What's new arround internet
| Src | Date (GMT) | Titre | Description | Tags | Stories | Notes |
 |
2024-07-23 17:58:00 | Les pirates chinois ciblent Taiwan et les ONG américaines avec des logiciels malveillants MGBOT Chinese Hackers Target Taiwan and US NGO with MgBot Malware (lien direct) |
Les organisations de Taïwan et une organisation non gouvernementale américaine (ONG) basée en Chine ont été ciblées par un groupe de piratage parrainé par l'État affilié à Pékin appelé Daggerfly à l'aide d'un ensemble amélioré d'outils de logiciels malveillants.
La campagne est un signe que le groupe "s'engage également dans l'espionnage interne", a déclaré aujourd'hui un nouveau rapport publié aujourd'hui."Dans l'attaque de
Organizations in Taiwan and a U.S. non-governmental organization (NGO) based in China have been targeted by a Beijing-affiliated state-sponsored hacking group called Daggerfly using an upgraded set of malware tools. The campaign is a sign that the group "also engages in internal espionage," Symantec\'s Threat Hunter Team, part of Broadcom, said in a new report published today. "In the attack on |
Malware Tool Threat | ||
|
2024-07-23 15:42:00 | Sites Magento ciblés avec un skimmer de carte de crédit sournois via des fichiers d'échange Magento Sites Targeted with Sneaky Credit Card Skimmer via Swap Files (lien direct) |
Les acteurs de la menace ont été observés à l'aide de fichiers d'échange dans des sites Web compromis pour cacher un skimmer de carte de crédit persistant et récolter les informations de paiement.
La technique sournoise, observée par SUCURI sur une page de caisse de Magento E-Commerce Site \\, a permis aux logiciels malveillants de survivre à plusieurs tentatives de nettoyage, a indiqué la société.
L'écumateur est conçu pour capturer toutes les données dans le formulaire de carte de crédit sur le
Threat actors have been observed using swap files in compromised websites to conceal a persistent credit card skimmer and harvest payment information. The sneaky technique, observed by Sucuri on a Magento e-commerce site\'s checkout page, allowed the malware to survive multiple cleanup attempts, the company said. The skimmer is designed to capture all the data into the credit card form on the |
Malware Threat | ||
|
2024-07-23 14:33:00 | Institutions ukrainiennes ciblées à l'aide de Hatvibe et de logiciels malveillants Cherryspy Ukrainian Institutions Targeted Using HATVIBE and CHERRYSPY Malware (lien direct) |
L'équipe d'intervention d'urgence informatique d'Ukraine (CERT-UA) a alerté une campagne de phistes de lance ciblant une institution de recherche scientifique dans le pays avec des logiciels malveillants connus sous le nom de Hatvibe et Cherryspy.
L'agence a attribué l'attaque à un acteur de menace qu'il suit sous le nom de l'UAC-0063, qui était précédemment observé ciblant diverses entités gouvernementales pour recueillir des informations sensibles en utilisant
The Computer Emergency Response Team of Ukraine (CERT-UA) has alerted of a spear-phishing campaign targeting a scientific research institution in the country with malware known as HATVIBE and CHERRYSPY. The agency attributed the attack to a threat actor it tracks under the name UAC-0063, which was previously observed targeting various government entities to gather sensitive information using |
Malware Threat | ||
 |
2024-07-23 13:00:00 | Zimperium est nommé leader dans le Forrester Wave ™ pour MTD Zimperium is Named a Leader in the Forrester Wave™ for MTD (lien direct) |
> Nous sommes ravis de partager que Zimperium a été nommé chef de file dans le Forrester Wave ™: Mobile Threat Defence Solutions, Q3 2024.
>We are excited to share that Zimperium has been named a Leader in The Forrester Wave ™ : Mobile Threat Defense Solutions, Q3 2024. |
Threat Mobile Commercial | ||
 |
2024-07-23 12:00:07 | La suite de protection des utilisateurs sécurise contre les tendances d'attaque des ransomwares TALOS TOP TALOS User Protection Suite Secures Against Talos Top Ransomware Attack Trends (lien direct) |
Découvrez le premier épisode de Talo \\ de Talos Threat Perspective et comment la suite de protection des utilisateurs de Cisco \\ peut fournir une approche en couches de la sécurité. 
Discover Talo\'s first episode of Talos Threat Perspective and how Cisco\'s User Protection Suite can provide a layered approach to security.  |
Ransomware Threat | ||
 |
2024-07-23 11:43:09 | Naviguer dans le cyber paysage: comprendre l'intelligence des menaces Navigating the Cyber Landscape: Understanding Threat Intelligence (lien direct) |
Dans le monde numérique d'aujourd'hui, la cybersécurité est une préoccupation majeure pour les organisations de toutes tailles.À mesure que notre dépendance à l'égard de la technologie augmente, les risques associés aux cyber-menaces.De nombreuses organisations se tournent vers les renseignements sur les menaces en tant que composante essentielle de leur stratégie de sécurité pour relever ces défis.Cet article explique l'intelligence des menaces dans claire et simple [...]
In today’s digital world, cybersecurity is a top concern for organizations of all sizes. As our reliance on technology grows, so do the risks associated with cyber threats. Many organizations are turning to threat intelligence as a critical component of their security strategy to address these challenges. This article explains threat intelligence in clear, straightforward [...] |
Threat | ||
 |
2024-07-23 11:21:00 | Symantec expose le jeu d'outils mis à jour Daggerfly au milieu des activités d'espionnage sur les plateformes mondiales Symantec exposes Daggerfly updated toolset amidst espionage activities across global platforms (lien direct) |
L'équipe Symantec Threat Hunter a rapporté mardi des mises à jour significatives de l'ensemble d'outils du groupe d'espionnage Daggerfly ...
The Symantec Threat Hunter Team reported on Tuesday significant updates to the toolset of the espionage group Daggerfly... |
Threat | ||
 |
2024-07-23 11:00:48 | CISA Issues AVERTISSEMENT: La panne de crowdsstrike peut entraîner des attaques de phishing et de logiciels malveillants CISA Issues Warning: CrowdStrike Outage May Lead to Phishing and Malware Attacks (lien direct) |
> L'Agence de sécurité de la cybersécurité et de l'infrastructure (CISA) a émis une alerte urgente concernant la récente panne de crowdsstrike, avertissant que les acteurs malveillants exploitent activement la situation pour mener le phishing et d'autres cyberattaques.Les principaux avertissements cisa de la CISA ont souligné plusieurs points critiques dans leur alerte: les acteurs de la menace profitent de la panne de crowdsstrike pour malveillance [& # 8230;]
Le post CISA Problèmes d'avertissement: la panne de crowdsstrike peut êtreConduire à des attaques de phishing et de logiciels malveillants C'est apparu pour la première fois sur slashnext .
>The Cybersecurity and Infrastructure Security Agency (CISA) has issued an urgent alert regarding the recent CrowdStrike outage, warning that malicious actors are actively exploiting the situation to conduct phishing and other cyber attacks. CISA’s Key Warnings CISA emphasized several critical points in their alert: Threat actors are taking advantage of the CrowdStrike outage for malicious […] The post CISA Issues Warning: CrowdStrike Outage May Lead to Phishing and Malware Attacks first appeared on SlashNext. |
Malware Threat | ||
 |
2024-07-23 10:40:35 | Télégramme de la livraison de logiciels malveillants activés par télégramme Telegram Zero-Day Enabled Malware Delivery (lien direct) |
> La vulnérabilité de l'ultervideo zéro-jour dans le télégramme pour Android a permis aux acteurs de menace d'envoyer des fichiers malveillants déguisés en vidéos.
>The EvilVideo zero-day vulnerability in Telegram for Android allowed threat actors to send malicious files disguised as videos. |
Malware Vulnerability Threat Mobile | ||
 |
2024-07-23 10:34:25 | Escalade des privilèges: démêler une nouvelle technique de cyber-attaque Privilege escalation: unravelling a novel cyber-attack technique (lien direct) |
Les cybercriminels sont notoirement implacables et impitoyables dans leur quête pour exploiter les vulnérabilités à travers des tactiques en constante évolution.Les organisations peuvent croire que leurs cadres de sécurité sont robustes, mais lorsqu'ils sont confrontés à des méthodes d'attaque sans précédent, personne n'est entièrement à l'abri de l'infiltration.Plus tôt cette année, une société d'agriculture multinationale a appris cela à la dure lorsqu'elle a été victime de [& # 8230;]
Le post Escalade du privilège: démêler un nouveauTechnique de cyber-attaque est apparue pour la première fois sur gourou de la sécurité informatique .
