What's new arround internet
| Src | Date (GMT) | Titre | Description | Tags | Stories | Notes |
 |
2024-06-20 11:15:58 | Le nouveau voleur en vol exploite des défauts logiciels pour voler la crypto, les données du navigateur New Fickle Stealer Exploits Software Flaws to Steal Crypto, Browser Data (lien direct) |
Fortiguard Labs de Fortinet \\ expose le voleur détruit, un malware utilisant plusieurs méthodes d'attaque pour voler des connexions, des détails financiers, etc.Apprenez à vous protéger de cette menace en évolution.
Fortinet\'s FortiGuard Labs exposes the Fickle Stealer, a malware using multiple attack methods to steal logins, financial details, and more. Learn how to protect yourself from this evolving threat. |
Malware Threat | ★★★ | |
 |
2024-06-20 10:29:06 | Qilin: Nous savions que notre attaque Synnovis entraînerait une crise des soins de santé dans les hôpitaux de Londres Qilin: We knew our Synnovis attack would cause a healthcare crisis at London hospitals (lien direct) |
Les cybercriminels affirment qu'ils ont utilisé un jour zéro pour vioder les systèmes du fournisseur de pathologie \\ interview Le gang de ransomware responsable de la crise actuelle des soins de santé dans les hôpitaux de Londres dit qu'il aAucun regret sur l'attaque, qui était entièrement délibéré, il a dit à le registre dans une interview.…
Cybercriminals claim they used a zero-day to breach pathology provider\'s systems Interview The ransomware gang responsible for the current healthcare crisis at London hospitals says it has no regrets about the attack, which was entirely deliberate, it told The Register in an interview.… |
Ransomware Vulnerability Threat Medical | ★★★ | |
 |
2024-06-20 10:00:14 | Projet Nap-temps: évaluation des capacités de sécurité offensive des modèles de gros langues Project Naptime: Evaluating Offensive Security Capabilities of Large Language Models (lien direct) |
Posted by Sergei Glazunov and Mark Brand, Google Project Zero IntroductionAt Project Zero, we constantly seek to expand the scope and effectiveness of our vulnerability research. Though much of our work still relies on traditional methods like manual source code audits and reverse engineering, we\'re always looking for new approaches. As the code comprehension and general reasoning ability of Large Language Models (LLMs) has improved, we have been exploring how these models can reproduce the systematic approach of a human security researcher when identifying and demonstrating security vulnerabilities. We hope that in the future, this can close some of the blind spots of current automated vulnerability discovery approaches, and enable automated detection of "unfuzzable" vulnerabilities. Earlier this year, Meta released CyberSecEval 2 (Bhatt et al., 2024), which includes new LLM benchmarks for discovering and exploiting memory safety issues. The authors presented the following conclusion: Another theme is that none of the LLMs do very well on these challenges. For each challenge, scoring a 1.0 means the challenge has been passed, with any lower score meaning the LLM only partially succeeded. The average scores of all LLMs over all tests suggests that LLMs have a ways to go before performing well on this benchmark, and aren’t likely to disrupt cyber exploitation attack and defense in their present states. We find that, by refining the testing methodology to take advantage of modern LLM capabilities, significantly better performance in vulnerability discovery can be achieved. To facilitate effective evaluation of LLMs for vulnerability discovery, we propose below a set of guiding principles. We\'ve implemented these principles in our LLM-powered vulnerability research framework, which increased CyberSecEval2 benchmark performance by up to 20x from the original paper. This approach achieves new top scores of 1.00 on the “Buffer Overflow" tests (from 0.05) and 0.76 on the "Advanced Memory Corruption" tests (from 0.24). We have included a full example trajectory/log in Appendix A. While we have shown that principled agent design can greatly improve the performance of general-purpose LLMs on challenges in the security domain, it\'s the opinion of the Project Zero team that substantial progress is still needed before these tools can have a meaningful impact on the daily work of security researchers. | Tool Vulnerability Threat | ★★ | |
 |
2024-06-20 08:30:00 | L'acteur de menace réclame les violations AMD et Apple Threat Actor Claims AMD and Apple Breaches (lien direct) |
L'acteur de menace notoire Intelbroker prétend avoir volé des données à Apple et AMD
Notorious threat actor IntelBroker is claiming to have stolen data from Apple and AMD |
Threat | ★★ | |
 |
2024-06-20 07:21:24 | Splunk présente un ensemble d\'innovations visant à renforcer la détection des menaces et les opérations de cybersécurité (lien direct) | .conf24 : Splunk présente des nouvelles innovations dans le domaine de la cybersécurité pour alimenter le SOC de demain Un écosystème de cybersécurité unifié offre des capacités de visibilité complète, de détection précise et de réponse rapide aux menaces Cisco Talos fournit aux équipes en charge de la cybersécurité de la threat intelligence en temps réel - Produits | Threat | ★★★ | |
 |
2024-06-19 22:10:00 | Kraken Crypto Exchange a frappé par 3 millions de dollars de vol exploitant un défaut zéro-jour Kraken Crypto Exchange Hit by $3 Million Theft Exploiting Zero-Day Flaw (lien direct) |
Crypto Exchange Kraken a révélé qu'un chercheur de sécurité sans nom a exploité un défaut zéro jour "extrêmement critique" dans sa plate-forme pour voler 3 millions de dollars d'actifs numériques et a refusé de les retourner.
Les détails de l'incident ont été partagés par le directeur de la sécurité de Kraken \\, Nick Percoco, sur X (anciennement Twitter), déclarant qu'il avait reçu une alerte du programme de prime de bogue sur un bug qui "leur a permis de
Crypto exchange Kraken revealed that an unnamed security researcher exploited an "extremely critical" zero-day flaw in its platform to steal $3 million in digital assets and refused to return them. Details of the incident were shared by Kraken\'s Chief Security Officer, Nick Percoco, on X (formerly Twitter), stating it received a Bug Bounty program alert about a bug that "allowed them to |
Vulnerability Threat | ★★★ | |
 |
2024-06-19 20:43:09 | T-Mobile nie qu'il a été piraté, les liens ont divulgué des données à la violation des fournisseurs T-Mobile denies it was hacked, links leaked data to vendor breach (lien direct) |
T-Mobile a nié avoir été violé ou que le code source a été volé après qu'un acteur de menace a affirmé vendre des données volées à la société de télécommunications.[...]
T-Mobile has denied it was breached or that source code was stolen after a threat actor claimed to be selling stolen data from the telecommunications company. [...] |
Threat | ★★★ | |
|
2024-06-19 20:39:00 | Le groupe de cyber-espionnage chinois exploite Fortinet, Ivanti et VMware Zero-Days Chinese Cyber Espionage Group Exploits Fortinet, Ivanti and VMware Zero-Days (lien direct) |
L'acteur de cyber-espionnage China-Nexus lié à l'exploitation zéro-jour des défauts de sécurité dans les dispositifs de Fortinet, Ivanti et VMware a été observé en utilisant plusieurs mécanismes de persistance afin de maintenir un accès sans entrée à des environnements compromis.
