci téléchargeait discrètement un payload camouflé, compromettant le portefeuille Exodus et transmettant les données vers dieserbenni[.]ru.

Méthodes d’attaque et dissimulation

Les dépôts trojanisés sont des copies nominales de véritables projets open-source de Python, hébergeant des milliers de scripts injectés de backdoors. Pour masquer le code malveillant, les attaquants utilisent :

• Longues lignes de code dissimulées hors écran via l’interface de GitHub (pas de retour à la ligne automatique).
• Chiffrement et encodage du code malveillant (Base64, hexadécimal, Fernet).
• Repos souvent hébergés sur des comptes GitHub n’ayant qu’un seul dépôt, dépourvus d’historique ou d’activité, ce qui indique une création fictive.
• Détails trompeurs dans la description contenant des mots-clés populaires et emojis (flammes, fusées) pour attirer les recherches via AI.

Cibles de la campagne

Les dépôts visent particulièrement :

• Des outils de nettoyage de compte Discord, Fortnite cheats, vérificateurs de noms TikTok, vérificateurs PayPal en masse, etc.

Ces outils ciblent les joueurs et les développeurs à la recherche de scripts “hacking” ou de triches faciles.

Techniques de distribution et infrastructure

Les charges utiles trojanisées utilisent des URL vers des domaines contrôlés par les pirates, comme dieserbenni[.]ru et 1312services[.]ru. Les scripts Python eux-mêmes contiennent du code pour télécharger les backdoors à partir de ces infrastructures hostiles.

Un autre rapport de Trend Micro sur la campagne Water Curse (18 juin 2025) a révélé l’existence de 76 comptes GitHub diffusant des malwares en multi‑étapes via phishing repos, VBS/PowerShell, info‑stealers, etc.

De même, Check Point a identifié le réseau Stargazers Ghost Network, avec près de 3 000 comptes fantômes, offrant un service de distribution de malware à grande échelle via faux likes, forks, “stars”, etc.

Impact potentiel et victimes

Ces backdoors Python ciblent Windows et visent à :

• Faire des reconnaissances système
• Désactiver la défense système
• Stéaler des identifiants, tokens de session, données de navigateurs, de portefeuilles crypto, etc.

Le nombre exact de victimes est inconnu, mais il est probable que de nombreux développeurs ou gamers aient installé ces outils sans se méfier, intégrant ainsi du code malveillant dans leurs machines ou projets.

Réponse et recommandations

Voici les conseils essentiels issus des analyses :

• Vérification systématique : Confirmer que le dépôt provient bien d’un compte légitime, avec historique et activité cohérente.
• Analyse de différences : Utiliser des outils comme Spectra Assure/Analyze pour comparer les versions suspectes avec des EPURÉES.
• Inspection du code caché : Passer en mode d’affichage hexadécimal ou forensique pour repérer les longues lignes malveillantes hors écran.
• Surveillance des infrastructures : Vérifier les domaines connus (dieserbenni.ru, 1312services.ru) dans la chaîne de distribution.
• Scepticisme face à l’apparence trompeuse : Les packs visent à paraître populaires et légitimes mais peuvent être vides ou échafaudés pour tromper.

Contexte plus large des attaques par supply chain logicielle

GitHub, comme d’autres écosystèmes (npm, PyPI), est devenu une cible majeure pour l’injection de malwares dans la supply chain logicielle :

• Récentes campagnes, comme Water Curse et Stargazers Ghost Netzwerk, utilisent des milliers de comptes pour promouvoir des dépôts malveillants.
• Les raisonneurs de packages légitimes diminuent, mais les tentatives de contrefaçon, typo‑squatting et obfuscation augmentent.
• Des études universitaires sur les « stars falsifiées » et les failles invisibles (‘Trojan Source’) confirment que ces attaques se déploient à large échelle sur GitHub et affectent même l’entraînement des IA et des LLM.

En résumé

La campagne Banana Squad démontre l’évolution de la menace : des malwares visant non plus les registres de packages (npm, PyPI) mais la plateforme GitHub elle‑même, via des dépôts trojanisés. L’attaque cherche à tromper les utilisateurs avec des outils qui semblent familiers et populaires, mais qui cachent des backdoors sophistiquées.

Face à cette menace croissante, les développeurs doivent :

• Toujours vérifier l’authenticité d’un dépôt avant de l’utiliser
• Faire des revues de code complètes, utiliser des outils de diff et d’analyse statique
• Contrôler les flux réseau des scripts importés
• Suivre les recommandations de sécurité et rester informés des domaines malveillants

En fin de compte, la confiance excessive dans les plateformes open-source sans vérification expose à des attaques de la chaîne d’approvisionnement logicielle, qui peuvent provoquer des vols de données, l’installation de logiciels espions ou la compromission complète des systèmes.

Source : The Hacker News - 200+ Trojanized GitHub Repositories Found in Campaign Targeting Gamers and Developers.

Lire la suite

Le nouveau malware Android Antidot

Aperçu du malware « Antidot »

Le rapport « Overview » publié par Prodaft décrit en détail une nouvelle famille avancée de malwares Android nommée Antidot, orchestrée au sein d’une plateforme de type Malware-as-a-Service (MaaS), dominée par l’acteur identifié sous le nom LARVA-398. L’étude révèle que plus de 3 775 terminaux ont été compromis dans le cadre de 273 campagnes distinctes, destinées à un large éventail de cibles en Europe, en Asie et ailleurs.

Architecture et modus operandi

Antidot propose une triple capacité redoutable :

• enregistrement à l’écran via les services d’accessibilité Android ;
• interception des SMS ;
• extraction de données sensibles dans des applications tierces (services bancaires, crypto-wallets, etc.).

Ces fonctionnalités, couplées à une large distribution via des campagnes de phishing ciblé et des réseaux publicitaires malveillants, positionnent Antidot comme un outil sophistiqué de collecte massive d’informations.

Dangers liés aux services d’accessibilité

En tirant parti des services d’accessibilité d’Android, le malware obtient des privilèges étendus, souvent sans que l’utilisateur ne soit pleinement conscient des permissions accordées. Cette escalade de privilèges permet à Antidot de fonctionner en arrière-plan, de surveiller les activités et de voler les données sans alerter l’utilisateur.

Modèle économique et ciblage géographique

En tant que MaaS, Antidot est proposé à des acteurs souhaitant diffuser des campagnes ciblées. Les campagnes identifiées s’adressaient à des victimes localisées selon la langue et la géolocalisation, montrant une dimension stratégique dans la sélection des cibles.