Cyber criminals are notoriously relentless and unforgiving in their quest to exploit vulnerabilities through ever-evolving tactics. Organisations may believe that their security frameworks are robust, but when confronted with unprecedented attack methods, nobody is entirely immune to infiltration. Earlier this year, a multinational agriculture company learnt this the hard way when they fell victim to […] The post Privilege escalation: unravelling a novel cyber-attack technique first appeared on IT Security Guru. |
Vulnerability Threat | ||
 |
2024-07-23 09:00:45 | Les logiciels malveillants de Frostygoop ont arrêté la chaleur à 600 immeubles d'appartements ukrainiens FrostyGoop malware shut off heat to 600 Ukraine apartment buildings (lien direct) |
d'abord méchant pour exploiter les modbus pour visser avec des appareils technologiques opérationnels un logiciel malveillant auparavant invisible, surnommé Frostygoop, capable de perturber les processus industriels a été utilisé dans une cyberattaque contre une entreprise d'énergie de district en Ukraine Last Northern Hiver,résultant en deux jours sans chaleur pour des centaines de personnes à des températures inférieures à zéro…
First nasty to exploit Modbus to screw with operational tech devices A previously unseen malware, dubbed FrostyGoop, able to disrupt industrial processes was used in a cyberattack against a district energy company in Ukraine last northern winter, resulting in two days without heat for hundreds of people during sub-zero temperatures.… |
Malware Threat Industrial | ||
 |
2024-07-23 08:01:46 | Dévoiler l'arnaque: comment les fraudeurs abusent des protocoles de blockchain légitimes pour voler votre portefeuille de crypto-monnaie Unveiling the Scam: How Fraudsters Abuse Legitimate Blockchain Protocols to Steal Your Cryptocurrency Wallet (lien direct) |
> Le système d'Intel Blockchain du point de contrôle a identifié et alerté que ces derniers temps, les fraudeurs ont évolué pour devenir de plus en plus sophistiqué, exploitant des protocoles légitimes de blockchain pour mener leurs escroqueries.Le protocole uniswap, lancé en 2018, est l'échange décentralisé le plus grand et le plus populaire pour l'échange de jetons de crypto-monnaie sur Ethereum et d'autres blockchains populaires, verrouillant plus de 1,8 $ [& # 8230;]
>Check Point\'s Threat Intel blockchain system identified and alerted that in recent times, fraudsters have evolved to become increasingly sophisticated, exploiting legitimate blockchain protocols to conduct their scams. The Uniswap Protocol, launched in 2018, is the largest and most popular decentralized exchange for swapping cryptocurrency tokens on Ethereum and other popular blockchains, locking over $1.8 […] |
Threat | ||
 |
2024-07-23 06:00:00 | ProofPoint ouvre la voie à la protection des personnes et à la défense des données avec un quartier central Proofpoint Leads the Way in Protecting People and Defending Data with a Pivotal Quarter (lien direct) |
Throughout my interactions with customers and prospects, CISOs unanimously point to one constant in the cybersecurity equation: the human element. Now research backs up this anecdotal top note: our 2024 Voice of the CISO report1 published in May found that 74% of CISOs rank human-centric cyber risks as their top concern. Proofpoint\'s human-centric security platform is the only modern security architecture that takes a comprehensive, adaptive, and effective approach to protect against the three critical human risks impacting organizations-human-targeted threats, data loss and human error. We are very pleased with Q2, continuing to drive strong business momentum, delivering first-to-market innovations and expanding our ecosystem partnerships. Business Momentum for Proofpoint Continues in Q2 Our ability to solve our customers\' most complex problems drove strong results in the second quarter of 2024, with notable highlights including: Revenues and Annual Recurring Revenue (ARR) up in the mid-teens. Over 500 new enterprise organizations are entrusting Proofpoint as their cybersecurity partner of choice in Q2 2024. Record business growth in information protection and insider risk management, clearly establishing Proofpoint as the leader in the market. Continued market validation of our offerings with a healthy customer retention rate of 92%. Market-first innovations: Redefining Email Security and Enabling Information Protection for AI This year\'s RSA Conference saw Proofpoint take to the stage to showcase why we are the undisputed leader in human-centric cybersecurity, with our AI-driven innovations recognized as “The 20 Coolest Cybersecurity Products At RSAC 2024” and “The 10 Hot AI Cybersecurity Tools At RSAC 2024”. We unveiled market-first innovations on two fronts. First, by delivering a single solution to protect against every type of threat, every time, every way a user may encounter it, using every form of detection with complete, adaptive, end-to-end protection across the entire email delivery chain-combining pre-delivery, click time, and post-delivery detection. Second, by announcing the general availability of Data Loss Prevention (DLP) Transform, making responsible Generative AI use a reality for our customers by modernizing DLP with our cross-channel capabilities so that CISOs can now embrace ChatGPT, co-pilots and other AI tools while preventing the exposure of IP. The Cybersecurity Revolution: Integration is Key With a cyber threat landscape that is forever evolving in sophistication and complexity, CISOs and CIOs are looking to consolidate their security architecture to span across multiple channels, infrastructures and people. Our “Better Together” strategy is to offer a unified human-centric security platform that integrates with other key solutions in the cyber architecture, namely SASE, EDR, SoC automation (SIEM/SOAR/XDR) and Identity & Access Management. These components of the cybersecurity architecture are powerful on their own, and their effectiveness compounds when they are well integrated. That is why we have partnered with an ecosystem of market-leading cybersecurity vendors-including Palo Alto Networks, CrowdStrike, Microsoft, CyberArk, Okta and many more. Our joint customers benefit from a defense-in-depth approach and security operations at scale: what all enterprises need to stay ahead of today\'s threats. Welcoming New Team Members We are delighted to welcome the newest members of our senior leadership team, who will all play a pivotal part in the growth of their respective regions and organizations. Seasoned global marketing leader Elia Mak joins us as SVP, Brand and Global Communications, and cybersecurity veteran George Lee takes the lead in a strategically-important region for Proofpoint as SVP, Asia Pacific & Japan. We also welcome Harry Labana as SVP & GM of archiving, compliance, and digital risk, to further our leadership position in the emerging category of digital communications governance, a key aspect of human-centric security. | Tool Threat Conference | ChatGPT | |
|
2024-07-23 05:00:38 | 4 faux visages: comment génai transforme l'ingénierie sociale 4 Fake Faces: How GenAI Is Transforming Social Engineering (lien direct) |
Email is the biggest threat vector. But increasingly, we see the need to include social media, text messaging and voice calls in cybersecurity education. Why? Because generative AI (GenAI) is transforming social engineering and threat actors are using it to fake people or personalities. Attackers can use GenAI to create images, text, audio and video and drive powerful scams to steal personal, financial or sensitive data. They can automate their operations and increase the likelihood of success. And they can scale and distribute attacks through an array of channels, like messaging apps, social media platforms, phone calls and, of course, email. Research for the latest State of the Phish report from Proofpoint found that 58% of people who took a risky action in 2023 believed their behavior put them at risk. That leads us to a critical question: When you receive a message-IM, DM, VM or email-can you be 100% confident that the sender is who they claim to be? Not in a world where attackers use GenAI. In this post, we look at four ways that threat actors use this powerful technology to deceive people. Convincing conversational scams Realistic deepfake content Personalized business email compromise (BEC) attacks Automated fake profiles and posts 1: Convincing conversational scams Threat actors use GenAI to create highly convincing conversational scams that mimic human interactions. Natural language processing (NLP) models help them generate personalized messages. Popular NLP models include recurrent neural network (RNN), transformer-based (like GPT-3) and sequence-to-sequence. While the lures attackers use will vary, they all aim to start a conversation with the recipient and earn their trust. Threat actors might interact with a target for weeks or months to build a relationship with the goal of convincing that person to send money, invest in a fake crypto platform, share financial information or take some other action. How does it work? Threat actors collect large datasets of text-based conversations from sources like social media, messaging apps, chat logs, data breaches and customer service interactions. They use the datasets to train NLP models to understand and generate human-like text based on input prompts. The models learn to recognize patterns, understand context and generate responses that sound natural. Once they have trained an NLP model, threat actors might use the model to generate text-based messages for scamming their targets. The conversations can mimic specific personas or language patterns, or generate responses tailored to common scam scenarios. This makes it hard for people to distinguish between legitimate and fake communications on social platforms like Instagram, messaging apps like WhatsApp and dating websites like Tinder. How Proofpoint can help you address this risk Proofpoint Security Awareness delivers timely educational content about threat trends. This includes a two-week campaign with training like our “Attack Spotlight: Conversational Scams,” which helps users learn to recognize and avoid these scams. 2: Realistic deepfake content Threat actors can use GenAI to create deepfakes that falsely depict people saying or doing things they never did. Attackers use advanced machine learning (ML) models to create highly realistic fake content that resembles a person\'s appearance, voice or mannerisms. How does it work? Threat actors will gather a dataset of images, audio recordings or videos that feature the person whose likeness they want to mimic. They use the dataset to train the GenAI model to create fake content like images or videos. The model can evaluate the authenticity of its own content. One popular model is the Generative Adversarial Network (GAN). It can progressively produce more convincing deepfakes by refining and optimizing its methods. For example, it can adjust model parameters, increase the training dat | Tool Vulnerability Threat | ||
 |
2024-07-22 21:38:04 | RDGAS: Le chapitre suivant des algorithmes de génération de domaine RDGAS: The Next Chapter in Domain Generation Algorithms (lien direct) |
## Instantané
Des chercheurs d'InfoBlox ont publié un rapport plongeant dans la technique émergente des algorithmes de génération de domaines enregistrés (RDGAS), que les acteurs menaçants utilisent pour remodeler le paysage des menaces DNS avec des millions de nouveaux domaines.Le rapport analyse en détail Revolver Rabbit, un acteur de menace notable qui a exploité les RDG dans leur déploiement de Xloader.
## Description
Les RDGA diffèrent des algorithmes de génération de domaines traditionnels (DGA) car l'algorithme et le processus d'enregistrement sont contrôlés par l'acteur de menace, ce qui rend la détection plus difficile.Les RDG sont utilisés pour diverses activités malveillantes, y compris les logiciels malveillants, le phishing et les escroqueries.Ils peuvent prendre de nombreuses formes, des personnages apparemment aléatoires aux mots de dictionnaire structurés, ce qui les rend difficiles à reconnaître sans données DNS à grande échelle et expertise.
Les acteurs de menace, les entreprises criminelles et même les entreprises légitimes utilisent des RDGA.Certains registraires proposent des outils pour générer des variantes de domaine, qui peuvent être utilisées à mauvais escient par les acteurs de la menace.Le terme RDGA a été inventé pour les distinguer des DGA traditionnels, qui génèrent des domaines algorithmiques mais ne les enregistrent généralement pas.