"Les mécanismes de persistance englobaient les dispositifs de réseau, les hyperviseurs et les machines virtuelles, garantissant que des canaux alternatifs restent disponibles
The China-nexus cyber espionage actor linked to the zero-day exploitation of security flaws in Fortinet, Ivanti, and VMware devices has been observed utilizing multiple persistence mechanisms in order to maintain unfettered access to compromised environments. "Persistence mechanisms encompassed network devices, hypervisors, and virtual machines, ensuring alternative channels remain available |
Vulnerability Threat | ★★★ | |
 |
2024-06-19 19:28:22 | Les pirates utilisent des logiciels malveillants Big-IP F5 pour voler furtivement des données pendant des années Hackers use F5 BIG-IP Malware to Stealthily Steal Data for Years (lien direct) |
## Instantané Les analystes de Sygnia ont constaté que le groupe de cyberespionnage chinois fourmi en velours utilisait des logiciels malveillants personnalisés sur des appareils Big-IP F5 pour établir plusieurs anciensréseau. Lire la couverture de Microsoft \\ de [Plugx ici.] (Https://security.microsoft.com/intel-profiles/028c3995955a4a710d67d5d4e9a5f067355bc7ad58e5c5d1c1931e708e41b38) ## Dépissage Les attaquants ont initialement compromis les appareils Big-IP F5 en utilisant des défauts d'exécution de code distants connus, leur permettant de déployer divers logiciels malveillants, y compris Plugx, PMCD, MCDP, Samrid et Esrde.Cela a permis aux acteurs de la menace de voler furtivement des informations sensibles aux clients et financières pendant près de trois ans sans détection. Malgré les efforts d'éradication, les pirates ont redémarré le plugx avec de nouvelles configurations pour éviter la détection, en utilisant des dispositifs internes compromis comme les appareils F5 pour conserver l'accès.De plus, l'article mentionne d'autres cas d'acteurs de menace parrainés par l'État exploitant des vulnérabilités dans les appareils réseau, tels que Fortinet, Sonicwall, Barracuda et Palo Alto Networks, pour installer des logiciels malveillants personnalisés et voler des données.Ces incidents mettent en évidence la menace continue posée par des groupes de menaces sophistiqués et persistants, soulignant la nécessité d'une approche de sécurité multicouche et holistique pour détecter et atténuer ces attaques. ## Détections / requêtes de chasse ### Microsoft Dantivirus efender Microsoft Defender Antivirus détecte les composants de la menace Plugx. - [Backdoor: win32 / plugx] (https://www.microsoft.com/en-us/wdsi/atherets/thReat-Search? Query = Backdoor: Win32 / Plugx) - [Trojan: Win32 / Plugx] (https://www.microsoft.com/en-us/wdsi/Thereats/Threat-Search?query=trojan:win32/plugx) - [tRojandRopper: Win32 / Plugx] (https://www.microsoft.com/en-us/wdsi/Thereats/Threat-Search?query=trojan:win32/plugx) - [Trojan: Msil / Plugx] (https://www.microsoft.com/en-us/wdsi/atherets/thReat-Search? Query = Trojan: MSIL / Plugx) Microsoft Defender Antivirus détecte les composants de la menace KorPlug. - [Trojan: win32 / korplug] (https://www.microsoft.com/en-us/wdsi/therets/malware-encyclopedia-description?name=trojan:win32/korplug!msr&Theratid=214752072) - [Backdoor: win32 / korplug] (https://www.microsoft.com/en-us/wdsi/Thereats/Threat-Search?query=backdoor:win32/korplug) - [TrojandRopper: Win32 / KorPlug] (https://www.microsoft.com/en-us/wdsi/Threats/Malware-encycopedia-description? name = trojandropper: win32 / korplug & menaceid = -2147068922) - [Trojan: VBS / Korplug] (https://www.microsoft.com/en-us/wdsi/Thereats/Malware-enCyclopedia-Description? Name = Trojan: VBS / KorPlug! McLg & menaceID = -2147156848) ### Chasse avancée ** Chargement des lecteurs avec le caractère NBSP dans le chemin du fichier ** Identifiez les événements de charge d'image amovibles où le chemin de fichier comprend le caractère NBSP.Ce chemin de fichier peut être associé à l'activité Plugx sur le système.Exécutez la requête dans Microsoft 365 Security Center. Laissez NBSP = MAKe_string (tolong (\\ '0xa0 \'));// Caractère d'espace non révolutionnaire Laisse nbspdir = strcat (@ "\", nbsp, @ "\"); DeviceMageLoADADEVENTS |où folDerpath! Startwith "C:" // Chasse sur les médias amovibles |où le pistolet a_cs nbspdir |Project-Reorder DeviceName, nom de fichier, Folderpath, SHA1, InitiantProcessFilename ## Recommandations Microsoft recommande les atténuations suivantes pour réduire l'impact de cette menace.Vérifiez la carte de recommandations pour l'état de déploiement des atténuations surveillées. - Allumez [protection en livraison du cloud] (https://learn.microsoft.com/en-us/defender-endpoint/enable-cloud-protection-microsoft-defender-antivi | Malware Vulnerability Threat | ★★★★ | |
 |
2024-06-19 19:13:51 | The Hunt: Décodage du comportement humain dans la chasse aux menaces The Hunt: Decoding Human Behavior in OT Threat Hunting (lien direct) |
> Les erreurs sont humaines.Nous les minimitons.Nous les excusons comme si nous étions une bonne exception à la règle.Notre ...
Le post la chasse: décodage du comportement humain dans la chasse aux menaces est apparu pour la première fois sur dragos .
>Mistakes are human. We downplay them. We excuse them as if we are a worthy exception to the rule. Our... The post The Hunt: Decoding Human Behavior in OT Threat Hunting first appeared on Dragos. |
Threat Industrial | ★★★ | |
 |
2024-06-19 16:43:55 | Une vulnérabilité zero-day pour Windows en vente pour 120 000 dollars (lien direct) | Pour 120 000 dollars, un pirate informatique met en vente une élévation locale de privilèges (LPE) sur les systèmes d'exploitation Windows.... | Vulnerability Threat | ★★★ | |
|
2024-06-19 15:53:00 | Void Arachne utilise Deepfakes et AI pour livrer des VPN malveillants aux utilisateurs chinois Void Arachne Uses Deepfakes and AI to Deliver Malicious VPNs to Chinese Users (lien direct) |
Les utilisateurs de langue chinois sont la cible d'un cluster d'activités de menace jamais vu auprès du nom de codé nommé Arachne qui utilise des fichiers d'installation de Windows malveillants (MSI) pour les réseaux privés virtuels (VPN) pour livrer un cadre de commandement et de contrôle (C & c)appelé winos 4.0.
"La campagne promeut également les fichiers MSI compromis intégrés avec des nudificateurs et des logiciels de génération de pornographie DeepFake, ainsi que
Chinese-speaking users are the target of a never-before-seen threat activity cluster codenamed Void Arachne that employs malicious Windows Installer (MSI) files for virtual private networks (VPNs) to deliver a command-and-control (C&C) framework called Winos 4.0. "The campaign also promotes compromised MSI files embedded with nudifiers and deepfake pornography-generating software, as well as |
Threat | ★★ | |
|
2024-06-19 15:48:55 | DISGOMOJI Malware Used to Target Indian Government (lien direct) | ## Snapshot Volexity identified a cyber-espionage campaign by a suspected Pakistan-based threat actor, "UTA0137", targeting Indian government entities using DISGOMOJI malware. This Golang-written malware, designed for Linux systems, uses the Discord messaging service for command and control, leveraging emojis for communication. ## Description DISGOMOJI malware gains initial access using Linux malware paired with decoy documents, specifically targeting users of the Indian government\'s who use a custom Linux distribution named BOSS as their daily desktop. DISGOMOJI employs various persistence mechanisms, including cron jobs and XDG autostart entries, and is capable of data exfiltration, including USB device content. Volexity also uncovered UTA0137\'s use of the DirtyPipe ([CVE-2022-0847](https://security.microsoft.com/intel-explorer/cves/CVE-2022-0847/)) privilege escalation exploit against “BOSS 9” systems which, after analysis, Volexity determined are still vulnerable to this years-old exploit. UTA0137 has improved DISGOMOJI over time, including the change to the way Discord tokens are managed by the malware, making it harder for Discord to act against the attacker\'s servers, as the client configuration can simply be updated by the attacker when required. Additionally, BleepingComputer writes about further concerns with the use of emojis instead of text, possibly allowing malware to go undetected by security software. Post-exploitation activities involve network scanning with Nmap, network tunneling with Chisel and Ligolo, and social engineering via malicious dialog boxes created with Zenity. Volexity attributes this activity to Pakistan, due to the time zone settings, language use, infrastructure links, and targeted organizations. ## Recommendations Implement multifactor authentication (MFA) to mitigate credential theft from phishing attacks. MFA can be complemented with the following solutions and best practices to protect organizations: - Activate conditional access policies. [Conditional access](https://learn.microsoft.com/azure/active-directory/conditional-access/overview?ocid=magicti_ta_learndoc) policies are evaluated and enforced every time an attacker attempts to use a stolen session cookie. Organizations can protect themselves from attacks that leverage stolen credentials by activating policies regarding compliant devices or trusted IP address requirements. - Configure [continuous access evaluation](https://learn.microsoft.com/azure/active-directory/conditional-access/concept-continuous-access-evaluation?ocid=magicti_ta_learndoc) in your tenant. - Invest in advanced anti-phishing solutions that monitor incoming emails and visited websites. [Microsoft Defender for Office](https://learn.microsoft.com/microsoft-365/security/defender/microsoft-365-security-center-mdo?ocid=magicti_ta_learndoc) 365 brings together incident and alert management across email, devices, and identities, centralizing investigations for threats in email. Organizations can also leverage web browsers that automatically [identify and block malicious websites](https://learn.microsoft.com/deployedge/microsoft-edge-security-smartscreen?ocid=magicti_ta_learndoc), including those used in this phishing campaign. To build resilience against phishing attacks in general, organizations can use [anti-phishing policies](https://docs.microsoft.com/microsoft-365/security/office-365-security/set-up-anti-phishing-policies?view=o365-worldwide) to enable mailbox intelligence settings, as well as configure impersonation protection settings for specific messages and sender domains. Enabling [SafeLinks](https://docs.microsoft.com/microsoft-365/security/office-365-security/safe-links?view=o365-worldwide) ensures real-time protection by scanning at time of delivery and at time of click. - Monitor for suspicious or anomalous activities, and search for sign-in attempts with suspicious characteristics (for example location, internet service provider \[ISP\], user agent, and use of | Malware Threat | ★★ | |
|
2024-06-19 15:45:57 | Advance Auto Parts confirme la violation des données Informations sur les employés exposés Advance Auto Parts confirms data breach exposed employee information (lien direct) |
Advance Auto Parts a confirmé qu'elle avait subi une violation de données après qu'un acteur de menace a tenté de vendre des données volées sur un forum de piratage plus tôt ce mois-ci.[...]
Advance Auto Parts has confirmed it suffered a data breach after a threat actor attempted to sell stolen data on a hacking forum earlier this month. [...] |
Data Breach Threat | ★★★ | |
|
2024-06-19 15:38:00 | AVERTISSEMENT: l'escroquerie de Markopolo \\ ciblant les utilisateurs de crypto via un faux logiciel de réunion Warning: Markopolo\\'s Scam Targeting Crypto Users via Fake Meeting Software (lien direct) |
Un acteur de menace qui passe par Alias Markopolo a été identifié comme derrière une arnaque multiplateforme à grande échelle qui cible les utilisateurs de monnaie numérique sur les réseaux sociaux avec des logiciels malveillants d'informations et propose un vol de crypto-monnaie.