Limites des défenses traditionnelles

Les chercheurs soulignent une limite majeure des protections Android : les mises à jour de sécurité sont fragmentées selon les fabricants et opérateurs, ce qui crée des fenêtres d’exposition pouvant durer plusieurs mois. En conséquence, protéger le système uniquement par des correctifs s’avère insuffisant face à des menaces comme Antidot.

Ressurgence du malware Android : AntiDot, GodFather & SuperCard X

Un article récent de The Hacker News met en lumière deux menaces actuellement actives : la progression explosive d’AntiDot et le malware baptisé GodFather, ainsi que l’apparition d’un nouveau vecteur nommé SuperCard X pour les attaques NFC.

AntiDot : extension des capacités et escalade

Confirmant les données de Prodaft, l’article précise qu’AntiDot est actif sur 3 775 appareils via 273 campagnes différentes, distribué en tant que MaaS par LARVA-398. Il concrétise sa dangerosité avec l’exploitation des services d’accessibilité, la surveillance SMS et la capture d’écran.

GodFather : vol de données bancaires et crédentiels de verrouillage

Contrairement à AntiDot, GodFather s’en prend directement aux institutions financières, notamment en Turquie. Il utilise des fonctionnalités de virtualisation pour subtiliser :

• les identifiants de verrouillage (schéma, PIN ou mot de passe) ;
• informations bancaires sensibles en profitant de surcouches applicatives intégrées dans les apps financières.

L’exfiltration de données bancaires devient encore plus critique, car l’accès physique à l’appareil n’est plus nécessaire pour compromettre le compte financier.

SuperCard X : détournement via NFC

SuperCard X est un malware de type relais NFC, dérivé de l’outil légitime NFCGate. Il permet d’intercepter les communications NFC destinées à des cartes bancaires, puis de les reproduire depuis un appareil contrôlé par l’attaquant afin de mener des transactions frauduleuses. D’abord détecté en Italie, il ciblait ensuite des institutions financières en Europe, aux États-Unis et en Australie.

Modes de distribution et méthodes de social engineering

Les infections sont initiées via du smishing : l’utilisateur reçoit un message incitant à installer une APK malveillante déguisée en application utile. Dans certains cas, des apps malveillantes sont hébergées sur le Play Store ou l’App Store, comme RapiPlata, un SpyLoan ciblant des utilisateurs colombiens avec 150 000 téléchargements, capable de voler SMS, journaux d’appels, calendriers, applications installées, et même des phrases mnémoniques de porte-monnaie crypto.

Dangers accrus et tendances émergentes

Multiplication des vecteurs d'attaque

Batting sur plusieurs fronts, ces malwares Android opèrent via :

• services d’accessibilité Android (Antidot, GodFather) ;
• relai NFC (SuperCard X), un vecteur inédit pour le grand public ;
• applications discrètes dans les stores officiels (SpyLoan).

Cette convergence technologique rend la menace plus complexe et difficile à surveiller.

Malware-as-a-Service (MaaS)

Antidot et GodFather étant proposés en tant que MaaS, cela abaisse les barrières techniques pour les cybercriminels. Cette généralisation d’un modèle à la Uber multiplie le nombre d’acteurs semi-professionnels capables de déployer des campagnes ciblées.

Escalade de privilèges et furtivité

Le recours aux services d’accessibilité, aux seize captages d’écran, aux interceptions SMS, au phishing NFC et à l’ingénierie sociale permet aux malwares d’opérer discrètement, sans alerter les utilisateurs ou systèmes de protection active.

Impact mondial

Les campagnes visent un public international : Europe (Turquie, Italie, Colombie), Amériques, Océanie. La diversité des cibles financières et bancaires montre l’atteinte d’un niveau de sophistication industriel, exploitant des niches spécifiques comme la crypto, la finance et le mobile banking.

Recommandations et stratégies de défense

Sensibilisation et vigilance utilisateur

Les utilisateurs doivent être formés pour reconnaître les messages frauduleux (smishing) et comprendre les risques liés à l’installation d’applications hors des stores officiels. Toute demande de permissions étendues ou de bypass doit être considérée avec suspicion.

Renforcement des politiques de sécurité Android

Les organisations doivent :

• restreindre l’accès aux services d’accessibilité Android aux seules applications légitimes ;
• bloquer le sideloading d’APK quand cela est possible ;
• mettre en place des solutions de Mobile Threat Defense (MTD) sur les terminaux.

De plus, l’intervention proactive sur les systèmes fragmentés est essentielle pour combler les lacunes mises en lumière par Prodaft.

Détection comportementale et réponse aux incidents

Mettre en place une surveillance active des comportements suspects (captures d’écran, lecture SMS, transactions NFC), détecter les signaux faibles via l’analyse des logs et déployer des réponses rapides (isolation de l’appareil, analyse forensic).

Collaboration internationale

La nature transversale des attaques sur des utilisateurs situés dans plusieurs pays invite à une collaboration renforcée entre les institutions de sécurité, les forces de l’ordre et les fournisseurs de mobilité pour partager les indicateurs de compromission (IoC) et démanteler les infrastructures malveillantes.

En résumé

La combinaison révélée par Prodaft et The Hacker News montre que les malwares Android comme Antidot, GodFather et SuperCard X représentent une menace nouvelle : avancée, multiforme et difficile à détecter. Ils s’appuient sur des techniques de pointe (services d’accessibilité, NFC, virtualisation, phishing), sont revendus sous forme de services, et touchent des secteurs critiques (banque, finance, crypto).

Pour y répondre de manière efficace, il ne suffit plus de patcher les systèmes ou d’installer un antivirus. La stratégie doit être holistique : sensibilisation humaine, contrôle des permissions, détection comportementale, interdiction du sideloading, et coordination internationale. Cette vision globale est indispensable pour anticiper, détecter et neutraliser les menaces mobiles qui prolifèrent aujourd’hui.

Sources :
The Hacker News - New Android Malware Surge Hits Devices via Overlays, Virtualization Fraud and NFC Theft.
Rapport Prodaft - Antidot.