InfoBlox évalue que Revolver Rabbit a enregistré plus de 500 000 domaines sur le domaine de haut niveau.Le motif RDGA Revolver Rabbit utilise est varié, en utilisant souvent des mots dictionnaires suivis d'une chaîne de nombres, ce qui rend le complexe de détection.Au cours de leurs recherches, les domaines de lapin de revolver déterminés InfoBlox étaient utilisés comme des domaines de commande et de contrôle actifs (C2) et de leurreDans [xloader] (https://security.microsoft.com/intel-profiles/2296d491ea381b532b24f2575f9418d4b6723c17b8a1f507d20c2140a75d16d6) (formbook) Maleware Samples.
## Détections / requêtes de chasseMicrosoft Defender Antivirus détecte les composants de la menace comme le malware suivant:
- * [Trojandownloader: MSIL / Formbook] (https: // www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?Name=TrojanDownloader:MSIL/FormBook.KAN!MTB&threatId=-2147130651&ocid=magicti_ta_ency) *
## Droits d'auteur
**&copie;Microsoft 2024 **.Tous droits réservés.La reproduction ou la distribution du contenu de ce site, ou de toute partie de celle-ci, sans l'autorisation écrite de Microsoft est interdite.
## Snapshot Researchers at Infoblox released a report delving into the emerging technique of registered domain generation algorithms (RDGAs), which threat actors are using to reshape the DNS threat landscape with millions of new domains. The report further analyzes Revolver Rabbit, a notable threat actor who has leveraged RDGAs in their deployment of Xloader. ## Description RDGAs differ from traditional domain generation algorithms (DGAs) as the algorithm and registration process are controlled by the threat actor, making detection more challenging. RDGAs are used for various malicious activities, including malware, phishing, and scams. They can take many forms, from seemingly random characters to structured dictionary words, making them difficult to recognize without large-scale DNS data and expertise. Threat actors, criminal enterprises, and even legitimate businesses use RDGAs. Some registrars offer tools to generate domain variants, which can be misused by threat actors. The term RDGA was coined to distinguish these from traditional DGAs, which generate domains algorithmically but don\'t typically register them. Infoblox assesses that Revolver Rabbit has registered upwards of 500,000 domains on the .bond top-level domain alone, making them a significant threat actor. The RDGA pattern Revolver Rabbit uses is varied, often using dictionary words followed by a string of num |
Malware Tool Threat | ||
|
2024-07-22 20:20:43 | Fin7 Reboot |Le gang de cybercriminaux améliore les OP avec de nouveaux contournements EDR et des attaques automatisées FIN7 Reboot | Cybercrime Gang Enhances Ops with New EDR Bypasses and Automated Attacks (lien direct) |
## Instantané Sentinélone a récemment découvert des développements importants concernant le célèbre gang de cybercriminalité FIN7.Le groupe, connu pour ses opérations sophistiquées, a amélioré ses capacités avec de nouvelles techniques de contournement de détection et de réponse (EDR) et de méthodes d'attaque automatisées.Cette évolution souligne la menace continue de Fin7 \\ pour la cybersécurité. Microsoft suit cet acteur de menace comme Sangria Tempest, [en savoir plus ici.] (Https://security.microsoft.com/intel-profiles/3e4a164ad64958b784649928499521808aea4d3565df70afc7c85eae69f74278) ## Description FIN7 est actif depuis au moins 2015, ciblant principalement les institutions financières par le biais de logiciels malveillants de point de vente (POS) et de campagnes de phisces de lance.Récemment, le groupe s'est concentré sur les ransomwares, liant à divers gangs de ransomware, notamment Maze, Ryuk et Darkside. Une révélation pivot de Sentinélone est la connexion entre Fin7 et le [Black Basta] (https://security.microsoft.com/intel-profiles/0146164ed5ffa131074fa7e985f79597d2522865baaa088f25cd80c3d8d726) Ransomware.Black Basta, qui a émergé en avril 2022, a déployé des outils d'évasion EDR personnalisés développés par FIN7.Cette connexion a été établie par la découverte d'adresses IP et de tactiques, de techniques et de procédures (TTP). Un outil notable identifié est «Windefcheck.exe», qui imite l'interface graphique de sécurité Windows, les utilisateurs trompeurs en pensant à leurs systèmes sont sécurisés tout en désactivant les défenses de sécurité en arrière-plan.Cet outil est exclusivement utilisé par Black Basta depuis la mi-2022, mettant en évidence le chevauchement opérationnel entre les deux groupes. De plus, Black Basta a utilisé des techniques sophistiquées telles que l'exploitation des vulnérabilités chez les moteurs légitimes pour échapper à la détection.Par exemple, ils ont utilisé l'exploit de printnightmare et des outils comme AdFind pour l'escalade des privilèges et le mouvement latéral dans les réseaux. Le lien entre Fin7 et Black Basta suggère une collaboration plus profonde ou des ressources partagées, en particulier dans le développement d'outils d'évasion.Ce partenariat améliore la menace posée par ces groupes, car ils peuvent combiner leur expertise pour lancer des cyberattaques plus efficaces et dommageables. ## Détections / requêtes de chasse Microsoft Defender Antivirus détecte les composants de la menace comme le malware suivant: - [Trojan: win64 / diCeloader] (https://www.microsoft.com/en-us/wdsi/therets/malware-encyclopedia-description?name=trojan:win64/diceloader.km!mtb) - [BEhavior: Win32 / Basta] (https://www.microsoft.com/en-us/wdsi/terats/malware-encycopedia-description?name = comportement: win32 / basta.a) - [Hacktool: win64 / cobaltstrike] (https://www.microsoft.com/en-us/wdsi/therets/malware-senceclopedia-description? name = hacktool: win64 / cobaltstrike) - [Ransom: win32 / basta] (htTPS: //www.microsoft.com/en-us/wdsi/therets/malware-encyclopedia-description? name = ransom: win32 / basta) - [Trojan: Win32 / Basta] (https: //www.microsoft.com/en-us/wdsi/therets/malware-encyclopedia-description?name=trojan:win32/basta!bv) - [Comportement: win32 / cobaltsstrike] (https://www.microsoft.com/en-us/wdsi/therets/malware-encycopedia-description?name=behavior:win32/cobaltstrike) - [Backdoor: win64 / cobaltstrike] (https://www.microsoft.com/en-us/wdsi/therets/malware-encycopedia-dercription?name=backDoor:win64/CobalTstrike) ## Recommandations Microsoft recommande les atténuations suivantes pour réduire l'impact de cette menace. - Encourager les utilisateurs à utiliser Microsoft Edge et d'autres navigateurs Web qui prennent en charge [Microsoft Defender SmartScreen] (HTTps: //learn.microsoft.com/en-us/deployedge/microsoft-edge-security-smartscreen? ocid = magicti_ta_learndoc), qui identifie et bloque des sites Web mal | Ransomware Malware Tool Vulnerability Threat | ||
 |
2024-07-22 18:18:55 | Swipe à droite pour les fuites de données: les applications de rencontres exposent l'emplacement, plus Swipe Right for Data Leaks: Dating Apps Expose Location, More (lien direct) |
Des applications comme Tinder, Bumble, Grindr, Badoo, OkCupid, MeetMe et Hinge ont toutes des vulnérabilités d'API qui exposent des données d'utilisateurs sensibles, et six permettent à un acteur de menace de déterminer exactement où quelqu'un est.
Apps like Tinder, Bumble, Grindr, Badoo, OKCupid, MeetMe, and Hinge all have API vulnerabilities that expose sensitive user data, and six allow a threat actor to pinpoint exactly where someone is. |
Vulnerability Threat | ||
 |
2024-07-22 18:13:14 | Télégramme zéro-jour pour Android a permis aux fichiers malveillants de se masquer sous forme de vidéos Telegram zero-day for Android allowed malicious files to masquerade as videos (lien direct) |
Pas de details / No more details | Vulnerability Threat Mobile | ||
|
2024-07-22 18:02:33 | Le marché de la chasse aux menaces d'une valeur de 6,9 milliards de dollars d'ici 2029 Threat Hunting Market Worth $6.9B by 2029 (lien direct) |
Pas de details / No more details | Threat | ||
 |
2024-07-22 17:57:53 | Télégramme Android Vulnérabilité «Evilvideo» envoie des logiciels malveillants sous forme de vidéos Telegram Android Vulnerability “EvilVideo” Sends Malware as Videos (lien direct) |
Evilvideo Exploit in Telegram pour Android permet aux attaquants d'envoyer des logiciels malveillants déguisés en vidéos.ESET a découvert cette vulnérabilité zéro-jour, & # 8230;
EvilVideo exploit in Telegram for Android lets attackers send malware disguised as videos. ESET discovered this zero-day vulnerability,… |
Malware Vulnerability Threat Mobile | ||
 |
2024-07-22 16:15:00 | Jouer au ransomware se développe pour cibler les environnements VMware ESXi Play Ransomware Expands to Target VMWare ESXi Environments (lien direct) |
Trend Micro a également révélé une connexion entre le groupe de ransomware de jeu et l'acteur de menace prolifique Puma
Trend Micro also revealed a connection between the Play ransomware group and the threat actor Prolific Puma |
Ransomware Threat Prediction | ||
|
2024-07-22 15:43:33 | Rapport de l'IOCTA 2024: les forces de l'ordre s'occupent des coups majeurs contre les réseaux de ransomware de perturbation de l'UE, IOCTA 2024 report: Law enforcement deals major blows against EU cybercrime, disrupt ransomware networks (lien direct) |
Un nouveau rapport d'Internet Organized Crime Threat Assessment (IOCTA) souligne qu'en 2023, les organismes chargés de l'application des lois sont livrés ...