Les chaînes d'attaque impliquent l'utilisation d'un prétendu logiciel de réunion virtuel nommé Vortax (et 23 autres applications) qui sont utilisés comme un conduit pour livrer des Rhadamanthys, Stealc,
A threat actor who goes by alias markopolo has been identified as behind a large-scale cross-platform scam that targets digital currency users on social media with information stealer malware and carries out cryptocurrency theft. The attack chains involve the use of a purported virtual meeting software named Vortax (and 23 other apps) that are used as a conduit to deliver Rhadamanthys, StealC, |
Malware Threat | ★★ | |
|
2024-06-19 15:06:17 | 1 million de dollars pour un 0Day QuickBook (lien direct) | Le Service Veille ZATAZ a repéré un pirate informatique prêt à mettre 1 million de dollars sur la table pour une faille QuickBooks.... | Threat | ★★ | |
 |
2024-06-19 15:00:00 | Sceau de poing distribué via une chaîne d'attaque multiple Fickle Stealer Distributed via Multiple Attack Chain (lien direct) |
Fortiguard Labs a découvert une nouvelle menace, Fickle Stealer, qui est
distribué via diverses stratégies.En savoir plus.
FortiGuard Labs has uncovered a fresh threat, Fickle stealer, which is distributed via various strategies. Read more. |
Threat | ★★★ | |
|
2024-06-19 13:00:00 | La campagne de quitte cible les citoyens chinois via de faux documents officiels Quishing Campaign Targets Chinese Citizens via Fake Official Documents (lien direct) |
Le fournisseur de renseignement du cyber-menace Cyble a observé une nouvelle campagne de phishing de code QR malveillant ciblant les citoyens chinois
Cyber threat intelligence provider Cyble observed a new malicious QR code phishing campaign targeting Chinese citizens |
Threat | ★★ | |
 |
2024-06-19 09:30:00 | Le hacktivisme évolue & # 8211;Et cela pourrait être une mauvaise nouvelle pour les organisations partout Hacktivism is evolving – and that could be bad news for organizations everywhere (lien direct) |
Le hacktivisme n'est pas nouveau, mais les lignes de plus en plus floues entre le hacktivisme traditionnel et les opérations soutenues par l'État en font une menace plus puissante
Hacktivism is nothing new, but the increasingly fuzzy lines between traditional hacktivism and state-backed operations make it a more potent threat |
Threat | ★★ | |
|
2024-06-18 20:33:27 | From Clipboard to Compromise: A PowerShell Self-Pwn (lien direct) | ## Instantané Les chercheurs de ProofPoint ont identifié une technique qui ordonne aux utilisateurs de copier et de coller des scripts PowerShell malveillants pour infecter leurs ordinateurs par des logiciels malveillants.Des acteurs de menace, dont TA571 et les acteurs derrière le cluster d'activités Clearfake, utilisent cette méthode pour fournir des logiciels malveillants, notamment Darkgate, Matanbuchus, Netsupport et divers voleurs d'informations. ## Description Proofpoint a observé cette technique dans plusieurs campagnes récentes impliquant plusieurs acteurs de menace, y compris ceux qui sont derrière Clearfake et l'acteur de menace TA571, connu pour la distribution des spams menant à des logiciels malveillants et à des infections au ransomware.La chaîne d'attaque nécessite une interaction importante des utilisateurs pour réussir, mais l'ingénierie sociale est suffisamment intelligente pour présenter à quelqu'un ce qui ressemble à un vrai problème et une solution simultanément, ce qui peut inciter un utilisateur à prendre des mesures sans considérer le risque. La campagne Clearfake est un faux cluster d'activités de mise à jour du navigateur qui compromet les sites Web légitimes avec un HTML et un JavaScript malveillants.Le script initial a ensuite chargé un deuxième script à partir d'un domaine qui a utilisé Keitaro TDS pour le filtrage.Si ce deuxième script se chargeait et passait divers chèques, et si la victime continuait de parcourir le site Web, il a été présenté avec une fausse superposition d'avertissement sur le site Web compromis.Cet avertissement leur a demandé d'installer un "certificat racine" pour afficher correctement le site Web. La campagne TA571 comprenait plus de 100 000 messages et ciblé des milliers d'organisations dans le monde.Les e-mails contenaient une pièce jointe HTML qui affichait une page ressemblant à Microsoft Word.La page a également affiché un message d'erreur qui disait l'extension «\\» word en ligne \\ 'n'est pas installée »et a présenté deux options pour continuer:« comment réparer »et« automatique ». Les charges utiles observées comprennent Darkgate, Matanbuchus, Netsupport, Amadey Loader, XMRIG et Lummma Stealer.Les acteurs de la menace expérimentent activement différentes méthodes pour améliorer l'efficacité et trouver plus de voies d'infection pour compromettre un plus grand nombre de systèmes. ## Analyse Microsoft Ces dernières années, Microsoft a suivi le risque croissant que les infostateurs présentent à la sécurité des entreprises.Les infostateurs sont des logiciels malveillants de marchandises utilisés pour voler des informations à un appareil cible et l'envoyer à l'acteur de menace.La popularité de cette classe de logiciels malveillants a conduit à l'émergence d'un écosystème d'infosteller et à une nouvelle classe d'acteurs de menace qui a exploité ces capacités pour mener leurs attaques.Les infostelleurs sont annoncés comme un logiciel malveillant en tant que service (MAAS) offrant & # 8211;Un modèle d'entreprise où les développeurs louent la charge utile de l'infostealer aux distributeurs moyennant des frais. Les voleurs d'informations sont polyvalents et peuvent être distribués sous diverses formes, notamment par le biais de campagnes par e-mail de phishing, de malvertising et de logiciels, de jeux et d'outils maladucs.En règle générale, une fois que l'utilisateur télécharge et lance la charge utile malveillante, il établit des connexions de commande et de contrôle (C2) avec des domaines suspects.Une fois infecté, l'infostaler tente de collecter et finalement exfilter les informations du système, y compris les fichiers, les navigateurs, les appareils et les applications orientés sur Internet aux serveurs C2.En savoir plus [ici sur l'analyse des infostelleurs de Microsoft \\] (https://security.microsoft.com/intel-profileS / 2296D491EA381B532B24F2575F9418D4B6723C17B8A1F507D20C2140A75D16D6). - [darkgate] (https://securit | Ransomware Spam Malware Tool Threat | ★★★★ | |
 |
2024-06-18 19:53:36 | Blackbaud a condamné à une amende de 6,75 millions de dollars après 2020 Ransomware Attack Blackbaud Fined $6.75M After 2020 Ransomware Attack (lien direct) |
Les acteurs de la menace ont pu violer les systèmes de Blackbaud et compromettre les données sensibles, en grande partie à cause des mauvaises pratiques de cybersécurité de l'entreprise et du manque de données cryptées, a déclaré l'AG.
Threat actors were able to breach Blackbaud\'s systems and compromise sensitive data, largely because of the company\'s poor cybersecurity practices and lack of encrypted data, the AG said. |
Ransomware Threat | ★★ | |
|
2024-06-18 19:00:00 | Les cybercriminels exploitent des leurres logiciels libres pour déployer le chargeur de hivers et le voleur Vidar Cybercriminals Exploit Free Software Lures to Deploy Hijack Loader and Vidar Stealer (lien direct) |
Les acteurs de la menace attirent les utilisateurs sans méfiance avec des versions gratuites ou piratées de logiciels commerciaux pour livrer un chargeur de logiciels malveillants appelée Hijack Loader, qui déploie ensuite un voleur d'informations connu sous le nom de voleur Vidar.