Lire la suite

Le groupe de hackers russes APT29 cible Gmail App

Contexte général de la campagne

Depuis avril 2025, le groupe de cyberespionnage APT29 (aussi appelé UNC6293, Cozy Bear ou Midnight Blizzard) mène une campagne sophistiquée visant principalement des universitaires et critiques du gouvernement russe. Ces attaques exploitent une faille d’usage dans les comptes Google en contournant l’authentification à deux facteurs grâce aux « App Passwords ».

Fonctionnement des App Passwords

Les App Passwords sont des codes à usage unique générés par l’utilisateur depuis son compte Google pour permettre à des applications moins sécurisées d’accéder aux données. Or, ces codes permettent un accès sans déclenchement du système de vérification à deux facteurs, créant une porte dérobée idéale pour les attaquants une fois qu’ils l’obtiennent.

Méthodologie des attaques

Techniques de phishing ciblé

Les attaquants contactent leurs cibles via de faux courriels en anglais impeccable, imitant des employés du Département d’État américain. Ils utilisent des adresses en @state.gov (inexistantes mais sans retour d’erreur) et établissent un échange prolongé visant à instaurer la confiance.

Le piège final via un faux PDF

Après plusieurs échanges, la victime reçoit un document PDF d’apparence officielle contenant des instructions précises pour générer un App Password Google nommé « ms.state.gov ». Pensant participer à un projet sécurisé gouvernemental, la victime transmet ce code aux attaquants, leur ouvrant un accès total à sa messagerie.

Accès aux comptes Gmail

Le code transmis permet à APT29 de configurer un client mail ou un accès programmatique qui contourne complètement la 2FA. Les attaquants peuvent alors lire, surveiller et extraire les emails sans être détectés.

Étude de cas : Keir Giles

Parmi les victimes figure Keir Giles, chercheur britannique spécialiste de la Russie. Il a échangé avec un faux fonctionnaire américain avant de recevoir un PDF sophistiqué. Ce document, long de six pages, sans aucune faute, pourrait avoir été généré ou affiné par une intelligence artificielle pour maximiser son réalisme.

Infrastructure technique de l’attaque

Les connexions malveillantes sont effectuées via des proxies résidentiels et des serveurs VPS, rendant la détection géographique difficile. Deux vagues ont été observées : une orientée vers le milieu académique américain, l’autre autour de thèmes ukrainiens.

Réaction de Google

Contre-mesures mises en œuvre

Google a collaboré avec Citizen Lab pour identifier les attaques, révoquer les App Passwords compromis, verrouiller les comptes ciblés et avertir les victimes potentielles. Les mesures préventives recommandées incluent l’activation du programme Advanced Protection et la suppression de tous les App Passwords inutilisés.

Analyse des tactiques APT29

APT29 est connu pour ses campagnes ciblées (comme SolarWinds ou le phishing OAuth). Sa méthode actuelle repose moins sur l’exploitation technique que sur le social engineering avancé, rendant la détection plus difficile et les dégâts potentiellement importants.

Conséquences en matière de cybersécurité

Failles liées aux App Passwords

Malgré leur rôle initialement utile, les App Passwords représentent une faille critique dans les environnements où la sécurité est primordiale. Ils permettent un accès furtif à des comptes protégés par 2FA, sans alerter l’utilisateur.

Amélioration du phishing grâce à l’IA

L’usage potentiel d’intelligence artificielle pour rédiger des messages et documents sans fautes grammaticales ou incohérences rend les tentatives de phishing plus convaincantes que jamais, surtout auprès de cibles éduquées et habituées à filtrer les fraudes classiques.

Recommandations de sécurité

Les organisations et individus à risque élevé doivent activer le programme Advanced Protection, auditer régulièrement leurs App Passwords, former les employés à détecter les signes de rapport-building suspect, et intégrer des solutions d’analyse comportementale capables de détecter des anomalies d’accès.

En résumé

La campagne de phishing d’APT29 exploitant les App Passwords de Gmail révèle un changement stratégique dans l’arsenal des cyberattaques étatiques. Au-delà des vulnérabilités techniques, elle exploite les failles humaines avec une précision redoutable. Cette menace souligne l’importance d’un modèle de sécurité centré sur l’utilisateur, reposant autant sur la technologie que sur la formation, la gouvernance des accès et l’analyse proactive des comportements numériques.

Sources :
The Hacker News - Russian APT29 Exploits Gmail App Passwords to Bypass 2FA in Targeted Phishing Campaign.
Security Week - Russian Hackers Bypass Gmail MFA With App-Specific Password Ruse.

Lire la suite

Une vulnérabilité de Gerrit compromet Google Chromium

Une vulnérabilité critique dans le système de revue de code open source Gerrit, utilisé par Google, a été détectée et nommée « GerriScary » (CVE‑2025‑1568). Cette faille a permis à des utilisateurs enregistrés, sans droits administratifs, d’injecter du code malveillant dans plusieurs projets Google majeurs, compromettant notamment ChromiumOS, Chromium, Dart, Bazel et d’autres.

Contexte et découverte

Découverte par les chercheurs de Tenable Cloud Research (notamment Liv Matan), la vulnérabilité s’est manifestée à travers une mauvaise configuration des permissions dans Gerrit et une condition exploitée par les attaquants. Dénommée « GerriScary », elle a été attribuée au CVE‑2025‑1568.

Gerrit est un outil web de revue de code développé par Google, largement utilisé tant en interne qu’en open-source. Comme tout projet Gerrit, n’importe qui peut s’enregistrer et obtenir des permissions minimales telles que addPatchSet, permettant d’ajouter des révisions de patches aux changements existants.

Nature de la vulnérabilité

Le cœur du problème tient à deux failles :

a. Permissions par défaut trop larges : tout utilisateur enregistré pouvait ajouter une nouvelle version d’un patch pré-approuvé, via addPatchSet.

b. Copy Conditions mal configurées : les étiquettes d’approbation (« labels »), comme **Code‑Review** ou **Commit‑Queue**, étaient copiées automatiquement vers les patch sets suivants sans exiger une nouvelle validation. Cette configuration erronée a empêché une revalidation du nouveau patch, ouvrant la voie à des injections malveillantes.

Exploitation via condition de course

Les chercheurs ont observé que lorsqu’un patch recevait une approbation « Commit‑Queue +2 », un bot Gerrit lançait la fusion automatique après un délai de quelques minutes. Les attaquants pouvaient alors profiter de cette fenêtre pour modifier le patch approuvé en injectant du code malicieux, lequel était fusionné sans revalidation.