A new report by Internet Organised Crime Threat Assessment (IOCTA) highlights that in 2023, law enforcement agencies delivered... |
Ransomware Threat Legislation | ||
 |
2024-07-22 15:18:35 | Infoblox dévoile Vigorish Viper (lien direct) | Infoblox dévoile Vigorish Viper, une organisation criminelle chinoise en lien avec des sponsors dans le milieu du football européen, le trafic d'êtres humains et une économie de jeux d'argent illégaux équivalant à plusieurs milliards de dollars • Infoblox dévoile Vigorish Viper, une organisation criminelle chinoise qui exploite des technologies avancées pour profiter de l'économie de jeux d'argent illégaux évaluée à 1 700 milliards de dollars. Ce réseau est également impliqué dans des opérations de blanchiment d'argent et de trafic d'êtres humains à travers l'Asie du Sud-Est. • Les recherches révèlent que Vigorish Viper a été au cœur de controverses liées au sponsoring de plusieurs clubs de football européens, notamment des clubs de la Premier League anglaise. • Vigorish Viper a été créé et est contrôlé par le groupe Yabo, une société tristement célèbre et insaisissable liée au trafic d'êtres humains et à des activités de cybercriminalité à grande échelle dans toute l'Asie du Sud-Est. • Grâce à son approche unique des renseignements sur les menaces basées sur la recherche DNS, Infoblox a réussi à découvrir et à exposer le fonctionnement de Vigorish Viper, révélant sa plateforme opérationnelle, ses systèmes de distribution du trafic, ses communications chiffrées et ses applications personnalisées. - Malwares | Threat | ||
|
2024-07-22 13:02:14 | 22 juillet & # 8211;Rapport de renseignement sur les menaces 22nd July – Threat Intelligence Report (lien direct) |
> Pour les dernières découvertes en cyber recherche pour la semaine du 22 juillet, veuillez télécharger notre bulletin de renseignement sur les menaces.Les principales attaques et violation de l'American Bassett Furniture Industries ont été victimes d'une attaque de ransomware qui a entraîné le chiffrement des fichiers de données et la fermeture de ses installations de fabrication.L'attaque a considérablement perturbé [& # 8230;]
>For the latest discoveries in cyber research for the week of 22nd July, please download our Threat Intelligence Bulletin. TOP ATTACKS AND BREACHES American Bassett Furniture Industries has been a victim of a ransomware attack that resulted in the encryption of data files and the shutdown of its manufacturing facilities. The attack has significantly disrupted […] |
Ransomware Threat | ||
 |
2024-07-22 10:41:55 | Telegram Zero-Day autorisé à envoyer des APK Android malveillants comme vidéos Telegram zero-day allowed sending malicious Android APKs as videos (lien direct) |
Un télégramme pour la vulnérabilité Android Zero-Day surnommée \\ 'Evilvideo \' a permis aux attaquants de envoyer des charges utiles Android APK malveillantes déguisées en fichiers vidéo.[...]
A Telegram for Android zero-day vulnerability dubbed \'EvilVideo\' allowed attackers to send malicious Android APK payloads disguised as video files. [...] |
Vulnerability Threat Mobile | ||
|
2024-07-22 10:33:31 | Faits saillants hebdomadaires, 22 juillet 2024 Weekly OSINT Highlights, 22 July 2024 (lien direct) |
## Instantané La semaine dernière, le rapport OSINT de \\ présente des groupes APT alignés par l'État et des cybercriminels motivés par l'État, tels que les ransomwares APT41 et Akira, exploitant des vulnérabilités zéro-jour et tirant parti des campagnes de phishing pour accéder au premier accès.Les attaques ciblaient principalement des secteurs comme le gouvernement, le monde universitaire et les institutions financières, ainsi que des régions géographiques spécifiques, notamment le Moyen-Orient, l'Amérique du Nord et l'Asie du Sud-Est.De plus, les réseaux sociaux et les menaces basés sur le téléphone étaient proéminents, avec des attaquants utilisant des plates-formes comme WhatsApp et des services cloud, et en tirant parti du contenu généré par l'IA.Les tactiques utilisées par ces acteurs de menace comprenaient l'utilisation d'homoglyphes, de tissage IL, de vulnérabilités de jour zéro et de techniques d'évasion sophistiquées, mettant en évidence la nature en constante évolution des cyber-menaces et la nécessité de mesures de cybersécurité robustes. ## Description 1. [APT41 cible les organisations mondiales] (https://sip.security.microsoft.com/intel-explorer/articles/3ecd0e46): mandiant et google \'s tag ont rapporté des organisations ciblant APT41 en Italie, en Espagne, Taiwan, Thaïlande, Turquie et Royaume-Uni.Le groupe a utilisé des compromis de la chaîne d'approvisionnement, des certificats numériques volés et des outils sophistiqués comme Dustpan et Dusttrap pour exécuter des charges utiles et des données d'exfiltrat. 2. [Play Ransomware cible les environnements VMware ESXi] (https://sip.security.microsoft.com/intel-explorer/articles/2435682e): Trend Micro a découvert une variante lineux de Play Ransomware ciblant les environnements VMware ESXi, marquant la première instance de Playd'une telle attaque.Le ransomware utilise des commandes ESXi spécifiques pour arrêter les machines virtuelles avant le chiffrement, montrant un élargissement potentiel des cibles à traversPlates-formes Linux. 3. [Campagne de Nuget malveillante] (https://sip.security.microsoft.com/intel-explorer/articles/186ac750): REVERSINGLABSLes chercheurs ont trouvé une campagne de Nuget malveillante où les acteurs de la menace ont utilisé des homoglyphes et un tissage pour tromper les développeurs.Ils ont inséré les téléchargeurs obscurcis dans des fichiers binaires PE légitimes et exploité les intégrations MSBuild de NuGet \\ pour exécuter du code malveillant lors des builds de projet. 4. [Attaques DDOS par des groupes hacktivistes russes] (https://sip.security.microsoft.com/intel-explorer/articles/e9fbb909): Des chercheurs de Cyble ont été signalés sur les attaques DDOHacknet, ciblant les sites Web français avant les Jeux olympiques de Paris.Ces groupes d'opération d'influence se concentrent souvent surCibles des membres ukrainiens et de l'OTAN. 5. [AndroxGh0st Maleware cible les applications Laravel] (https://sip.security.microsoft.com/intel-explorer/articles/753Beb5a): les chercheurs de Centre d'orage Internet ont identifié AndroxGh0st, un malware python-scriptCiblage des fichiers .env dans les applications Web Laravel, exploitant les vulnérabilités RCE.Le malware effectue une numérisation de vulnérabilité, déploie des shells Web et exfiltre des données sensibles. 6. [TAG-100 Activités de cyber-espionage] (https://sip.security.microsoft.com/intel-explorer/articles/7df80747): le groupe insikt de Future \\ a enregistré Future \\ découvert TAG-100 \\ s \\ 's Cyber Future.Activités ciblant les organisations gouvernementales, intergouvernementales et du secteur privé dans le monde, probablement pour l'espionnage.Le groupe utilise des outils open source et exploite les vulnérabilités nouvellement publiées dans les appareils orientés Internet. 7. [Dragonbridge Influence Operations] (https://sip.security.microsoft.com/intel-explorer/articles/3e4f73d5): le groupe d'analyse des menaces de Google \\ a été rapporté sur Dragonbridge | Ransomware Malware Tool Vulnerability Threat Mobile Prediction Cloud | APT 41 | |
|
2024-07-22 10:00:27 | Les cybercriminels sont (aussi) prêts pour les Jeux Olympiques (lien direct) | Selon une nouvelle étude du FortiGuard Labs, basée sur les renseignements sur les menaces fournis par FortiRecon, les Jeux Olympiques 2024 sont la cible privilégiée des cybercriminels depuis plus d'un an. Alors que les Jeux de Londres en 2012 ont été la cible de 212 millions d'attaques, et ceux de Tokyo en 2020 de 4,4 milliards, la menace pour les Jeux de Paris devrait être encore plus forte. - Investigations | Threat | ||
 |
2024-07-22 10:00:00 | 4 menaces en ligne «à faible priorité» qui peuvent infliger de graves dommages à la marque 4 “Low-Priority” Online Threats That Can Inflict Serious Brand Damage (lien direct) |
The content of this post is solely the responsibility of the author. LevelBlue does not adopt or endorse any of the views, positions, or information provided by the author in this article. Companies constantly face a multitude of threats online. Understandably, there is no way for them to deal with all of the attacks given their limited resources and the time-consuming nature of continuous threat detection and prevention. As such, some threats are prioritized over others, depending on their urgency. This leads to threats being classified as “low-priority”, especially when it comes to brand protection. Some are even ignored altogether, especially by organizations that do not consider themselves big enough to be targeted by a brand attack. To be clear, these “low-priority” threats are not necessarily petty or negligible attacks. Despite that, most companies pay little to no attention to them because they are perceived to have no serious impact on their economic and reputational well-being. But in reality, brand attacks have been surging in 2024. This article will dive into these threats and explain why companies should think to the contrary and take them more seriously. Website Impersonation Website impersonation attacks used to be primarily aimed at large and well-known organizations, but were not always limited to them. This is because it would take time and resources for malicious actors to create a spoofed version of a brand’s website, therefore making less sense to invest in attacking a relatively unknown and small target. In addition, the impact of a website impersonation attack on a small company would be minuscule if the brand being impersonated is virtually unknown. But this has all changed with the rise of generative AI, making cloning websites considerably faster, easier, and drastically cheaper. As such, organizations today cannot downplay the threat of website impersonation. A 2024 report from Memcyco titled the “State of Digital Impersonation Fraud Resilience” shows that 40% of customers who have become victims of scams that involve website impersonation stop doing business with the brand. This raises the question about company responsibility for their customers and what happens if customers get scammed using a third-party site disguising as their own. For many customers, it doesn’t matter if the business had nothing to do with the emergence of the spoofed site. If they fall for a scam associated with a brand, they are highly likely to walk away. The Memcyco report also says that around two-thirds of enterprises only discover the existence of sites impersonating their brands because of victim incident reports. Customers are frustrated that they serve as the “threat intel” and businesses are clueless about the problem unless customers inform them. To avoid the unwanted consequences of website impersonation, organizations need to implement solutions that do not rely entirely on customer feedback. It is important to have a proactive solution in place that continuously scans the internet for possible impersonation attempts and promptly alerts customers about these fake sites. Fabricated Product Reviews and Ratings The problem of fake product reviews and ratings is mostly addressed with a customer-centric approach. Proposed regulations, like the | Malware Threat | ||
|
2024-07-22 09:42:00 | Les cybercriminels exploitent le chaos de la panne de crowdsstrike Cybercriminals Exploit CrowdStrike Outage Chaos (lien direct) |
Les cybercriminels ont lancé des campagnes de phishing censées soutenir les organisations touchées par la panne informatique mondiale, causée par un problème de falcon de Crowdsstrike
Cybercriminals have launched phishing campaigns purporting to support organizations impacted by the global IT outage, caused by a CrowdStrike Falcon issue |
Threat | ||
|
2024-07-22 09:03:39 | Crowdsstrike incident les mots de fin de la livraison de logiciels malveillants, de phishing, d'escroqueries CrowdStrike Incident Leveraged for Malware Delivery, Phishing, Scams (lien direct) |
> La grande panne informatique causée par CrowdStrike est en cours de mise à profit par les acteurs de la menace pour le phishing, les escroqueries et la livraison de logiciels malveillants.