"Les adversaires avaient réussi à inciter les utilisateurs à télécharger des fichiers d'archives protégés par mot de passe contenant des copies trojanisées d'une application de réunions Cisco WebEx (PTService.exe)"
Threat actors are luring unsuspecting users with free or pirated versions of commercial software to deliver a malware loader called Hijack Loader, which then deploys an information stealer known as Vidar Stealer. "Adversaries had managed to trick users into downloading password-protected archive files containing trojanized copies of a Cisco Webex Meetings App (ptService.exe)," Trellix security |
Malware Threat Commercial | ★★★ | |
|
2024-06-18 18:22:59 | Ransomware Roundup _ Shinra et Limpopo Ransomware Ransomware Roundup _ Shinra and Limpopo Ransomware (lien direct) |
#### Géolocations ciblées - Israël - Pologne - Russie - Royaume-Uni - États-Unis ## Instantané Fortiguard Labs Researcha identifié le ransomware Shinra et Limpopo dans leur rapport Ransomware Roundup.Les souches de ransomware de Shinra et Limpopo, émergeant au début de 2024, présentent des techniques avancées et ont ciblé plusieurs pays, provoquant des perturbations importantes en cryptant des fichiers et en exigeant des rançons. ## Description Le ransomware de Shinra, vu pour la première fois en avril 2024, exfiltre les données de la victime avant de chiffrer les fichiers et de supprimer des copies fantômes de volume.Il affecte les victimes en Israël, en Pologne, en Russie, au Royaume-Uni et aux États-Unis, met fin aux processus et aux services, modifie le papier peint de bureau et évite de crypter des fichiers et des répertoires spécifiques. Les ransomwares limpopo, liés aux ransomwares Socotra, ciblent les environnements ESXi et ont été soumis pour scanning en février 2024. Le vecteur d'infection pour les ransomwares limpopo est inconnu, mais il affecte plusieurs pays et crypte des fichiers avec des extensions spécifiques, ajoutant une prolongation ".limpopo" ".aux fichiers de liste blanche.Il laisse tomber une note de rançon exigeant la coopération et fournit un lien pour d'autres instructions. ## Détections / requêtes de chasse Microsoft Defender Antivirus détecte les composants de la menaceComme les logiciels malveillants suivants: - Ransom: Linux / Babuk - Ransom: win64 / akira - rançon: win32 / conti - Trojan: Linux / Filecoder ## ReCommensions Microsoft recommande les atténuations suivantes pour réduire l'impact des menaces de ransomware. - Allumez [Protection en livraison du cloud] (https://learn.microsoft.com/microsoft-365/security/defender-endpoint/configure-lock-at-first-sight-microsoft-defender-asvirus?ocid=magicti_ta_learndoc)Dans Microsoft Defender Antivirus ou l'équivalent pour que votre produit antivirus couvre des outils et techniques d'attaquant en évolution rapide.Les protections d'apprentissage automatique basées sur le cloud bloquent une énorme majorité de variantes nouvelles et inconnues. - Allumez [Protection Tamper] (https://learn.microsoft.com/microsoft-365/security/defender-endpoint/prevent-changes-to-security-settings-with-tamper-protection?ocid=Magicti_TA_LearnDoc).Empêcher les attaquants d'empêcher les services de sécurité. - Exécutez [Détection et réponse de point de terminaison (EDR) en mode bloc] (https://learn.microsoft.com/microsoft-365/security/defender-endpoint/edr-in-lock-mode?ocid=Magicti_TA_Learndoc), de sorte que celaLe défenseur du point final peut bloquer les artefacts malveillants, même lorsque votre antivirus non microsoft ne détecte pas la menace ou lorsque l'antivirus Microsoft Defender fonctionne en mode passif.EDR en mode bloc fonctionne dans les coulisses pour corriger les artefacts malveillants détectés après la lutte. - Activer [Investigation and Remediation] (https://learn.microsoft.com/microsoft-365/security/defender-endpoint/automated-investigations?ocid=Magicti_TA_Learndoc) en mode automatisé complet pour permettre au défenseur de terminer l'action immédiatement sur l'action immédiate sur l'action immédiate sur l'action immédiate sur l'action immédiate sur l'action immédiate sur l'action immédiate sur l'action immédiate sur l'action immédiate sur l'action immédiate sur l'action immédiate sur l'action immédiate surAlertes pour résoudre les violations, réduisant considérablement le volume d'alerte. - Les clients de Microsoft Defender peuvent activer [Règles de réduction de la surface d'attaque] (https://learn.microsoft.com/microsoft-365/security/defender-endpoint/attack-surface-reduction?ocid=Magicti_TA_LearnDoc) pour prévenir les techniques d'attaque communes utilisées utilisées utiliséDans les attaques de ransomwares.Les règles de réduction de la surface d'attaque sont des pa | Ransomware Malware Tool Threat | ★★★ | |
 |
2024-06-18 17:58:40 | Entités brésiliennes de plus en plus ciblées par les attaques de phishing de l'État-nation Brazilian Entities Increasingly Targeted by Nation-State Phishing Attacks (lien direct) |
Phishing provient d'acteurs de menace basés en Chine, en Corée du Nord et en Russie.
Mandiant has published a report looking at cyber threats targeting Brazil, finding that more than 85% of government-backed phishing activity comes from threat actors based in China, North Korea and Russia. |
Threat | ★★★ | |
|
2024-06-18 17:26:26 | AMD enquête sur la violation après les données à vendre sur le forum de piratage AMD investigates breach after data for sale on hacking forum (lien direct) |
AMD enquête sur la question de savoir si elle a subi une cyberattaque après qu'un acteur de menace a prétendument volé des données à vendre sur un forum de piratage, affirmant qu'il contient des informations, des documents financiers et des informations confidentielles des employés AMD.[...]
AMD is investigating whether it suffered a cyberattack after a threat actor put allegedly stolen data up for sale on a hacking forum, claiming it contains AMD employee information, financial documents, and confidential information. [...] |
Threat | ★★★ | |
 |
2024-06-18 14:00:00 | Couchée et secrète: Découvrir les opérations d'espionnage UNC3886 Cloaked and Covert: Uncovering UNC3886 Espionage Operations (lien direct) |
Written by: Punsaen Boonyakarn, Shawn Chew, Logeswaran Nadarajan, Mathew Potaczek, Jakub Jozwiak, Alex Marvi
Following the discovery of malware residing within ESXi hypervisors in September 2022, Mandiant began investigating numerous intrusions conducted by UNC3886, a suspected China-nexus cyber espionage actor that has targeted prominent strategic organizations on a global scale. In January 2023, Mandiant provided detailed analysis of the exploitation of a now-patched vulnerability in FortiOS employed by a threat actor suspected to be UNC3886. In March 2023, we provided details surrounding a custom malware ecosystem utilized on affected Fortinet devices. Furthermore, the investigation uncovered the compromise of VMware technologies, which facilitated access to guest virtual machines. Investigations into more recent operations in 2023 following fixes from the vendors involved in the investigation have corroborated Mandiant\'s initial observations that the actor operates in a sophisticated, cautious, and evasive nature. Mandiant has observed that UNC3886 employed several layers of organized persistence for redundancy to maintain access to compromised environments over time. Persistence mechanisms encompassed network devices, hypervisors, and virtual machines, ensuring alternative channels remain available even if the primary layer is detected and eliminated. This blog post discusses UNC3886\'s intrusion path and subsequent actions that were performed in the environments after compromising the guest virtual machines to achieve access to the critical systems, including: The use of publicly available rootkits for long-term persistence Deployment of malware that leveraged trusted third-party services for command and control (C2 or C&C) Subverting access and collecting credentials with Secure Shell (SSH) backdoors Extracting credentials from TACACS+ authentication using custom malware Mandiant has published detection and hardening guidelines for ESXi hypervisors and attack techniques employed by UNC3886. For Google SecOps Enterprise+ customer |
Malware Tool Vulnerability Threat Cloud Technical | APT 41 | ★★★ |
|
2024-06-18 12:56:24 | Les pivots d'araignée dispersés vers les attaques d'application SaaS Scattered Spider Pivots to SaaS Application Attacks (lien direct) |
L'année dernière, Microsoft a décrit l'acteur de menace - connu sous le nom de UNC3944, araignée dispersée, porcs dispersés, octo tempest et 0ktapus - comme l'un des adversaires actuels les plus dangereux.
Microsoft last year described the threat actor - known as UNC3944, Scattered Spider, Scatter Swine, Octo Tempest, and 0ktapus - as one of the most dangerous current adversaries. |
Threat Cloud | ★★ | |
 |
2024-06-18 12:47:24 | CrowdStrike définit la vitesse de référence avec une détection de menace la plus rapide dans l'ingéniosité de la mitre ATT & CK & Reg;Évaluations: services gérés, tour 2 CrowdStrike Sets Speed Benchmark with Fastest-Ever Threat Detection in MITRE Engenuity ATT&CK® Evaluations: Managed Services, Round 2 (lien direct) |
Les équipes de sécurité doivent dépasser les adversaires de plus en plus rapides et sophistiqués pour rester en avance.Dans le dernier livre fermé à mitre, Att & # 38; CK & Reg;Évaluations: services gérés, The Crowdsstrike Falcon & Reg;La plate-forme a une fois de plus démontré qu'elle est seule dans sa capacité à fournir la vitesse et l'efficacité nécessaires pour arrêter les violations.Crowdsstrike Falcon Complete & Reg;Définition de détection et de réponse gérée (MDR) [& # 8230;]
Security teams must outpace increasingly fast and sophisticated adversaries to stay ahead. In the most recent closed-book MITRE Engenuity ATT&CK® Evaluations: Managed Services, the CrowdStrike Falcon® platform once again demonstrated it stands alone in its ability to deliver the speed and efficacy needed to stop breaches. CrowdStrike Falcon Complete® managed detection and response (MDR) sets […] |
Threat | ||
 |
2024-06-18 12:00:00 | Comment surveiller le trafic du réseau: Résultats du rapport Cisco Cyber Threat Tendances How to Monitor Network Traffic: Findings from the Cisco Cyber Threat Trends Report (lien direct) |
Le rapport sur les tendances des cyber-menaces Cisco examine les domaines malveillants pour les tendances et les modèles.Voyez ce que les données nous indiquent le paysage des menaces. 