Concrètement, le scénario se déroulait en trois étapes :

• Soumission d’un patch innocent accepté par un développeur.
• Dès que l’étiquette **Commit‑Queue +2** est attribuée, le script de reconnaissance la détecte.
• Le script injecte un patch malveillant via addPatchSet avant l’exécution du bot, contournant la nécessité d’une nouvelle approbation.

Le délai entre la pose de l’étiquette et la fusion varie selon les projets : quelques secondes à une minute pour certains, jusqu’à cinq minutes pour ChromiumOS et Dart.

Étendue des projets compromis

Au moins 18 projets Google étaient concernés, parmi lesquels :

ChromiumOS, Chromium, Dart, Bazel, Dawn, BoringSSL, GN, Gerrit, Ceres Solver, Quiche, Android‑KVM, Opensecura, Cue, Linux, Plan9port, Hafnium, Nginx….

Ces projets sont stratégiques : ChromiumOS équipe les Chromebooks, Chromium est au cœur de Chrome, Dart sert la plateforme Flutter et Bazel constitue le moteur de construction. Une compromission aurait pu avoir un impact global massif.

Preuve de concept

Pour valider leur découverte, les chercheurs ont conçu des preuves de concept :

- Injection d’un simple commentaire dans le dépôt ChromiumOS, visible via Code Search.
- Pas de test complet en production par précaution éthique, mais démonstration technique dans plusieurs projets.

Scan automatisé et identification des cibles

Les chercheurs ont déployé un outil de scan capable de détecter les projets vulnérables sans provoquer d’erreurs visibles. En analysant les codes de réponse HTTP (200 ou 209) des requêtes visant à modifier un message de commit, ils pouvaient déterminer si le patch set pouvait être modifié via addPatchSet.

Réponse et remédiation par Google

Google a répondu rapidement après divulgation (octobre 2024) :

• Désactivation de addPatchSet pour les utilisateurs non fiables sur les projets critiques, notamment ChromiumOS.
• Correction des conditions de copie pour obliger une revalidation des labels à chaque patch set.
• Déploiement d’audits sur d’autres projets Gerrit similaires.
• Attribution d’un bug bounty de 5 000 $ pour le signalement.
• Publication du CVE‑2025‑1568 en février 2025.

Gravité technique et notation CVSS

Le NVD attribue une note CVSS 3.1 de 8.8 (« High ») à CVE‑2025‑1568, indiquant un risque important potentiellement aboutissant à une exécution de code à distance ou une interruption des services via la chaîne logistique de développement.

Enseignements et bonnes pratiques

Plusieurs leçons majeures émergent de l’incident :

• Ne jamais accorder l’accès addPatchSet par défaut à des utilisateurs non triés. Restreindre ce droit aux collaborateurs de confiance.
• Activer la revalidation des labels à chaque patch set pour éviter toute continuation implicite d’une approbation antérieure.
• Mettre en place des contrôles temporels entre approbation et fusion ; analyser les délais automatisés pour éviter les attaques par condition de course.
• Auditer systématiquement les configurations Gerrit, notamment Copy Conditions et étiquettes personnalisées comme “Commit‑Queue”.
• Standardiser des pipelines CI/CD avec revalidation cryptographique, signatures de commit et vérifications automatisées (“zero trust”).

Répercussions globales

L’incident souligne que même des géants comme Google restent vulnérables à des failles de configuration dans leurs outils de développement. Il rappelle que la chaîne logistique logicielle est aussi critique que le code final, et que toute faiblesse dans le processus de revue peut exploiter massivement des projets open-source.

En résumé

GerriScary (CVE‑2025‑1568) a révélé que des permissions trop larges et l’absence de revalidation dans Gerrit peuvent conduire à des injections silencieuses de code malveillant dans des projets majeurs. Grâce à la divulgation responsable de Tenable, Google a mis en place des mesures correctives : retrait des droits pour les utilisateurs non fiables et validation stricte des étiquettes. Toutefois, cette affaire reste un signal d’alerte global dans l’écosystème open source et DevOps. Chaque mainteneur doit désormais considérer la sécurité des accès, le temps système et la revalidation comme des axes critiques de protection.

Sources :
Rapport Tenable - GerriScary: Hacking the Supply Chain of Popular Google Products (ChromiumOS, Chromium, Bazel, Dart & More).
Security Week - Gerrit Misconfiguration Exposed Google Projects to Malicious Code Injection.

Lire la suite

Cyber-attaque de Stargazers sur Minecraft

Contexte et surface de l’attaque

Les cibles principales de cette campagne sont les joueurs du célèbre jeu Minecraft, attirés par des mods censés améliorer l’expérience de jeu (comme des cheats ou des addons). L’objectif malveillant est d’installer un infostealer sur les dispositifs Windows, capable de récupérer mots de passe, tokens d’authentification et même des portefeuilles de cryptomonnaie. Pour cela, les attaquants proposent ces mods sur des plateformes populaires, notamment des forums, des sites alternatifs ou encore Discord, souvent sous une apparence légitime.

Méthodologie du malware

Le mode opératoire des « Stargazers » se déroule en plusieurs phases. D’abord, l’utilisateur installe un mod Minecraft falsifié, apparemment légitime, mais qui contient du code malveillant. Ce code contacte ensuite un serveur distant (C2) pour télécharger un fichier nommé dl.jar, qui sert de passerelle. Le malware s’installe ensuite de façon persistante sur Windows via la clé de registre Run, ou sur Linux via un service systemd. Un second composant, appelé client.jar ou hook.dll, est ensuite exécuté. Ce dernier, fortement obfusqué, est chargé de voler les données sensibles de l’utilisateur. Il recherche les cookies et identifiants dans les navigateurs, intercepte les tokens Minecraft, Microsoft ou Discord, altère les adresses cryptographiques copiées dans le presse-papier, se réplique dans d’autres fichiers Java pour se propager, et met en place un système de mise à jour automatique pour se maintenir actif.

Domaines touchés et vecteurs de distribution

Les plateformes de distribution utilisées par les cybercriminels incluent des sites communautaires de fans, des forums de jeux vidéo, des groupes Discord et des sites de mods tiers. Les fichiers malveillants sont souvent déguisés en outils recherchés, comme des cheats ou des améliorations esthétiques, parfois même inspirés de mods existants. La campagne vise un large public de joueurs, souvent jeunes et peu méfiants, attirés par des fonctionnalités interdites ou premium gratuites.