>The major IT outage caused by CrowdStrike is being leveraged by threat actors for phishing, scams, and malware delivery. |
Malware Threat | ||
 |
2024-07-22 09:00:00 | Capes maudits: exploiter la vulnérabilité du mal sur le télégramme pour Android Cursed tapes: Exploiting the EvilVideo vulnerability on Telegram for Android (lien direct) |
Les chercheurs de l'ESET ont découvert un télégramme à jour zéro pour l'exploit Android qui permet d'envoyer des fichiers malveillants déguisés en vidéos
ESET researchers discovered a zero-day Telegram for Android exploit that allows sending malicious files disguised as videos |
Vulnerability Threat Mobile | ||
|
2024-07-22 06:00:01 | Une perspective de coup de pouce: 3 clés pour aligner les menaces avec les cadres comportementaux A Nudge Perspective: 3 Keys to Align Threats with Behavioral Frameworks (lien direct) |
As the saying goes, “If you fail to plan, then you plan to fail.” In the last few years, there have been a lot of discussions about how nudging is the missing link to fast-tracking behavioral change. The need to drive faster change is understandable with the ever-evolving threat landscape, which changes the skills that your employees need to acquire to help defend the business. Your teams are also constantly changing and growing. This raises an important question: Is it possible for end users to keep up with these changes? We believe so, and we think that nudging is a key part of the solution. In this blog post, we focus on three questions about frameworks that are key to enabling a nudging strategy that drives rapid behavioral change. We also look at a fourth approach that integrates across frameworks, taxonomies and models. Adaptive learning framework: Can the same nudge work for all your users? Threat taxonomy: How should you incorporate threat intelligence into a nudge? The Fogg Behavior Model: Are nudges alone good enough? An integrated model: We explore a business email compromise (BEC) scenario. 1: The adaptive learning framework Let\'s start this discussion with a focus on the information environment. A rigorous cybersecurity education must include content across multiple domains (or topics), where the material is presented in a way that matches the current understanding of the learner. The adaptive learning framework from Proofpoint breaks down cybersecurity into eight foundational domains, two role-based domains focused on security professionals, and four levels of mastery. The adaptive learning framework includes 10 domains and four levels of understanding. The benefit of organizing training content this way is twofold. First, it ensures broad coverage across a range of important cybersecurity topics. Second, it takes the learner\'s background knowledge into account and moves them to a deeper level of understanding. 2: The threat taxonomy Nested within the domains of the adaptive learning framework are specific types of attacks. They are separated into two broad categories: Identified threats, like BEC, which are either tracked by a Proofpoint product or a third-party integration General threats, like tailgating attacks, which are not tracked These threats comprise our threat taxonomy, which is a classification of threats by nature and source. A partial specification of the threat taxonomy from Proofpoint, with a special emphasis on BEC. Specific threats from the taxonomy are associated with training content as metadata. And some content is associated with one or more threats from the taxonomy. Training content associated with threat-driven metadata varies by levels, domains, roles and themes. Each terminal node is an identified threat, which can be described by a set of properties (domain, level, role and theme). By classifying threats systematically, businesses can educate employees effectively on how to recognize and respond to potential risks. Continuous refinement of our taxonomy helps ensure alignment with evolving threat landscapes, empowering companies to mitigate emerging threats proactively. 3: The Fogg Behavior Model The Fogg Behavior Model indicates that behavior is the combination of three factors: motivation, ability and prompts. To understand why an individual took an action (or did not), we need to ask questions in relation to these three factors. Motivation Do they have a high enough level of motivation? Do they care? Do they see it as their responsibility? Ability Does the individual have the ability to take the desired action? Do they have the right skills and knowledge? Prompts Is the environment structured to prompt the individual to engage in the desired behavior? | Tool Threat | ||
 |
2024-07-22 03:22:34 | 5 approche progressive de la gestion de la vulnérabilité: meilleures pratiques 5 Phased Approach to Vulnerability Management: Best Practices (lien direct) |
La gestion de la vulnérabilité est une pierre angulaire fondamentale pour réduire le cyber-risque de votre organisation, mais quelles sont les vulnérabilités et pourquoi est-il important de créer un fort programme de gestion de la vulnérabilité?L'Institut national des sciences et de la technologie (NIST) définit une vulnérabilité comme «la faiblesse d'un système d'information, des procédures de sécurité du système, des contrôles internes ou une implémentation qui pourraient être exploités ou déclenchés par une source de menace.»Avec des centaines de milliers de vulnérabilités qui ont été découvertes, il est de plus en plus important d'obtenir la bonne gestion de la vulnérabilité et ...
Vulnerability management is a foundational cornerstone for reducing your organization\'s cyber risk, but what are vulnerabilities and why is it important to create a strong vulnerability management program? The National Institute of Science and Technology ( NIST) defines a vulnerability as, “Weakness in an information system, system security procedures, internal controls, or implementation that could be exploited or triggered by a threat source.” With hundreds of thousands of vulnerabilities that have been discovered, it is increasingly more important to get vulnerability management right and... |
Vulnerability Threat | ||
|
2024-07-21 15:31:34 | Fake Crowdsstrike corrige les entreprises cibles avec des logiciels malveillants, les essuie-glaces de données Fake CrowdStrike fixes target companies with malware, data wipers (lien direct) |
Vendredi, les acteurs de la menace exploitent les perturbations commerciales massives de la mise à jour glitchy de Crowdsstrike \\ pour cibler les entreprises avec des essuie-glaces et des outils d'accès à distance.[...]