The Cisco Cyber Threat Trends report examines malicious domains for trends and patterns. See what the data tells us about the threat landscape. |
Threat | ★★★ | |
 |
2024-06-18 11:03:00 | LevelBlue Labs découvre un nouveau chargeur très évasif ciblant les organisations chinoises LevelBlue Labs Discovers Highly Evasive, New Loader Targeting Chinese Organizations (lien direct) |
Executive Summary LevelBlue Labs recently discovered a new highly evasive loader that is being delivered to specific targets through phishing attachments. A loader is a type of malware used to load second-stage payload malware onto a victim’s system. Due to the lack of previous samples observed in the wild, LevelBlue Labs has named this malware “SquidLoader,” given its clear efforts at decoy and evasion. After analysis of the sample LevelBlue Labs retrieved, we uncovered several techniques SquidLoader is using to avoid being statically or dynamically analyzed. LevelBlue Labs first observed SquidLoader in campaigns in late April 2024, and we predict it had been active for at least a month prior. The second-stage payload malware that SquidLoader delivered in our sample is a Cobalt Strike sample, which had been modified to harden it against static analysis. Based on SquidLoader’s configuration, LevelBlue Labs has assessed that this same unknown actor has been observed delivering sporadic campaigns during the last two years, mainly targeting Chinese-speaking victims. Despite studying a threat actor who seems to focus on a specific country, their techniques and tactics may be replicated, possibly against non-Chinese speaking organizations in the near future by other actors or malware creators who try to avoid detections. Loader Analysis In late April 2024, LevelBlue Labs observed a few executables potentially attached to phishing emails. One of the samples observed was ‘914b1b3180e7ec1980d0bafe6fa36daade752bb26aec572399d2f59436eaa635’ with a Chinese filename translating to “Huawei industrial-grade router related product introduction and excellent customer cases.” All the samples LevelBlue Labs observed were named for Chinese companies, such as: China Mobile Group Shaanxi Co Ltd, Jiaqi Intelligent Technology, or Yellow River Conservancy Technical Institute (YRCTI). All the samples had descriptive filenames aimed at luring employees to open them, and they carried an icon corresponding to a Word Document, while in fact being executable binaries. These samples are loaders that download and execute a shellcode payload via a GET HTTPS request to the /flag.jpg URI. These loaders feature heavy evasion and decoy mechanisms which help them remain undetected while also hindering analysis. The shellcode that is delivered is also loaded in the same loader process, likely to avoid writing the payload to disk and thus risk being detected. Due to all the decoy and evasion techniques observed in this loader, and the absence of previous similar samples, LevelBlue Labs has named this malware “SquidLoader”. Most of the samples LevelBlue Labs observed use a legitimate expired certificate to make the file look less suspicious. The invalid certificate (which expired on July 15, 2021) was issued to Hangzhou Infogo Tech Co., Ltd. It has the thumbprint “3F984B8706702DB13F26AE73BD4C591C5936344F” and serial number “02 0E B5 27 BA C0 10 99 59 3E 2E A9 02 E3 97 CB.” However, it is not the only invalid certificate used to sign the malicious samples. The command and control (C&C) servers SquidLoader uses employ a self-signed certificate. In the course of this investigation all the discovered C&C servers use a certificate with the following fields for both the issuer and the subject: Common Name: localhost Organizational Unit: group Organization: Company Locality: Nanjing State/Province: Jiangsu Country: CN When first executed, the SquidLoader duplicates to a predefined location (unless the loader is already present) and then restarts from the new location. In this case the target location was C:\BakFiles\install.exe. This action appears to be an intentional decoy, executing the loader with a non-suspicio | Malware Tool Threat Mobile Prediction Technical | ★★ | |
 |
2024-06-18 05:00:00 | BlackBerry efficace contre Blackcat / AlphV et Menupass dans les évaluations de Mitre ATT & CK BlackBerry Effective Against BlackCat/ALPHV and menuPass in MITRE ATT&CK Evaluations (lien direct) |
BlackBerry a récemment participé aux évaluations d'atténuité d'Engenuity ATT & CK pour les services gérés.Cette série de tests indépendants a émulé les groupes BlackCat / AlphV et Menupass, soulignant la nécessité de solutions de sécurité robustes et adaptatives face à des adversaires sophistiqués.
BlackBerry recently participated in the MITRE Engenuity ATT&CK Evaluations for Managed Services. This round of independent testing emulated the BlackCat/ALPHV and menuPass threat groups, highlighting the need for robust, adaptive security solutions in the face of sophisticated adversaries. |
Threat | APT 10 | ★★ |
 |
2024-06-18 00:00:00 | Le président de la cybersécurité Donna O \\ 'Shea remporte le prestigieux innovationward. MTU Chair of Cyber Security Donna O\\'Shea Wins Prestigious InnovationAward. (lien direct) |
L'équipe Cyber Skills de Munster Technological University (MTU) est ravie de mettre en lumière une réalisation significative de notre chaire de cybersécurité, Dr Donna O \\ 'Shea.Donna a reçu le prestigieux Innovator Achievement Award 2024, présenté par Maggie Cusack, présidente de MTU, Josette O \\ 'Mullane, gestionnaire d'innovation et d'entreprise chez MTU et Michael Loftus, vice-président des affaires extérieures chez MTU.Ce prix reconnaît les contributions exceptionnelles de Donna à l'innovation et son dévouement à faire progresser la cybersécurité en MTU et au-delà.
Parlant du prix, le Dr Donna O \\ 'Shea a déclaré: «Je suis ravi de recevoir ce prix en reconnaissance du leadership éclairé de la cybersécurité, de l'innovation et de l'entrepreneuriat de Mtu \\.Cet impact que nous avons atteint est dû à l'engagement de l'équipe de recherche Cyber Explore que j'ai le privilège de diriger, et le soutien et le leadership de la fonction d'innovation et d'entreprise de MTU \\ ».Elle a ensuite expliqué comment l'innovation de cybersécurité est d'une importance cruciale.En raison du paysage de menace de plus en plus complexe et en expansion, nous avons besoin de cyber capacités indigènes développées.Cela offrira des opportunités pour engager des talents de main-d'œuvre existants.Par conséquent, cela soutient la création de nouvelles start-ups, emplois et investissements tout en développant simultanément des capacités de cybersécurité à l'intérieur de nos propres frontières.
La cérémonie de remise des prix a eu lieu aux Third Innovation Awards de Munster Technological University, organisé au Nimbus Research Center sur le campus de Bishopstown.Cet événement annuel célèbre le travail et les efforts que le personnel a mis dans leurs inventions et leurs collaborations de l'industrie de la recherche au cours de l'année.Cette année, les catégories de prix de cette année comprenaient:
• Prix du formulaire de divulgation d'invention (IDF) • Prix de collaboration de recherche sur l'industrie • Prix de réalisation de l'innovation
La cérémonie a commencé avec des présentations des nominés présentant leurs projets de formulaire de divulgation d'invention (IDF) de l'année écoulée.C'était fantastique de voir certaines des fabuleuses inventions divulguées par le personnel en 2023.
Les prix des juges pour le formulaire de divulgation d'invention (FDI) comprenaient David Corkery de l'University College Cork et Paul Dillon de l'Université de Limerick.David a souligné l'importance de ces récompenses pour reconnaître à la fois les individus et les opportunités, faisant remarquer que la concurrence est une entreprise collaborative.Il a discuté de l'importance d'apprendre les uns des autres et de s'efforcer de s'améliorer en tant que collectif et en tant qu'individus.
Nous avons été ravis d'apprendre que le Science Foundation Ireland Connect Center a honoré Donna O \\ 'Shea avec son prestigieux prix EPE lors de leur plénière annuel.Cette distinction reconnaît ses contributions exceptionnelles à la formation d'une vision de cybersécurité unifiée pour l'Irlande, qu'elle a présentée au comité conjoint des transports et des communications.Il a également reconnu son leadership dans le développement du service de contrôle de l'Irlande \\ (www.checkmylink.ie), visant à améliorer la cyber-résilience des citoyens de tous les jours.Gagner deux prix en une semaine est une réalisation remarquable.
The Cyber Skills team at Munster Technological University (MTU) is thrilled to spotlight a significant achievement by our Chair of Cybersecurity, Dr Donna O\'Shea. Donna has been awarded the prestigious Innovator Achievement Award 2024, presented by Maggie Cusack, President of MTU, Josette O\'Mullane, Innovation and Enterprise Manager at MTU and Michael Loftus, Vice President for External Affairs at MTU. This award acknowledges Donna\'s outstanding contributions to innovation and her dedication to advancing cybersecurit |
Threat | ★★ | |
|
2024-06-17 20:44:39 | Databee lance des innovations pour une surveillance améliorée des menaces et une implémentation de confiance zéro DataBee Launches Innovations for Enhanced Threat Monitoring and Zero Trust Implementation (lien direct) |
Pas de details / No more details | Threat | ★★ | |
|
2024-06-17 20:40:46 | CVE-2024-4577: exploitation continue d'une vulnérabilité de PHP critique CVE-2024-4577: Ongoing Exploitation of a Critical PHP Vulnerability (lien direct) |
## Instantané
Cyble Global Sensor Intelligence (CGSI) a détecté plusieurs tentatives de balayage liées à [CVE-2024-4577] (https://security.microsoft.com/intel-explorer/cves/cve-2024-4577/) provenant de divers emplacements.La vulnérabilité découle des erreurs dans les conversions de codage des caractères, affectant en particulier la fonction «la meilleure ajustement» sur les systèmes d'exploitation Windows.L'exploitation de cette faille pourrait potentiellement permettre aux acteurs de menace d'exécuter à distance du code arbitraire, posant des risques de sécurité importants aux installations PHP sur toutes les versions exécutées sur les plates-formes Windows.