Risques encourus par les victimes

Les conséquences d’une infection par ce malware sont particulièrement graves. Le voleur d’informations est capable de compromettre de nombreux comptes, notamment ceux liés à Microsoft (utilisés pour Minecraft), Discord, ainsi que les navigateurs web. Il peut aussi détourner des transactions cryptographiques en modifiant les adresses copiées dans le presse-papier. Par ailleurs, les données personnelles comme les cookies, historiques de navigation ou sessions actives sont également exposées. Enfin, en se répliquant dans d’autres fichiers Java présents sur le système, le malware augmente considérablement son impact et sa longévité.

Mécanismes de persistance et mise à jour

Pour assurer sa persistance sur les systèmes infectés, le malware ajoute une clé dans le registre Windows ou installe un service sur Linux. Il télécharge régulièrement des composants depuis un serveur distant via un script de mise à jour. De plus, il analyse les dossiers de l’utilisateur à la recherche de fichiers JAR dans lesquels il peut s’injecter pour se relancer automatiquement, même après une tentative de suppression manuelle.

Recommandations de sécurité

Pour se protéger contre cette menace, il est impératif d’éviter les mods Minecraft provenant de sources non officielles. Il est recommandé de limiter ses téléchargements au launcher Minecraft officiel ou à des plateformes reconnues et vérifiées. Il convient également de scanner régulièrement son système avec un anti-malware fiable, capable de détecter les infostealers Java. En cas d’infection suspectée, il est conseillé de réinstaller complètement le système, de modifier tous ses mots de passe, de révoquer les sessions actives et de sécuriser ses portefeuilles de cryptomonnaies avec de nouvelles clés. Enfin, activer la double authentification (MFA) sur tous les comptes sensibles constitue une mesure préventive essentielle.

En résumé

La campagne Stargazers constitue un exemple concret d’attaque par la chaîne d’approvisionnement logicielle, où le vecteur malveillant se dissimule dans des contenus tierce partie apparemment inoffensifs. Elle met en lumière la facilité avec laquelle des cybercriminels peuvent exploiter l’enthousiasme des joueurs pour propager des logiciels espions sophistiqués. Il est donc crucial, même dans un contexte ludique, de rester vigilant, de ne jamais baisser la garde et de faire preuve d’un strict discernement dans le choix des outils téléchargés.

Source : Bleeping Computer - 'Stargazers' use fake Minecraft mods to steal player passwords

Lire la suite

Démantèlement d'Archetyp Market

En juin 2025, Europol et ses partenaires internationaux ont mené une vaste opération visant à démanteler Archetyp Market, un des plus pérennes marchés noirs du Dark Web. Les actions coordonnées entre l’Allemagne, les Pays‑Bas, l’Espagne, la Roumanie, la Suède et les États‑Unis ont permis la mise hors ligne de l’infrastructure, l’arrestation de l’administrateur principal, et la saisie de biens importants.

Contexte et historique du marché

Lancé en mai 2020 par un individu se faisant appeler « ASNT », également identifié sous le pseudonyme YosemiteGhostWrite, Archetyp Market fonctionnait exclusivement sur Tor. Il utilisait la crypto‑monnaie Monero afin de préserver l’anonymat de ses utilisateurs (≃ 612 000 inscrits) et du trafic estimé à plus de 250 millions d’euros depuis sa création.

Le marché se démarquait par sa spécialisation dans la vente de drogues : cocaïne, MDMA, amphétamines, et surtout des opioïdes synthétiques très puissants comme le fentanyl, accessibles via plus de 17 000 annonces.

Opération de démantèlement

Entre le 11 et le 13 juin 2025, une coalition d’environ 300 policiers a opéré simultanément dans plusieurs pays, avec le soutien opérationnel d’Europol et d’Eurojust :contentReference[oaicite:3]{index=3}.

• Aux Pays‑Bas : les serveurs hébergeant la plateforme ont été saisis et mis hors ligne.
• En Espagne : un Allemand de 30 ans, soupçonné d’être l’administrateur principal (ASNT), a été arrêté à Barcelone.
• En Allemagne et en Suède : des personnes identifiées comme modérateurs ou vendeurs majeurs ont été ciblées.

Saisies et preuves

Les autorités ont saisi des actifs d’une valeur estimée à 7,8 millions d’euros (~9 millions USD), incluant véhicules de luxe et crypto‑monnaies.

L’opération s’appuie sur plusieurs années d’enquêtes : analyse criminelle, suivi des flux financiers, expertise numérique, cartographie des infrastructures et collaboration inter‑services.

Un bandeau de saisie « seizure notice » a été apposé sur la page d’accueil d’Archetyp, accompagné d’une vidéo stylisée mettant en scène l’opération.

Réactions institutionnelles

Jean‑Philippe Lecouffe, directeur adjoint d’Europol pour les opérations, a souligné l’importance du démantèlement : « un message clair : il n’y a pas de refuge sûr pour ceux qui tirent profit du mal ».

L’opération montre l’ampleur des liens entre les services de plusieurs pays et leur capacité à viser les racines logistiques des marchés criminels en ligne, notamment ceux spécialisés dans les opiacés très dangereux comme le fentanyl.

Contexte plus large

Le démantèlement d’Archetyp s’inscrit dans une série de vastes opérations internationales contre les marchés du Dark Web, comme Incognito, Nemesis, Bohemia, Tor2Door ou Kingdom Markets.

En mai 2025, l’opération RapTor a conduit à l’arrestation de 270 individus, et à la saisie de plus de 200 millions USD, de 144 kg de fentanyl et de 180 armes à feu.

Ces actions illustrent la stratégie continuelle des forces de l’ordre : utiliser l’analyse de données issues des saisies antérieures pour cibler vendeurs, acheteurs et infrastructures à l’échelle mondiale.

Enjeux et enseignements

• Affaiblissement des réseaux mondiaux : le démantèlement freine le trafic de substances dangereuses à l’échelle transnationale.
• Importance du travail d’enquête long terme : la collecte d’éléments numériques et financiers est essentielle pour construire des dossiers solides avant intervention.
• Effet dissuasif accru : ces opérations démontrent à la communauté criminelle en ligne qu’ils ne sont pas à l’abri.
• Jeu du “Whac‑a‑mole” : malgré chaque fermeture, de nouveaux marchés apparaissent rapidement, exigeant une pression constante des autorités.
• Rôle des crypto‑monnaies : la traçabilité devient un levier contre ces réseaux grâce à une collaboration avec les plateformes.