Threat actors are exploiting the massive business disruption from CrowdStrike\'s glitchy update on Friday to target companies with data wipers and remote access tools. [...] |
Malware Tool Threat | ||
|
2024-07-21 01:13:42 | Méfiez-vous de la dernière tactique de phishing ciblant les employés Beware of the Latest Phishing Tactic Targeting Employees (lien direct) |
## Instantané Un [phishing] récent (https://www.microsoft.com/en-us/security/business/security-101/what-is-phishing?msockid=029395c08bc2665b315481458a11673b) Tentative de tentative d'une entreprise \'s hr Depadeples employés pour consulter un manuel des employés mis à jour. ## Description La mise en page, la langue et le ton formel de l'email améliore sa légitimité perçue et crée de l'urgence.Il contient un hyperlien menant à une page imitant un site d'hébergement de documents légitimes, qui redirige vers une page de marque Microsoft convaincante pour demander des informations d'identification.Lorsque les victimes entrent dans les adresses e-mail de leur entreprise et appuyez sur Suivant, elles sont redirigées vers ce qui semble être la page de connexion Microsoft Office 365 de leur entreprise.Après avoir entré leurs noms d'utilisateur et potentiellement leurs mots de passe, ils reçoivent un message d'erreur indiquant: "Il y a eu une erreur interne inattendue. Veuillez réessayer."Ce message est une ruse.Ils sont ensuite redirigés vers la page de connexion SSO / OKTA de l'entreprise, et les victimes ne réalisent probablement pas que l'URL a changé.En attendant, l'acteur de menace a capturé ses noms d'utilisateur et leurs mots de passe à la tentative de connexion.Cette campagne de phishing exploite la confiance et l'urgence dans les environnements d'entreprise.Il met en évidence la sophistication de ces cyber-menaces, en tirant parti de la manipulation psychologique pour tromper les employés.Cet exemple illustre le défi croissant de protéger les informations sensibles des tactiques de phishing de plus en plus avancées.Une approche de défense multicouche, combinant des solutions technologiques et des employés vigilants, est essentielle pour se protéger contre les attaques de phishing. ## Recommandations Microsoft recommande la mise en œuvre d'authentification multifactrice (MFA) pour réduire l'impact de cette menace et atténuer le vol d'identification des attaques de phishing.Le MFA peut être complété par les solutions et les meilleures pratiques suivantes pour protéger les organisations: - Activer [Accès conditionnel] (https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview?ocid=Magicti_TA_LearnDoc).Les polices d'accès conditionnelles sont évaluées et appliquées chaque fois qu'un attaquant tente d'utiliser un cookie de session volé.Les organisations peuvent se protéger contre les attaques qui exploitent les informations d'identification volées en activant des politiques concernant les appareils conformes ou les exigences d'adresse IP de confiance. - Configurer [Évaluation d'accès continu] (https: //learn.microsoft.com/en-us/entra/identity/conditional-access/concept-continuous-access-evaluation?ocid=Magicti_TA_LearnDoc) Dans votre locataire. - Investir dans des anti-phis avancésSolutions de hings qui surveilleront les e-mails entrants et les sites Web visités. [Microsoft Defender pour Office365] (https://learn.microsoft.com/en-us/defender-xdr/microsoft-365-security-center-mdo?ocid=Magicti_TA_Learndoc)Rassemble la gestion des incidents et des alertes entre les e-mails, les appareils et les identités, centralisant les enquêtes pour les menaces par e-mail.Les organisations peuvent également tirer parti des navigateurs Web qui identifient et bloquent automatiquement les sites Web malveillants, y compris ceux utilisés dans cette campagne de phishing.Pour renforcer la résilience contre les attaques de phishing en général, les organisations peuvent utiliser [les politiques anti-phishing] (https://learn.microsoft.com/en-us/defenderofice-365/anti-phishing-policies-about?view=o365-WorldWide) pour activer les paramètres d'intelligence des boîtes aux lettres, ainsi que la configuration des paramètres de protection d'identification pour des messages spécifiques et des domaines d'expéditeur.Activer [SafeLinks] (https://learn.microsoft.com/en-us/defenderofice-365/safe-links-about?view=o365-worldwide) assure une protec | Threat | ||
|
2024-07-20 21:31:00 | Les cybercriminels exploitent la mise à jour de mise à jour de mise à jour pour distribuer des logiciels malveillants Remcos Rat Cybercriminals Exploit CrowdStrike Update Mishap to Distribute Remcos RAT Malware (lien direct) |
La société de cybersécurité Crowdsstrike, qui est confrontée à la chaleur pour provoquer des perturbations dans le monde entier en repoussant une mise à jour erronée vers les appareils Windows, avertit maintenant que les acteurs de la menace exploitent la situation pour distribuer Remcos Rat à ses clients en Amérique latine sous le couvert de la fourniture d'unun chaud.
Les chaînes d'attaque impliquent la distribution d'un fichier d'archive zip nommé "Crowdstrike-hotfix.zip" "
Cybersecurity firm CrowdStrike, which is facing the heat for causing worldwide IT disruptions by pushing out a flawed update to Windows devices, is now warning that threat actors are exploiting the situation to distribute Remcos RAT to its customers in Latin America under the guise of a providing a hotfix. The attack chains involve distributing a ZIP archive file named "crowdstrike-hotfix.zip," |
Malware Threat | ||
|
2024-07-19 21:17:33 | Play Ransomware Group\'s New Linux Variant Targets ESXi, Shows Ties With Prolific Puma (lien direct) | ## Snapshot Trend Micro\'s Threat Hunting team discovered a Linux variant of [Play ransomware](https://security.microsoft.com/intel-profiles/5052c3d91b03a0996238bf01061afdd101c04f1afb7aeda1fc385a19b4f1b68e) that targets files only in VMWare ESXi environments. ## Description First detected in June 2022, Play ransomware is known for its double-extortion tactics and custom-built tools, impacting many organizations in Latin America. According to Trend Micro, this marks the first instance of Play ransomware attacking ESXi environments, indicating a potential broadening of targets across the Linux platform, which could increase their victim pool and ransom negotiation success. VMWare ESXi environments host multiple virtual machines (VMs) and critical applications, making them prime targets. Compromising these can disrupt business operations and encrypt backups, hindering data recovery efforts. The Play ransomware variant was found compressed with its Windows counterpart in a RAR file on a malicious URL, showing zero detections on VirusTotal. The infection chain involves several tools, including PsExec, NetScan, WinSCP, WinRAR, and the Coroxy backdoor. The ransomware runs ESXi-specific commands, turning off VMs before encrypting critical files, which are appended with the ".PLAY" extension. A ransom note is then displayed in the ESXi client login portal. The Linux variant of Play ransomware uses a command-and-control server hosting common tools for its attacks, potentially employing similar tactics to its Windows variant. The IP address associated with the ransomware is linked to another threat actor, Prolific Puma, known for generating domain names and providing link-shortening services to cybercriminals. The shared infrastructure between Play ransomware and Prolific Puma suggests a collaboration, enhancing Play ransomware\'s ability to evade detection and bolster its attack strategies. ## Microsoft Analysis Microsoft has been tracking deployment of Play ransomware since August 2022 and attributes all Play ransomware deployments to [Storm-0882](https://security.microsoft.com/intel-profiles/c04feb84dd2e6f360e482dc8a608da3b4e749cd651cab8d209326ae35522c6d5) (DEV-0882). The group primarily accesses targets through exploitation of internet-facing systems, including using compromised credentials to access exposed Remote Desktop Protocol (RDP) and [Microsoft Exchange Server](https://security.microsoft.com/intel-explorer/articles/692dd201) systems. ## Detections/Hunting Queries Microsoft Defender Antivirus detects threat components as the following malware: - *[Behavior:Win32/Play](https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?Name=Behavior:Win32/Play.F&threatId=-2147130447)* - *[Behavior:Win32/Ransomware!Play](https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?Name=Behavior:Win32/Ransomware!Play.A&threatId=-2147136108)* - *[Ransom:Win32/Play](https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?Name=Ransom:Win32/Play.D&threatId=-2147130524)* - [*Ransom:Linux/Playde*](https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?Name=Ransom:Linux/Playde!MTB) ## Recommendations Microsoft recommends the following mitigations to reduce the impact of this threat. Check the recommendations card for the deployment status of monitored mitigations. - Harden internet-facing assets and identify and secure perimeter systems that attackers might use to access the network. Public scanning interfaces, such as [Microsoft Defender External Attack Surface Management](https://www.microsoft.com/security/business/cloud-security/microsoft-defender-external-attack-surface-management), can be used to augment data. The Attack Surface Summary dashboard both surfaces assets such as Exchange servers which require security updates as well as provides recommended remediation steps. - Secure RDP or Windows Virtual Desktop endpoints with multifactor authenti | Ransomware Malware Tool Threat Prediction | ||
|
2024-07-19 18:51:32 | APT41 Has Arisen From the DUST (lien direct) | #### Géolocations ciblées - Italie - Espagne - Taïwan - Thaïlande - t & uuml; rkiye - Royaume-Uni #### Industries ciblées - Systèmes de transport - Médias numériques, imprimés et diffusés ## Instantané Mandiant, en collaboration avec le groupe d'analyse des menaces de Google (TAG), a publié un rapport sur une campagne par APT41, suivi par Microsof d37c6), ciblant les organisations en Italie, en Espagne, à Taïwan, en Thaïlande, en Turquie et au Royaume-Uni. ## Description Le groupe cible des secteurs comme les soins de santé, la haute technologie et les télécommunications, en utilisant des techniques sophistiquées telles que les compromis de la chaîne d'approvisionnement et les certificats numériques volés.Dans cette dernière campagne, l'APT41 a compromis diverses organisations sur plusieurs continents, notamment l'Italie, l'Espagne, Taïwan, la Thaïlande, la Turquie et le Royaume-Uni, en se concentrant sur des secteurs comme l'expédition, la logistique et les médias. APT41 a utilisé des shells Web Atsword et BlueBeam sur un serveur Tomcat Apache Manager pour la persistance.Ces shells Web, actifs depuis 2023, ont permis au groupe d'exécuter CerUtil.exe pour télécharger le compte-gouttes à poussière.Dustpan, un compte-gouttes en mémoire écrit en C / C ++, décrypte et exécute des charges utiles furtivement.Au cours de cette campagne, il a chargé Beacon, un outil de communication avec une infrastructure contrôlée par APT41, souvent déguisée en binaires Windows pour échapper à la détection. Au fur et à mesure que l'intrusion progressait, APT41 a déployé le compte-gouttes Dusttrap.Dusttrap est un cadre de plugin à plusieurs étapes qui décrypte et exécute des charges utiles malveillantes en mémoire, minimisant les traces médico-légales.Il établit des canaux de communication avec l'infrastructure APT41 ou des comptes Google Workspace compromis.L'utilisation de comptes Google compromis a aidé à mélanger les activités malveillantes avec un trafic légitime.Google note que ces comptes ont été corrigés. APT41 a également exploité SQLULLDR2, un utilitaire de ligne de commande, pour exporter les données des bases de données Oracle.Cet outil leur a permis d'extraire efficacement de grands volumes de données sensibles.De plus, APT41 a utilisé Pinegrove, un téléchargeur de ligne de commande, pour exfiltrater les données à OneDrive.Pinegrove est un outil accessible au public écrit en Go, capable de collecter et de télécharger des fichiers via l'API OneDrive. ## Analyse Microsoft Microsoft Threat Intelligence suit APT41 comme [Typhoon en laiton] (https://security.microsoft.com/intel-profiles/f0aaa62bfbaf3739bb92106688e6a00fc05aeafc0d4158b0e389b4078112d37c6), ACTIVITÉ CHINAL. Typhoon se concentre sur l'espionnage et estconnu pour effectuer une reconnaissance contre les organisations cibles.Le groupe a principalement ciblé le secteur de la technologie, mais a été observé ciblant les organisations non gouvernementales, les télécommunications, la vente au détail de consommateurs, la fabrication critique, le gouvernement et les institutions financières. ## Détections / requêtes de chasse ### Microsoft Defender Antivirus Microsoft Defender Antivirus les composants de menace suivants comme malware: - Backdoor: Win32 / Moonwalk - [Trojan: Win64 / Malgent] (https://www.microsoft.com/en-us/wdsi/terats/malware-encycopedia-d-dEscription? Name = Trojan: Win64 / Malgent! MSR) - [Trojan: Win32 / Leonem] (https://www.microsoft.com/en-us/wdsi/atheats/malware-eNCyclopedia-Description? Name = Trojan: Win32 / Leonem) ## Les références [APT41 est né de la poussière] (https://cloud.google.com/blog/topics/thereat-intelligence/apt41-arisen-from-dust/).Google (consulté en 2024-07-19) [Typhoon en laiton] (https: // security.microsoft.com/intel-profiles/f0aaa62bfbaf3739bb92106688e6a00fc05afc0d4158b0e389b4078112d37c6).Mic | Malware Tool Threat Medical Cloud | APT 41 | |
|
2024-07-19 16:30:00 | Protéger les identités personnelles et d'entreprise avec des renseignements identitaires Safeguard Personal and Corporate Identities with Identity Intelligence (lien direct) |
Découvrez les menaces critiques qui peuvent avoir un impact sur votre organisation et les mauvais acteurs derrière eux des experts des menaces de Cybersixgill.Chaque histoire met en lumière les activités souterraines, les acteurs de la menace impliqués et pourquoi vous devriez vous soucier, ainsi que ce que vous pouvez faire pour atténuer les risques. & NBSP;
Dans le paysage cyber-menace actuel, la protection des identités personnelles et d'entreprise est devenue vitale.