## Description
Le 7 juin, PHP a publié un patch officiel pour aborder la vulnérabilité.Le lendemain, Watchtowr Labs a publié un code d'exploitation de preuve de concept (POC) pour le CVE-2024-4577 et les acteurs de la menace ont ensuite utilisé la vulnérabilité au déploiement du ransomware sur les systèmes vulnérables.CGSI rapporte plusieurs campagnes de logiciels malveillants associées à cette nouvelle vulnérabilité, inculant la campagne Ransomware de TellyouthPass et Muhstik malware.
Le CVE-2024-4577 a un impact explicitement sur le mode CGI de PHP \\, où le serveur Web interprète HTTP demande et les transmet à un script PHP pour le traitement.Si un personnage comme un trait d'union doux (0xad) est utilisé dans un paramètre URL, le gestionnaire CGI sur Windows, après sa cartographie de la meilleure ajustement, peut interpréter ce caractère différemment que prévu.Cette mauvaise interprétation permet à un attaquant d'exécuter du code arbitraire sur le serveur PHP vulnérable.
CGSI rapporte que l'exposition des instances de PHP potentiellement vulnérables est alarmante.Les organisations devraient donner la priorité aux mises à niveau vers les dernières versions PHP: 8.3.8, 8.2.20 et 8.1.29.
## Les références
[CVE-2024-4577: Exploitation continue d'une vulnérabilité de PHP critique] (https://cyble.com/blog/cve-2024-4577-ongoing-exploitation-of-a-critical-php-vulnerabilité/).Cyble Global Sensor Intelligence (consulté en 2024-06-17)
## Snapshot Cyble Global Sensor Intelligence (CGSI) has detected multiple scanning attempts related to [CVE-2024-4577](https://security.microsoft.com/intel-explorer/cves/CVE-2024-4577/) originating from various locations. The vulnerability stems from errors in character encoding conversions, particularly affecting the “Best Fit” feature on Windows operating systems. Exploiting this flaw could potentially enable threat actors to remotely execute arbitrary code, posing significant security risks to PHP installations across all versions running on Windows platforms. ## Description On June 7th, PHP released an official patch to address the vulnerability. The following day, WatchTowr Labs published a proof-of-concept (PoC) exploit code for CVE-2024-4577 and threat actors subsequently utilized the vulnerability to deploy ransomware on vulnerable systems. CGSI reports several malware campaigns associated with this new vulnerability, inculding the TellYouThePass ransomware campaign and Muhstik malware. CVE-2024-4577 explicitly impacts PHP\'s CGI mode, where the web server interprets HTTP requests and forwards them to a PHP script for processing. If a character like a soft hyphen (0xAD) is used in a URL parameter, the CGI handler on Windows, following its Best Fit mapping, may interpret this character differently than intended. This misinterpretation allows an attacker to execute arbitrary code on the vulnerable PHP server. CGSI reports that the exposure of potentially vulnerable PHP instances is alarmingly high. Organizations should prioritze upgrades to the latest PHP versions: 8.3.8, 8.2.20, and 8.1.29. ## References [CVE-2024-4577: Ongoing Exploitation of a Critical PHP Vulnerability](https://cyble.com/blog/cve-2024-4577-ongoing-exploitation-of-a-critical-php-vulnerability/). Cyble Glob |
Ransomware Malware Vulnerability Threat | ★★★ | |
|
2024-06-17 19:56:08 | KnowBe4 lance la fonctionnalité Intel Phisher Plus Threat KnowBe4 Launches PhishER Plus Threat Intel Feature (lien direct) |
Pas de details / No more details | Threat | ★★ | |
|
2024-06-17 19:39:10 | Le département du comté de la violation des données de santé publique a un impact sur 200K LA County Dept. of Public Health Data Breach Impacts 200K (lien direct) |
Les acteurs de la menace ont pu violer le département en utilisant les informations d'identification accessibles via des e-mails de phishing.
Threat actors were able to breach the department using the credentials accessed through phishing emails. |
Data Breach Threat | ★★ | |
|
2024-06-17 16:56:55 | Chine \\ 'S \\' Velvet Ant \\ 'APT NESTS À l'intérieur de l'effort d'espionnage pluriannuel China\\'s \\'Velvet Ant\\' APT Nests Inside Multiyear Espionage Effort (lien direct) |
La campagne est particulièrement remarquable pour les durées remarquables auxquelles l'acteur de menace est allé maintenir la persistance de l'environnement cible.
The campaign is especially notable for the remarkable lengths to which the threat actor went to maintain persistence on the target environment. |
Threat | ★★ | |
|
2024-06-17 15:24:05 | Évaluer la maturité de la cybersécurité avec les contrôles critiques de SANS ICS 5 Assessing OT Cybersecurity Maturity with the SANS ICS 5 Critical Controls (lien direct) |
> Alors que le paysage des menaces de cybersécurité continue de se développer, les organisations doivent adopter des cadres robustes pour protéger leurs systèmes de contrôle industriel (ICS) ....
Le post évaluation de la maturité de la cybersécurité avec le SANSICS 5 Contrôles critiques est apparu pour la première fois sur dragos .
>As the cybersecurity threat landscape continues to expand, organizations must adopt robust frameworks to safeguard their industrial control systems (ICS).... The post Assessing OT Cybersecurity Maturity with the SANS ICS 5 Critical Controls first appeared on Dragos. |
Threat Industrial | ★★★ | |
 |
2024-06-17 15:20:04 | 17 juin & # 8211;Rapport de renseignement sur les menaces 17th June – Threat Intelligence Report (lien direct) |
> Pour les dernières découvertes en cyber recherche pour la semaine du 17 juin, veuillez télécharger notre bulletin de renseignement sur les menaces.Les principales attaques et violation d'une attaque ciblant les bases de données des clients de Snowflake, identifiées comme le travail de l'acteur de menace UNC5537, ont conduit à un vol de données et à une extorsion significatifs.UNC5537 a utilisé des informations d'identification des clients de flocon de neige, obtenues principalement auprès d'infostaler [& # 8230;]
>For the latest discoveries in cyber research for the week of 17th June, please download our Threat Intelligence Bulletin. TOP ATTACKS AND BREACHES An attack targeting Snowflake customer databases, identified as the work of threat actor UNC5537, has led to significant data theft and extortion. UNC5537 used stolen Snowflake customer credentials, obtained mainly from infostealer […] |
Threat | ★★ | |
|
2024-06-17 14:10:41 | Smalltiger Maleware utilisés dans les attaques contre les entreprises sud-coréennes (Kimsuky et Andariel) SmallTiger Malware Used in Attacks Against South Korean Businesses (Kimsuky and Andariel) (lien direct) |
#### Targeted Geolocations - Korea ## Snapshot The AhnLab Security Intelligence Center (ASEC) has reported on a series of cyberattacks targeting South Korean businesses utilizing the SmallTiger malware. ## Description While the initial access method remains unidentified, SmallTiger is introduced during the lateral movement phase within the affected companies\' systems. Notably, the targets include South Korean defense contractors, automobile part manufacturers, and semiconductor manufacturers. Initially discovered in November 2023, the attacks showed characteristics of the "Kimsuky" group\'s tactics, but deviated by leveraging software updater programs for internal propagation. Moreover, the presence of DurianBeacon, previously associated with Andariel group attacks, was detected in the compromised systems. Subsequent attacks in February 2024 continued to employ SmallTiger, with variations observed in the malware\'s distribution methods and payloads. ASEC mentions additonal cases which include DurianBeacon attack utalizing MultiRDP Malware and Meterpreter in Novemner 2023, and another SmallTiger attack where the threat actor installed Mimikatz and ProcDump to hijack system credentials. ## Detections/Hunting Queries Microsoft Defender for Endpoint Alerts with the following titles in the security center can indicate threat activity on your network: - Mimikatz credential theft tool The following alerts might also indicate threat activity associated with this threat. These alerts, however, can be triggered by unrelated threat activity and are not monitored in the status cards provided with this report. - Malicious credential theft tool execution detected - Suspicious access to LSASS service ## Recommendations Microsoft recommends the following mitigations to reduce the impact of Information Stealer threats. - Check your Office 365 email filtering settings to ensure you block spoofed emails, spam, and emails with malware. Use [Microsoft Defender for Office 365](https://learn.microsoft.com/microsoft-365/security/office-365-security/defender-for-office-365?ocid=magicti_ta_learndoc) for enhanced phishing protection and coverage against new threats and polymorphic variants. Configure Microsoft Defender for Office 365 to [recheck links on click](https://learn.microsoft.com/microsoft-365/security/office-365-security/safe-links-about?ocid=magicti_ta_learndoc) and [delete sent mail](https://learn.microsoft.com/microsoft-365/security/office-365-security/zero-hour-auto-purge?ocid=magicti_ta_learndoc) in response to newly acquired threat intelligence. Turn on [safe attachments policies](https://learn.microsoft.com/microsoft-365/security/office-365-security/safe-attachments-policies-configure?ocid=magicti_ta_learndoc) to check attachments to inbound email. - Encourage users to use Microsoft Edge and other web browsers that support [SmartScreen](https://learn.microsoft.com/microsoft-365/security/defender-endpoint/web-protection-overview?ocid=magicti_ta_learndoc), which identifies and blocks malicious websites, including phishing sites, scam sites, and sites that host malware. - Turn on [cloud-delivered protection](https://learn.microsoft.com/microsoft-365/security/defender-endpoint/configure-block-at-first-sight-microsoft-defender-antivirus?ocid=magicti_ta_learndoc) in Microsoft Defender Antivirus, or the equivalent for your antivirus product, to cover rapidly evolving attacker tools and techniques. Cloud-based machine learning protections block a majority of new and unknown variants. - Enforce MFA on all accounts, remove users excluded from MFA, and strictly [require MFA](https://learn.microsoft.com/azure/active-directory/identity-protection/howto-identity-protection-configure-mfa-policy?ocid=magicti_ta_learndoc) from all devices, in all locations, at all times. - Enable passwordless authentication methods (for example, Windows Hello, FIDO keys, or Microsoft Authenticator) for accounts that support passwordle | Ransomware Spam Malware Tool Threat | ★★★ | |
|
2024-06-17 13:50:51 | Attaques cyber : le XDR, solution miracle ? (lien direct) | Les attaques cyber se multiplient, difficile d'y échapper. Pour ce faire, les solutions doivent être innovantes et anticiper au mieux le moindre risque. Dernière solution en date, le XDR, qui utilise l'IA et l'automatisation dans la détection au peigne fin des menaces. " Souvent lors d'une première intrusion, un acteur malveillant commence par compromettre les identifiants VPN en exploitant une vulnérabilité de type zero-day. Dès lors, il va pouvoir réaliser de nombreuses actions en se déplaçant à (...) - Points de Vue | Vulnerability Threat | ★★★ | |
|
2024-06-17 13:30:00 | Les universitaires développent des tests de référence pour les LLM dans l'intelligence cyber-menace Academics Develop Testing Benchmark for LLMs in Cyber Threat Intelligence (lien direct) |
Des chercheurs du Rochester Institute of Technology ont introduit une référence conçue pour évaluer les modèles de grande langue \\ 'Performance dans les applications de renseignement cyber-menace
Researchers from the Rochester Institute of Technology introduced a benchmark designed to assess large language models\' performance in cyber threat intelligence applications |
Threat | ★★ | |
|
2024-06-17 11:58:00 | Les pirates exploitent des sites Web légitimes pour livrer la porte dérobée des Windows Badspace Hackers Exploit Legitimate Websites to Deliver BadSpace Windows Backdoor (lien direct) |
Les sites Web légitimes mais compromis sont utilisés comme un conduit pour livrer une porte dérobée Windows badspace sous le couvert de fausses mises à jour du navigateur.