En résumé

L’opération visant Archetyp Market marque un coup de force significatif contre le trafic de drogues sur le Dark Web. Elle s’inscrit dans un schéma persistant d’actions coordonnées transfrontalières. Si chaque marché peut être remplacé, la pression cumulée nuit à leur viabilité à long terme. Cependant, tant que la demande subsiste, les autorités devront entretenir une vigilance permanente et renforcer les outils techniques et législatifs de lutte contre cette criminalité numérique.

Sources :

• The Record - Police dismantle Archetyp dark web drug market, arrest administrator
• SecurityWeek - Archetyp Dark Web Market Shut Down by Law Enforcement

Lire la suite

Cyber-attaque contre Sorbonne Université

Une cyber-attaque a ciblé l'Université de la Sorbonne en juin 2025 faisant suite à une cyber-attaque contre l'Éducation Nationale il y a quelques jours.

L'attaque a plus particulièrement ciblé les fonctions Ressources Humaines et Paye de la Sorbonne, et à consisté à recopier les données personnelles des salariés de la Sorbonne, ainsi que des anciens salariés dont les données étaient archivées. 32.000 comptes sont concernés par cette attaque qui n'a pour l'instant pas été revendiquée. Les données concernées par la cyber-attaque sont l'identité complète, l'IBAN, le numéro de Sécurité Sociale et des données ayant trait à la rémunération.

Il s'agit de la 3ème cyber-attaque contre la Sorbonne en un an, comme le souligne Clément Domingo sur Twitter. Cette attaque souligne la vulnérabilité des établissements universitaires, fruit d'un sous-investissement en infrastructures de sécurité.

Les préconisations :

• changer le mot de passe des adresses emails contenues dans le profil ;
• changer le mot de passe lié au compte bancaire ;
• prévenir sa banque d'un risque de fraude ;
• faire particulièrement attention aux tentatives de spear phishing ;
• émettre une alerte d'usurpation d'identité sur France Identité.

Lire la suite

Paragon Graphite cible des journalistes européens

Des chercheurs du Citizen Lab de l’université de Toronto ont récemment mis au jour une campagne de surveillance illégitime utilisant le spyware Graphite, développé par l’entreprise israélienne Paragon Solutions, soutenue par des intérêts états-uniens. Des journalistes européens, notamment en Italie, ont été ciblés à l’aide d’une faille zero‑click, sans aucun geste de leur part.

Origine et structure de Paragon Solutions

• Fondée en Israël en 2019, Paragon Solutions a été cofondée par l’ex-PM israélien Ehud Barak et d’anciens responsables du renseignement.
• En décembre 2024, l’entreprise a été rachetée par la société d’investissement américaine AE Industrial Partners +, dans un accord de plus de 500 M$.
• Paragon se positionne comme un acteur « plus vertueux » que des concurrents comme la NSO Group, affirmant privilégier un usage à des fins de sécurité démocratique.

Description de Graphite

Graphite est un spyware de type « mercenaire », doté d’un exploit zero‑click : l’infection s’opère sans action de l’utilisateur (pas de lien cliqué ni de fichier ouvert), via des plateformes comme iMessage.

Il permet un accès à distance à des messageries chiffrées tels que WhatsApp et Telegram, reproduisant les capacités du tristement célèbre Pegasus de NSO, mais se limitant parfois aux apps de messagerie.

Apple a corrigé la faille initiale, identifiée comme CVE‑2025‑43200, dans iOS 18.3.1.

Cibles visées et preuve de l’infection

Journalistes italiens de Fanpage.it

• Ciro Pellegrino, chef du bureau de Naples, a reçu le 29 avril une notification d’Apple confirmant une tentative d’infection d’iPhone opérée début 2025 (iOS 18.2.1) via iMessage.
• Francesco Cancellato, rédacteur en chef, a aussi été visé d’après une notification de WhatsApp sur Android, bien que les preuves forensiques complètes manquent encore.
• Un troisième journaliste européen non nommé a été ciblé via un même vecteur iMessage, selon le Citizen Lab.

État des preuves techniques

Le Citizen Lab a mis en évidence des échanges avec des serveurs attribués à Paragon, via la même adresse iMessage détectée sur les deux smartphones italiens. La corrélation entre ces attaques renforce la piste d’un incident orchestré par une même infrastructure malveillante.

Réponses de WhatsApp, Apple, et implications

En janvier 2025, Meta (maison-mère de WhatsApp) a détecté près de 90 utilisateurs ciblés en Europe. Une faille a été corrigée et Paragon a reçu une lettre d’avertissement (cease-and-desist).

Apple a reconnu la vulnérabilité CVE‑2025‑43200 et déployé un patch via iOS 18.3.1.

Position du Citizen Lab

Selon John Scott‑Railton, chercheur au Citizen Lab : « Paragon est désormais englué dans le même scandale d’abus que NSO Group… ce n’est pas seulement quelques pommes pourries, c’est tout le système ». L’ONG plaide pour une responsabilité accrue des fournisseurs de spyware et des utilisateurs gouvernementaux.

Contexte italien : COPASIR et dénonciations

Le COPASIR, organe de supervision parlementaire italien, a reconnu l’usage de Graphite contre des activistes (migrants), avec autorisation légale, mais nie pour les journalistes Cancellato et Pellegrino.

Paragon affirme avoir proposé d’auditer les logs pour vérifier l’usage sur Cancellato — proposition rejetée par le gouvernement italien, ce qui a conduit Paragon à couper ses liens avec Rome.

Les propos du COPASIR sur l’absence d’infection de Cancellato sont remis en question ; Pellegrino suspecte que Fanpage était spécifiquement visée pour ses enquêtes politiques.

Conséquences politiques et légales

• En réaction, un groupe de journalistes italiens a déposé plainte en février 2025, dénonçant une atteinte grave à la liberté de la presse et à la démocratie.
• Le gouvernement Meloni reste sur la défensive : il n’aurait jamais autorisé une surveillance ciblée de journalistes.
• L’affaire soulève des inquiétudes quant au recul démocratique et à l’essor de la légalisation des technologies de surveillance de masse.

Activistes, ONG et surveillance civile

Le phénomène ne se limite pas aux journalistes : des activistes travaillant sur les migrations et droits de l’homme, comme David Yambio (cas de surveillance juridique devant la CPI), ont confirmé avoir reçu des alertes de type Apple et WhatsApp, attribuables à Paragon. COPASIR admet ces surveillances mais les justifie par des motifs liés à l’ordre public.