Learn about critical threats that can impact your organization and the bad actors behind them from Cybersixgill\'s threat experts. Each story shines a light on underground activities, the threat actors involved, and why you should care, along with what you can do to mitigate risk. In the current cyber threat landscape, the protection of personal and corporate identities has become vital. |
Threat | ||
|
2024-07-19 15:22:07 | Les cyber-criminels exploitent rapidement le chaos de crowdsstrike Cyber criminals quickly exploit CrowdStrike chaos (lien direct) |
Qui aime une panne mondiale?Phishishers, fraudeurs et toutes autres manières de fluage Bien que c'était rapide.Les criminels ne perdaient pas de temps à profiter du chaos Crowdsstrike-Microsoft et ont rapidement pu travailler des organisations de phishing et faire tourner des domaines malveillants censés être des correctifs.…
Who loves a global outage? Phishers, fraudsters and all other manner of creeps Well that was fast. Criminals didn\'t waste any time taking advantage of the CrowdStrike-Microsoft chaos and quickly got to work phishing organizations and spinning up malicious domains purporting to be fixes.… |
Threat | ||
|
2024-07-19 14:59:00 | Le groupe pro-houthis cible les organisations d'aide au yémen avec un logiciel espion Android Pro-Houthi Group Targets Yemen Aid Organizations with Android Spyware (lien direct) |
Un groupe de menaces pro-houthis présumé a ciblé au moins trois organisations humanitaires au Yémen avec un logiciel espion Android conçu pour récolter des informations sensibles.
Ces attaques, attribuées à un cluster d'activités, nommé Oilalpha, impliquent un nouvel ensemble d'applications mobiles malveillantes qui viennent avec leur propre infrastructure de soutien, a déclaré le groupe insikt de Future \\.
Cibles de la campagne en cours
A suspected pro-Houthi threat group targeted at least three humanitarian organizations in Yemen with Android spyware designed to harvest sensitive information. These attacks, attributed to an activity cluster codenamed OilAlpha, entail a new set of malicious mobile apps that come with their own supporting infrastructure, Recorded Future\'s Insikt Group said. Targets of the ongoing campaign |
Threat Mobile | ★★★ | |
|
2024-07-19 14:00:00 | L'APT41 de la Chine cible la logistique mondiale, les sociétés de services publics China\\'s APT41 Targets Global Logistics, Utilities Companies (lien direct) |
Selon Mandiant, parmi les nombreux outils de cyber-espionnage que l'acteur de menace utilise est un nouveau compte-gouttes sophistiqué appelé Dusttrap.
According to Mandiant, among the many cyber espionage tools the threat actor is using is a sophisticated new dropper called DustTrap. |
Tool Threat | APT 41 | |
|
2024-07-19 14:00:00 | En cybersécurité, l'atténuation du risque humain va bien au-delà de la formation In Cybersecurity, Mitigating Human Risk Goes Far Beyond Training (lien direct) |
Alors que les acteurs de la menace deviennent plus intelligents sur la façon dont ils ciblent les employés, il incombe aux organisations de créer une solide ligne de défense - et l'élément humain est un élément essentiel.
As threat actors get smarter about how they target employees, the onus is on organizations to create a strong line of defense - and the human element is a critical component. |
Threat | ||
|
2024-07-19 12:29:14 | Comment ITDR et Deceptions peuvent se défendre contre l'exploitation des vulnérabilités logicielles How ITDR and Deceptions Can Defend Against the Exploitation of Software Vulnerabilities (lien direct) |
It seems like once or twice a year threat researchers discover a massive and often internet-exposed software vulnerability that allows cybercriminals to gain control of a vulnerable computer. Attackers can then use the computer as a foothold that leads to serious damage in a targeted organization. Do you remember Dirty COW (CVE-2016-5195), runc (CVE-2019-5736), Sudo (CVE-2019-14287), ZeroLogon (CVE-2020-1472), PwnKit (CVE-2021-4034) or Dirty Pipe (CVE-2022-0847)? Recently, regreSSHion (CVE-2024-6387) joined the list of vulnerabilities with “elegant” names and large potential impact. It was discovered and disclosed by the Qualys Threat Research Unit. RegreSSHion: a new OpenSSH software vulnerability RegreSSHion is a vulnerability in the OpenSSH security service. OpenSSH is an open-source tool that enables secure system administration, file transfers and other communication over the internet or untrusted networks. It is found in many Unix-based operating systems like Mac and Linux. Qualys states in its vulnerability disclosure blog that regreSSHion, if exploited, could lead to a full system takeover. Attackers could use the compromised system to exploit other vulnerable systems within a company, bypassing critical security mechanisms. The depth of this impact, combined with the massive breadth of its public availability, creates a global challenge. Qualys estimates that there are more than 14 million potentially vulnerable OpenSSH server instances on the internet. It also estimates that about 700,000 external internet-facing instances are vulnerable. That is a large number. So, let the patching begin, right? That way, we can all move on to the next security challenge. But wait-not so fast. Patching takes time-meanwhile, attackers can bypass security controls Even the best IT teams can take a long time to patch vulnerabilities. For some teams, the work can stretch into months, years or even longer. This extended exposure time is a serious problem. Threat actors can scan the internet to look for vulnerable systems, just like security researchers do. How can businesses protect themselves in the pre-patching phase? Should they use log-based monitoring, firewalls or agent-based EDR or XDR security systems to detect and stop intrusions? These security measures are not sufficient. Keep in mind that regreSSHion provides bad actors with root-based system privileges on the infected host. That means that they likely can turn off or bypass security controls that operate on or via the host. This is a fundamental weakness of local security controls. They are both visible and available for manipulation by malicious actors who have gained system administrative privileges. ITDR security systems, including deception-based detections, provide defense-in-depth So, what can your business do during the vulnerable period between the public announcement of a CVE, such as RegreSSHion, and when your IT teams can find and patch vulnerable systems? After all, it is during this critical time that the vulnerability is also known and findable by adversaries. This is where an ITDR solution in general and deception-based security controls in particular can come into play-and can truly shine. Signature or behavior-based detection systems need telemetry to detect a threat actor\'s presence. And they must be active to collect data and execute analysis. However, as noted earlier, once they have root system administrative privileges, attackers can, in many cases, simply disable or bypass these systems. Deceptions work differently. Tools like Proofpoint Shadow can deploy authentic-looking resources-like files, accounts and services-throughout the enterprise. These resources serve as lures for threat actors who want to use them to move laterally and escalate privileges. When they attempt to do that, a silent detection alert is triggered and forensic data is sent to the incident response team. With deceptions, there is nothing for | Tool Vulnerability Threat Patching | ||
|
2024-07-19 10:54:39 | Détail mandiant et google tag APT41 Cyber Campagne ciblant les industries mondiales Mandiant and Google TAG detail APT41 cyber campaign targeting global industries (lien direct) |
> La société de renseignement sur les menaces Mandiant en collaboration avec le groupe d'analyse des menaces de Google (TAG) a observé une campagne soutenue par le ...
>Threat intelligence firm Mandiant in collaboration with Google\'s Threat Analysis Group (TAG) observed a sustained campaign by the... |
Threat | APT 41 | ★★★ |
|
2024-07-19 03:25:01 | La campagne de Nuget malveille Malicious NuGet campaign uses homoglyphs and IL weaving to fool devs (lien direct) |
## Instantané
Les chercheurs en inversion deslabs ont trouvé une campagne de Nuget malveillante où les acteurs de la menace ont utilisé des homoglyphes et des tisser pour tromper les développeurs.Initialement, ils ont inséré les téléchargeurs obscurcis dans des fichiers binaires PE légitimes à l'aide de tissage Il, puis exploité les intégrations MSBuild de NuGet \\ pour assurer l'exécution du code malveillant lors des constructions de projet.