"L'acteur de menace utilise une chaîne d'attaque à plusieurs étapes impliquant un site Web infecté, un serveur de commande et de contrôle (C2), dans certains cas une fausse mise à jour du navigateur et un téléchargeur JScript pour déployer une porte dérobée dans la victime \\système, "allemand
Legitimate-but-compromised websites are being used as a conduit to deliver a Windows backdoor dubbed BadSpace under the guise of fake browser updates. "The threat actor employs a multi-stage attack chain involving an infected website, a command-and-control (C2) server, in some cases a fake browser update, and a JScript downloader to deploy a backdoor into the victim\'s system," German |
Threat | ★★ | |
|
2024-06-17 11:42:19 | Faits saillants hebdomadaires, 17 juin 2024 Weekly OSINT Highlights, 17 June 2024 (lien direct) |
## Snapshot Last week\'s OSINT reporting reveals a landscape of cyber threats involving diverse and sophisticated attack strategies by state-sponsored actors and cybercrime organizations. The reports showcase various attack vectors, including phishing campaigns, exploitation of cloud services, and use of malware such as RATs, ransomware, and infostealers. Key threat actors like UNC5537, Kimsuky, and Cosmic Leopard are targeting sectors ranging from cloud computing and aviation to military and government entities, often leveraging stolen credentials and exploiting software vulnerabilities. These incidents underscore the critical need for robust security practices, such as multi-factor authentication and regular credential updates, to defend against increasingly complex and targeted cyber threats. ## Description 1. **[Warmcookie Malware Campaign](https://sip.security.microsoft.com/intel-explorer/articles/d5d815ce)**: Elastic Security Labs identified Warmcookie, a Windows malware distributed via fake job offer phishing campaigns. The malware establishes C2 communication to gather victim information, execute commands, and drop files, with the campaign ongoing and targeting users globally. 2. **[Snowflake Data Theft](https://sip.security.microsoft.com/intel-explorer/articles/3cb4b4ee)**: Mandiant uncovered UNC5537 targeting Snowflake customers to steal data and extort victims using stolen credentials from infostealer malware. The campaign highlights poor credential management and the absence of MFA, prompting Snowflake to issue security guidance. 3. **[IcedID, Cobalt Strike, and ALPHV Ransomware](https://sip.security.microsoft.com/intel-explorer/articles/b74a41ff)**: DFIR Report analyzed a cyber intrusion deploying IcedID via malicious emails, followed by Cobalt Strike for remote control and ALPHV ransomware for encryption. Attackers used various tools for persistence, reconnaissance, and data exfiltration, showcasing a complex multi-stage attack. 4. **[ValleyRAT Multi-Stage Campaign](https://sip.security.microsoft.com/intel-explorer/articles/c599ee92)**: Zscaler ThreatLabz identified a campaign deploying an updated ValleyRAT by China-based threat actors, using phishing emails and HTTP File Server for malware delivery. The RAT includes advanced evasion techniques and enhanced data collection capabilities. 5. **[APT Attacks Using Cloud Services](https://sip.security.microsoft.com/intel-explorer/articles/bebf8696)**: AhnLab Security Intelligence Center reported APT attacks leveraging Google Drive, OneDrive, and Dropbox to distribute malware. Attackers use malicious scripts and RAT strains to collect user information and perform various malicious activities. 6. **[CoinMiner vs. Ransomware Conflict](https://sip.security.microsoft.com/intel-explorer/articles/58dd52ff)**: ASEC described an incident where a CoinMiner attacker\'s proxy server was compromised by a ransomware actor\'s RDP scan attack. The CoinMiner botnet infection through MS-SQL server vulnerabilities was disrupted by the ransomware attack, illustrating inter-threat actor conflicts. 7. **[Sticky Werewolf Campaign](https://sip.security.microsoft.com/intel-explorer/articles/e3b51ad8)**: Morphisec Labs discovered Sticky Werewolf targeting the aviation industry with phishing campaigns using LNK files. The group, with suspected geopolitical ties, employs CypherIT Loader/Crypter for payload delivery and anti-analysis measures. 8. **[Kimsuky\'s Espionage Campaign](https://sip.security.microsoft.com/intel-explorer/articles/ab73cf6f)**: BlackBerry identified North Korea\'s Kimsuky group targeting a Western European weapons manufacturer with spear-phishing emails containing malicious JavaScript. The campaign underscores the growing threat of cyber espionage in the military sector. 9. **[Operation Celestial Force](https://sip.security.microsoft.com/intel-explorer/articles/0dccc722)**: Cisco Talos reported Cosmic Leopard\'s espionage campaign using GravityRAT and HeavyLift, targeting Indian defense and government sectors. The campaign em | Ransomware Malware Tool Vulnerability Threat Mobile Cloud | ★★ | |
 |
2024-06-17 11:08:19 | Utilisation de LLMS pour exploiter les vulnérabilités Using LLMs to Exploit Vulnerabilities (lien direct) |
Recherche intéressante: & # 8220; Les équipes d'agents LLM peuvent exploiter les vulnérabilités de jour zéro . & # 8221;
Résumé: Les agents LLM sont devenus de plus en plus sophistiqués, en particulier dans le domaine de la cybersécurité.Les chercheurs ont montré que les agents LLM peuvent exploiter les vulnérabilités du monde réel lorsqu'ils ont donné une description de la vulnérabilité et des problèmes de capture de jouets.Cependant, ces agents fonctionnent encore mal sur les vulnérabilités du monde réel qui sont inconnues à l'agent à l'avance (vulnérabilités zéro-jour).
Dans ce travail, nous montrons que des équipes d'agents LLM peuvent exploiter les vulnérabilités réelles et zéro jour.Les agents antérieurs ont du mal à explorer de nombreuses vulnérabilités différentes et une planification à long terme lorsqu'elles sont utilisées seule.Pour résoudre ce problème, nous introduisons HPTSA, un système d'agents avec un agent de planification qui peut lancer des sous-agents.L'agent de planification explore le système et détermine les sous-agents à appeler, en résolvant des problèmes de planification à long terme lors de l'essai de différentes vulnérabilités.Nous construisons une référence de 15 vulnérabilités du monde réel et montrons que notre équipe d'agents s'améliore sur les travaux antérieurs jusqu'à 4,5 et fois; ...