Dimension internationale et alliances étasuniennes

• Aux États‑Unis, Paragon détient un contrat d’environ 2 M$ avec l’ICE (immigration), et la DEA utilise également sa technologie, malgré un ordre exécutif de 2023 interdisant l’achat de spyware ayant servi à réprimer la dissidence.
• L’inversement des effets de cet ordre exécutif sur les contrats américains demeure incertain.
• Citizen Lab signale des déploiements similaires en Australie, au Canada, à Chypre, au Danemark, à Singapour ou encore au sein de forces policières régionales telles que l’Ontario Provincial Police.
• L’affaire met en lumière la mondialisation du marché des spywares gouvernementaux, et les insuffisances des régulations transnationales en matière de droits numériques.

Enjeux éthiques et démocratiques

Le cas Paragon révèle une tension entre sécurité nationale et libertés civiles : surveillance de journalistes, militants pro-migrants et révocation des garanties démocratiques forbissent de penser un encadrement plus strict et transparent du commerce des spywares.

Les chercheurs plaident pour un contrôle indépendant, y compris via des audits techniques systématiques, afin de prévenir la dérive autoritaire. Ils alertent sur l’effet d’accoutumance : une fois la surveillance avancée tolérée par un État, elle tend à se banaliser.

L’enquête démontre que même dans des démocraties, l’usage des spywares à visée politique est possible, ciblant journalistes, activistes et opposants. Le cas Paragon-Graphite met en lumière la nécessité d’un verrou légal, technique et institutionnel pour garantir la fonction démocratique de la presse et protéger les droits fondamentaux face aux technologies intrusives.

Source : Paragon spyware activity found on more journalists’ devices - The Record Media

Lire la suite

Faille EchoLeak dans Microsoft 365 Copilot

Contexte et découverte

Le 11 juin 2025, BleepingComputer publie un article traitant de la découverte d’une faille critique baptisée EchoLeak dans Microsoft 365 Copilot, identifiée par la référence CVE‑2025‑32711. Il s’agit de la première vulnérabilité « zero‑click » jamais découverte dans un assistant IA : aucun clic, aucune interaction utilisateur n’est nécessaire pour déclencher l’exfiltration de données sensibles.

L’attaque a été développée en janvier 2025 par les chercheurs d’Aim Labs et remontée immédiatement à Microsoft, qui a classé la faille comme critique et déployé un correctif côté serveur dès mai 2025. Microsoft indique qu’aucun client n’a été visé ou compromis dans le monde réel.

Fonctionnement de Microsoft 365 Copilot

Copilot est un assistant IA intégré aux applications Office (Word, Excel, Outlook, Teams), exploitant les modèles GPT d’OpenAI et Microsoft Graph pour générer du contenu, analyser des données ou répondre à des questions sur les fichiers, courriels ou discussions internes de l’entreprise.

Sa puissance réside dans le mécanisme de RAG (Retrieval‑Augmented Generation) : lorsque l’utilisateur pose une question, Copilot recherche dans le contexte d’entreprise (emails, documents, chats) et intègre ce contexte dans le prompt soumis au modèle}.

Principes de l’attaque EchoLeak

L’attaque se déroule en plusieurs étapes :

1. Un attaquant envoie un courriel piégé ressemblant à un document professionnel classique, mais intégrant une injection de prompt dissimulée.
2. La formulation trompeuse contourne les filtres XPIA de Microsoft (cross‑prompt injection attack).
3. Lorsqu’un utilisateur formule ultérieurement une question à Copilot, le RAG récupère les passages du courriel piégé pour contextualiser la réponse.
4. Le prompt injecté amène l’IA à extraire des données sensibles depuis l’environnement interne et à les intégrer dans un lien ou une image générée.
5. Certaines balises Markdown d’image déclenchent automatiquement une requête du navigateur vers un domaine externe, emportant les données exfiltrées, soit : image request = fuite de données.
6. Microsoft bloque la plupart des domaines externes via sa politique CSP, mais autorise Teams et SharePoint, qui peuvent être abusés comme vecteurs d’exfiltration.

En quoi EchoLeak est-il révolutionnaire ?

C’est la première vulnérabilité « LLM scope violation » formellement identifiée : une IA LLM extraie et divulgue de manière sélective des données privilégiées sans aucune interaction explicite ou consentement de l’utilisateur.

Ainsi, l’attaque est entièrement silencieuse et automatisable à l’échelle des entreprises, sans déclenchement visible pour la victime.

Remédiation et recommandations

Microsoft a corrigé EchoLeak côté serveur et assure que les utilisateurs n’ont aucune action à réaliser.

Les entreprises sont cependant invitées à renforcer leur posture de sécurité en :

• Renforçant les mécanismes de filtrage des injections de prompt (XPIA).
• Imposant un scoping d’entrée strict des prompts injectés.
• Ajoutant des filtres post‑génération pour détecter et bloquer les liens externes ou contenus structurés non conformes.
• Configurant le RAG pour exclure les communications externes et ainsi éviter la récupération de prompts suspects.

Impacts stratégiques et enjeux futurs

L’attaque EchoLeak met en lumière des menaces émergentes liées à l’intégration massive des IA LLM dans les workflows d’entreprise. À mesure que ces systèmes gagnent en autonomie et en accès aux données sensibles, les vecteurs d’exploitation deviennent plus sophistiqués.

Des vulnérabilités horizontales comme LLM scope violation soulignent les limites des approches traditionnelles (pare-feu, filtrage web, ACL), qui ne peuvent pas gérer l’exploitation fine et contextuelle par IA.

EchoLeak ouvre une voie dangereuse : une classe entière de vulnérabilités exploitant le comportement interne des LLM et la logique RAG. Il devient crucial d’adopter des défenses centrées sur la politique de sortie des données, la traçabilité fine des requêtes IA, le contrôle strict des contenus activant des requêtes externes, ainsi qu’une gouvernance rigoureuse des assistants IA.

Avis externes et confirmation technique

Un article de Cybersecurity Dive confirme l’essentiel des faits : EchoLeak pourrait permettre à un attaquant distant d’exfiltrer des informations simplement via un email piégé, sans qu’aucune action utilisateur ne soit requise.