Interesting research: “Teams of LLM Agents can Exploit Zero-Day Vulnerabilities.” Abstract: LLM agents have become increasingly sophisticated, especially in the realm of cybersecurity. Researchers have shown that LLM agents can exploit real-world vulnerabilities when given a description of the vulnerability and toy capture-the-flag problems. However, these agents still perform poorly on real-world vulnerabilities that are unknown to the agent ahead of time (zero-day vulnerabilities). In this work, we show that teams of LLM agents can exploit real-world, zero-day vulnerabilities. Prior agents struggle with exploring many different vulnerabilities and long-range planning when used alone. To resolve this, we introduce HPTSA, a system of agents with a planning agent that can launch subagents. The planning agent explores the system and determines which subagents to call, resolving long-term planning issues when trying different vulnerabilities. We construct a benchmark of 15 real-world vulnerabilities and show that our team of agents improve over prior work by up to 4.5×... |
Vulnerability Threat | ★★ | |
|
2024-06-17 10:41:00 | Neuterat Malware cible les utilisateurs sud-coréens via un logiciel fissuré NiceRAT Malware Targets South Korean Users via Cracked Software (lien direct) |
Des acteurs de menace ont été observés en déploiement d'un malware appelé benerat pour coopt les appareils infectés dans un botnet.
Les attaques, qui ciblent les utilisateurs sud-coréens, sont conçues pour propager les logiciels malveillants sous le couvert de logiciels fissurés, tels que Microsoft Windows, ou des outils qui prétendent offrir une vérification de licence pour Microsoft Office.
"En raison de la nature des programmes de crack, le partage d'informations entre
Threat actors have been observed deploying a malware called NiceRAT to co-opt infected devices into a botnet. The attacks, which target South Korean users, are designed to propagate the malware under the guise of cracked software, such as Microsoft Windows, or tools that purport to offer license verification for Microsoft Office. "Due to the nature of crack programs, information sharing amongst |
Malware Tool Threat | ★★★ | |
|
2024-06-17 10:00:00 | Battre la chaleur et les cyber-menaces cet été Beat the Heat and Cyber Threats This Summer (lien direct) |
The content of this post is solely the responsibility of the author. LevelBlue does not adopt or endorse any of the views, positions, or information provided by the author in this article. Summer is a time for relaxation, travel, and spending quality moments with family and friends. However, it is also peak season for cybercriminals who exploit the vulnerabilities that arise during this period. Cyberattacks surge during the summer holiday season as businesses and individuals let their guard down. Many companies operate with reduced staff as employees take time off, leaving fewer eyes on critical systems and security measures. Cybersecurity teams, often stretched thin, may not be able to respond as swiftly to threats. Additionally, individuals on vacation might be more inclined to use unsecured networks, fall for enticing travel deals, or overlook phishing attempts amidst their holiday activities. The importance of staying vigilant and informed about common summer scams cannot be overstated. By understanding these threats and taking proactive steps to protect ourselves, we can enjoy our summer holidays without falling victim to these opportunistic attacks. The Surge in Summer Cyberattacks Summer sees a marked increase in cyberattacks, with statistics indicating a significant rise in incidents during this period. For instance, in June alone, cyberattacks globally surged by an alarming 60%. This increase can be attributed to several factors that make the summer season particularly attractive to cybercriminals. One primary reason is the reduction in staff across businesses as employees take their vacations. This often results in Security Operations Centers (SOCs) operating with minimal personnel, reducing the ability to monitor and respond to threats effectively. Additionally, with key cybersecurity professionals out of the office, the remaining team may struggle to maintain the same level of protection. Increased travel also plays an important role. Individuals on vacation are more likely to use unsecured networks, such as public Wi-Fi in airports, hotels, and cafes, which can expose them to cyber threats. Moreover, the general relaxation mindset that accompanies holiday activities often leads to a decrease in caution, making individuals more susceptible to scams and phishing attacks. The impact of this surge in cyberattacks is significant for both individuals and businesses. For individuals, it can mean the loss of personal information and financial assets. For businesses, these attacks can lead to data breaches, financial losses, and reputational damage. Therefore, it is crucial to remain vigilant and take preventive measures during the summer season to mitigate these risks. How to Recognize and Avoid Seasonal Cyber Threats As summer rolls around, cybercriminals ramp up their efforts to expose the relaxed and often less vigilant attitudes of individuals and businesses. Here are some of the most prevalent scams to watch out for during the summer season. Fake Travel Deals One of the most common summer scams involves fake travel deals. Cybercriminals create enticing offers for vacation packages, flights, and accommodations that seem too good to be true. These offers are often promoted through fake websites, social media ads, and phishing emails. Once victims enter their personal and financial information to book these deals, they quickly realize that the offers were fraudulent, and their information is compromised, leading to issues such as identity theft. | Malware Tool Vulnerability Threat Legislation | ★★ | |
 |
2024-06-17 09:56:33 | China-Nexus Threat Group \\ 'Velvet Ant \\' ABUSES F5 Balancers de charge pour la persistance China-Nexus Threat Group \\'Velvet Ant\\' Abuses F5 Load Balancers for Persistence (lien direct) |
> Découvrez l'enquête médico-légale détaillée de Sygnia dans la cyberattaque sophistiquée par Velvet Ant sur une grande organisation.
>Discover the detailed forensic investigation by Sygnia into the sophisticated cyber attack by Velvet Ant on a major organization. |
Threat | ||
 |
2024-06-17 05:00:43 | Du presse-papiers au compromis: un PowerShell Self-PWN From Clipboard to Compromise: A PowerShell Self-Pwn (lien direct) |
Key findings Proofpoint researchers identified an increasingly popular technique leveraging unique social engineering to run PowerShell and install malware. Researchers observed TA571 and the ClearFake activity cluster use this technique. Although the attack chain requires significant user interaction to be successful, the social engineering is clever enough to present someone with what looks like a real problem and solution simultaneously, which may prompt a user to take action without considering the risk. Overview Proofpoint has observed an increase in a technique leveraging unique social engineering that directs users to copy and paste malicious PowerShell scripts to infect their computers with malware. Threat actors including initial access broker TA571 and at least one fake update activity set are using this method to deliver malware including DarkGate, Matanbuchus, NetSupport, and various information stealers. Whether the initial campaign begins via malspam or delivered via web browser injects, the technique is similar. Users are shown a popup textbox that suggests an error occurred when trying to open the document or webpage, and instructions are provided to copy and paste a malicious script into the PowerShell terminal, or the Windows Run dialog box to eventually run the script via PowerShell. Proofpoint has observed this technique as early as 1 March 2024 by TA571, and in early April by the ClearFake cluster, as well as in early June by both clusters. Campaign Details ClearFake example Our researchers first observed this technique with the ClearFake campaign in early April and we have observed it used in every ClearFake campaign since then. ClearFake is a fake browser update activity cluster that compromises legitimate websites with malicious HTML and JavaScript. In observed campaigns, when a user visited a compromised website, the injection caused the website to load a malicious script hosted on the blockchain via Binance\'s Smart Chain contracts, a technique known as "EtherHiding". The initial script then loaded a second script from a domain that used Keitaro TDS for filtering. If this second script loaded and passed various checks, and if the victim continued to browse the website, they were presented with a fake warning overlay on the compromised website. This warning instructed them to install a "root certificate" to view the website correctly. Malicious fake warning instructing recipients to copy a PowerShell script and run it in the PowerShell Terminal. The message included instructions to click a button to copy a PowerShell script and then provided steps on how to manually run this script on the victim\'s computer. If the instructions were followed, the user executed the PowerShell by pasting it into the PowerShell command line interface window. In campaigns in May, we observed the following chain: The script performed various functions including flushing the DNS cache, removing clipboard content, displaying a decoy message to the user, and downloading a remote PowerShell script and execute it in-memory. The second PowerShell script was essentially used to download yet another PowerShell script. This third PowerShell script obtained system temperatures via WMI and, if no temperature was returned as in the case of many virtual environments and sandboxes, exited the script. However, if it continued, it led to a fourth AES-encrypted PowerShell script that downloaded a file named “data.zip” and extracted the contents to find and execute any .exe files, and then reported back to the ClearFake C2 that the installation was completed. The threat actor used ZIP\'s ability to contain any executable and bundled various legitimate, signed executables that side-loaded a trojanized DLL. This DLL used DOILoader (also known as IDAT Loader or HijackLoader) to load Lumma Stealer from an encrypted file, also included in the downloaded ZIP file. Lumma Stealer then, in addition to p | Ransomware Spam Malware Threat Prediction | ★★★ | |
|
2024-06-17 00:43:16 | Analyse du cas d'attaque Installation de VPN douce sur le serveur ERP coréen Analysis of Attack Case Installing SoftEther VPN on Korean ERP Server (lien direct) |
Ahnlab Security Intelligence Center (ASEC) a récemment découvert un cas d'attaque où un acteur de menace a attaqué le serveur ERPd'une société coréenne et installé un serveur VPN.Dans le processus de compromis initial, l'acteur de menace a attaqué le service MS-SQL et a ensuite installé un shell Web pour maintenir la persistance et contrôler le système infecté.Ils ont ensuite finalement installé Softether VPN pour utiliser le système infecté en tant que serveur VPN.1. Les services proxy et VPN proxy et VPN sont des technologies qui ...
AhnLab SEcurity intelligence Center (ASEC) has recently discovered an attack case where a threat actor attacked the ERP server of a Korean corporation and installed a VPN server. In the initial compromise process, the threat actor attacked the MS-SQL service and later installed a web shell to maintain persistence and control the infected system. They then ultimately installed SoftEther VPN to utilize the infected system as a VPN server. 1. Proxy and VPN Services Proxy and VPN are technologies that... |
Threat | ★★ |
To see everything:
Our RSS (filtrered)