Selon Adir Gruss (Aim Security), cette vulnérabilité marque une avancée en recherche sécurité IA, démontrant la possibilité d’automatisation complète de l’exfiltration des données les plus sensibles accessibles par Copilot.

Le même article souligne que la configuration par défaut de Copilot exposait la majorité des organisations, jusqu’au déploiement du correctif.

En résumé

Le cas EchoLeak (CVE‑2025‑32711) démontre que :

• Les assistants IA intégrés aux environnements d’entreprise peuvent devenir des vecteurs d’attaque silencieux.
• Des vulnérabilités « zero-click » peuvent exfiltrer des données critiques sans interaction.
• Les techniques de prompt injection peuvent réussir à manipuler les LLM via des contenus contextualisés.
• Les mécanismes automatiques de génération de contenu (images, liens) doivent être strictement encadrés.
• Une défense efficace nécessite une approche holistique : filtrage d’entrée, scoping IA, post-traitement et politique de sortie de données.

EchoLeak est une alerte majeure pour les secteurs en pleine adoption de l’IA : sans une sécurité adaptée, ces technologies peuvent exposer des données internes à moindre coût et à large échelle.

Source : Zero-click AI data leak flaw uncovered in Microsoft 365 Copilot - BleepingComputer.

Lire la suite

Attaque Black Basta via Microsoft Teams et scripts Python

L’article de The Hacker News du 11 juin 2025 analyse comment des ex‑membres du groupe de ransomware russophone Black Basta ont, après leur départ, réutilisé un serveur bancaire exfiltré pour leurs propres activités malveillantes.

Contexte et fuite des discussions internes

Début 2025, une vaste fuite de plus de 200 000 messages internes du groupe de hackers, couvrant la période septembre 2023–septembre 2024, a été publiée en ligne. Cette fuite—par l’initié connu sous le pseudonyme « ExploitWhispers »—visait à punir Black Basta pour ses attaques contre des banques russes ; son authenticité a été confirmée par plusieurs experts en cybersécurité.

Présentation de Black Basta

• Emergence : avril 2022, branche de Conti.
• Modèle RaaS double extorsion : chiffrement + fuite de données.
• Visé : plus de 500 organisations (infrastructures, entreprises) en Amérique du Nord, Europe, Australie.
• Gains estimés : ≈ 107 M$ BTC, principalement auprès d’une centaine de victimes.

Instabilité interne et exfiltration de serveurs

Les logs internes révèlent un groupe en crise : conflits entre membres, escroqueries envers des victimes, violence psychologique, déficit de rémunération. Un acteur clé, « Tramp » (alias LARVA‑18), qui gérait un réseau de spam pour QakBot, est particulièrement ciblé.

Des membres ont quitté Black Basta pour rejoindre d’autres groupes, notamment CACTUS (alias Nurturing Mantis) et Akira). L'article montre que certains ont conservé l'accès à un serveur exfiltré à partir d'une banque, devenu un point pivot pour des attaques ultérieures.

Techniques d’intrusion et CVE exploitées

Les logs démontrent une exploitation habile des failles connues, configurations SMB/RDP faibles, VPN par défaut et bruteforce. Boîte à outils : Cobalt Strike, Mimikatz, PsExec, scripts PowerShell, droppers via plateformes publiques (transfer.sh, temp.sh…) :contentReference[oaicite:6]{index=6}.

62 CVE (dont 53 activement exploitées) sont mentionnées, ciblant des systèmes : Citrix, VMware, Zyxel, Confluence, Exchange, Palo Alto, Cisco, etc. :contentReference[oaicite:7]{index=7}.

Tactiques de social engineering et persistance

Mail bombing, appels usurpés, utilisation de Microsoft Teams et Quick Assist ou RMM comme AnyDesk pour l’élévation de privilèges. L’utilisation du loader BackConnect (alias QBACKCONNECT), implanté via OneDriveStandaloneUpdater.exe, permet la persistance sur la machine cible — une tactique reprise par CACTUS, suggérant le transfert d’opérateurs.

Les ex‑membres utilisent aussi le malware SystemBC et un loader en Go ou Java pour établir des connexions SSH inversées et des proxy SOCKS, témoignant d’évolution continue de leurs TTP.

Implications géopolitiques et réactions internes

Selon Trellix, le chef « GG » (alias Oleg Nefedov), arrêté à Erevan en juin 2024, aurait été exfiltré grâce à des contacts au sein des autorités russes, évoquant un « couloir vert » et un soutien de très haut niveau, possiblement au plus haut sommet russophone :contentReference[oaicite:10]{index=10}.

Dans les chats, les membres s’inquiètent de représailles occidentales : saisies, inclusion sur listes terroristes, or sanctions, en référence au cas Colonial Pipeline et aux actions contre TrickBot.

Migration vers CACTUS et usage de serveurs bancaires

L’article pointe qu’après leur départ, certains anciens de Black Basta ont poursuivi leur activité au sein de CACTUS en réutilisant un serveur bancaire déjà exfiltré, réaffirmant la porosité entre groupes et la réutilisation d’infrastructures compromises :contentReference[oaicite:12]{index=12}.

Cette astuce permet d’économiser sur les coûts d’hébergement malveillant et facilite la persistance sur des hôtes jadis ciblés, augmentant l’efficacité des attaques ultérieures.

8. Enseignements et défense

La fuite permet de renforcer les défenses : identification rapide des CVE exploitables, compréhension de la pipeline d’attaque (initial access ➝ persistance ➝ exfiltration ➝ ransomware), simulation de social engineering dans la formation, et blocage des outils et serveurs de commande et contrôle.

Des mécanismes comme le patching proactif (particulièrement sur les CVE identifiés), la MFA résistante au phishing, le monitoring des connexions Quick Assist/RMM et l’organisation d’un threat hunting centré sur BackConnect/SystemBC sont recommandés :contentReference[oaicite:13]{index=13}.

L’article souligne comment la fuite des logs a jeté un éclairage sans précédent sur le fonctionnement interne de Black Basta : ses conflits, ses méthodes, son prolongement chez CACTUS, et l’économie de leurs actifs malveillants.

Ce cas illustre l’interconnexion des groupes criminels, l’importance stratégique des fuites d’informations dans le monde RaaS, ainsi que la nécessité urgente pour les organisations de bâtir des défenses adaptatives contre une menace cyber en constante mutation.

Source : Former Black Basta Members Use Microsoft Teams and Python Scripts in 2025 Attacks - The Hacker News

Lire la suite