## Description
RenversingLabs a suivi la campagne malveillante ciblant Nuget depuis août 2023. Utilisant initialement des scripts PowerShell, les attaquants ont déménagé pour injecter un initialiseur de module et des téléchargeurs malveillants en binaires .NET légitimes via le tissage Il, une technique modifiant le code après la compilation.Les acteurs de la menace ont également usurpé l'identité du package légitime "guna.ui2.winforme" en modifiant le code et en le publiant comme "gSO A.UI3.wi-nf օ rms ", exploitant un nom de préfixe réservé sur le référentiel NuGet. Les chercheurs de réversion deslabs ont identifié environ 60 packages et 290 versions de package dans le cadre de cette campagne, qui ont été supprimées de la plate-forme NuGet. Cette campagne a mis en évidence de nouvelles techniques telles que BinaryLe correctif des DLL et l'utilisation d'homoglyphes dans les attaques de typosquat.
## Les références
[La campagne de Nuget malveillante utilise des homoglyphes et il tissage pour tromper les développeurs] (HTTPs: //www.reversingLabs.com/blog/malicious-nuget-campaign-uses-homoglyphs-and-il-waving-to-fool-devs).Inversion des laboratoires (consulté en 2024-07-18)
## Droits d'auteur
**&copie;Micro-microOsoft 2024 **.Tous droits réservés.La reproduction ou la distribution du contenu de ce site, ou de toute partie de celle-ci, sans l'autorisation écrite de Microsoft est interdite.
## Snapshot ReversingLabs researchers found a malicious NuGet campaign where threat actors used homoglyphs and IL weaving to deceive developers. Initially, they inserted obfuscated downloaders into legitimate PE binary files using IL weaving, and later exploited NuGet\'s MSBuild integrations to ensure execution of malicious code during project builds. ## Description ReversingLabs has tracked the malicious campaign targeting NuGet since August 2023. Initially using PowerShell scripts, attackers moved to injecting a module initializer and malicious downloaders into legitimate .NET binaries via IL weaving, a technique altering code post-compilation. The threat actors also impersonated the legitimate "Guna.UI2.WinForms" package by modifying the code and publishing it as "Gսոa.UI3.Wіnfօrms", exploiting a reserved prefix name on the NuGet repository. ReversingLabs researchers identified approximately 60 packages and 290 package versions as part of this campaign, all of which have been removed from the NuGet platform. This campaign highlighted new techniques such as binary patching of DLLs and the use of homoglyphs in typosquatting attacks. ## References [Malicious NuGet campaign uses homoglyphs and IL weaving to fool devs](https://www.reversinglabs.com/blog/malicious-nuget-campaign-uses-homoglyphs-and-il-weaving-to-fool-devs). Reversing Labs (accessed 2024-07-18) ## Copyright **© Microsoft 2024**. All rights reserved. Reproduction or distribution of the content of this site, or any part thereof, without written permission of Microsoft is prohibited. |
Threat Patching | ★★★ | |
 |
2024-07-19 00:00:00 | Play Ransomware Group \\'s New Linux Variant cible ESXi, montre des liens avec un PUMA prolifique Play Ransomware Group\\'s New Linux Variant Targets ESXi, Shows Ties With Prolific Puma (lien direct) |
Trend Micro Threat Hunters a découvert que le groupe de ransomwares de jeu a déployé une nouvelle variante Linux qui cible les environnements ESXi.Lisez notre entrée de blog pour en savoir plus.
Trend Micro threat hunters discovered that the Play ransomware group has been deploying a new Linux variant that targets ESXi environments. Read our blog entry to know more. |
Ransomware Threat Prediction | ★★★ | |
|
2024-07-18 23:45:57 | Avertissement contre la distribution des logiciels malveillants déguisés en fissures logicielles (perturbe l'installation de V3 Lite) Warning Against the Distribution of Malware Disguised as Software Cracks (Disrupts V3 Lite Installation) (lien direct) |
Ahnlab Security Intelligence Center (ASEC) a précédemment introduit les dangers du malware déguisé en programmes de crack à travers un postintitulé & # 8220; Distribution de logiciels malveillants sous le couvert de versions Cracked MS Office (XMRIG, Orcusrat, etc.) & # 8221;.[1] Les souches de logiciels malveillants déguisées en programmes de crack sont principalement distribuées via des plates-formes de partage de fichiers, des blogs et des torrents, conduisant à l'infection de plusieurs systèmes.Ces systèmes infectés sont continuellement gérés par les acteurs de la menace par le biais de mises à jour périodiques.Dans ce cas, il a été confirmé que l'acteur de menace avait installé différent ...
AhnLab SEcurity intelligence Center (ASEC) has previously introduced the dangers of malware disguised as crack programs through a post titled “Distribution of Malware Under the Guise of MS Office Cracked Versions (XMRig, OrcusRAT, etc.)”. [1] Malware strains disguised as crack programs are primarily distributed through file-sharing platforms, blogs, and torrents, leading to the infection of multiple systems. These infected systems are continually managed by threat actors through periodic updates. In this case, it was confirmed that the threat actor installed different... |
Malware Threat | ★★★ | |
|
2024-07-18 23:35:29 | Qui vas-tu appeler?AndroxGH0st Busters! Who You Gonna Call? AndroxGh0st Busters! (lien direct) |
## Instantané
Les chercheurs en cybersécurité du SANS Internet Storm Center ont identifié AndroxGH0ST, un logiciel malveillant en rédaction de python ciblant les fichiers .env dans les applications Web Laravel.Ce malware fait partie d'une opération de botnet de vol d'identification qui abuse de diverses fonctions, notamment la numérisation de vulnérabilité, le protocole de transfert de courrier simple (SMTP), les API et le déploiement de shell Web.
## Description
Les vulnérabilités clés exploitées par AndroxGH0ST incluent [CVE-2017-9841] (https: //security.microsoft.com/intel-explorer/cves/cve-2017-9841/), une vulnérabilité d'exécution de code distant (RCE) dans Phpunit, [CVE-2018-15133] (https://security.microsoft.com/intel-Explorer / CVE / CVE-2018-15133 /),La Laravel App Key Deerialization RCE, et [CVE-2021-41773] (https://security.microsoft.com/intel-explorer/cves/cve-2021-41773/), une vulnérabilité de Traversal et RCE répertoire dans l'Apache httpserveur.Dans les attaques observées, AndroxGH0ST scanne des fichiers .env exposés et envoie des demandes de post HTTP malveillantes pour exploiter ces vulnérabilités.En cas de succès, le malware télécharge des fichiers malveillants supplémentaires, configure de fausses pages Web pour un accès persistant et exfiltre des données sensibles.
## Détections / requêtes de chasse
### Microsoft Defender Antivirus
Microsoft Defender Antivirus détecte les composants de la menace comme le malware suivant:
- [HackTool: Python / Agent] (https://www.microsoft.com/en-us/wdsi/therets/malware-encycopedia-description?name=hacktool:python/agent)
- [Trojan: Linux / Dakkatoni] (https://www.microsoft.com/en-us/wdsi/therets/malware-encycopedia-description?name=trojandropper:linux/dakkatoni)
- [Trojan: php / webshell] (https://www.microsoft.com/en-us/wdsi/thereats/malware-encycopedia-dercription?name=trojan:php/webshell)
- [PUA: Linux / Coinmin] (https://www.microsoft.com/en-us/wdsi/atherets/mAlware-SencyClopedia-Description? Name = PUA: Linux / Coinmin)
## Recommandations
En plus de corriger les vulnérabilités exploitées connues dans les systèmes orientés Internet, y compris CVE-2017-9841, CVE-2018-15133 et CVE-2021-41773, la source recommande:
- Analyses du système de fichiers: analysez régulièrement le système de fichiers du serveur \\ pour les fichiers PHP inconnus, en particulier dans le répertoire racine ou / fournisseur / phpunit / phpunit / src / util / php.
- Surveiller les demandes sortantes: examiner les demandes de GET sortantes sur les sites d'hébergement de fichiers tels que GitHub, Pastebin, etc., en particulier lors de l'accès à un fichier .php.
## Les références
[Qui vas-tu appeler?AndroxGH0st Busters!\ [Journal invité \]] (https://isc.sans.edu/diary/rss/31086) Sans Internet Storm Center (consulté le 2024-07-18)
## Droits d'auteur
**&copie;Microsoft 2024 **.Tous droits réservés.La reproduction ou la distribution du contenu de ce site, ou de toute partie de celle-ci, sans l'autorisation écrite de Microsoft est interdite.
## Snapshot Cybersecurity researchers at the SANS Internet Storm Center identified AndroxGh0st, a Python-scripted malware targeting .env files in Laravel web applications. This malware is part of a credential stealing botnet operation that abuses various functions, including vulnerability scanning, Simple Mail Transfer Protocol (SMTP), APIs, and web shell deployment. ## Description Key vulnerabilities exploited by AndroxGh0st include [CVE-2017-9841](https://security.microsoft.com/intel-explorer/cves/CVE-2017-9841/), a Remote Code Execution (RCE) vulnerability in PHPUnit, [CVE-2018-15133](https://security.microsoft.com/intel-explorer/cves/CVE-2018-15133/), the Laravel App Key Deserialization RCE, and [CVE-2021-41773](https://security.microsoft.com/intel-explorer/cves/CVE-2021-41773/), a directory traversal and RCE vulnerability in the Apache HTTP server. In observed attacks, AndroxGh0st scan |
Malware Vulnerability Threat Patching | ★★★ | |
|
2024-07-18 22:12:12 | TAG-100 utilise des outils open source dans la campagne d'espionnage mondiale suspectée, compromettant deux corps intergouvernementaux en Asie-Pacifique TAG-100 Uses Open-Source Tools in Suspected Global Espionage Campaign, Compromising Two Asia-Pacific Intergovernmental Bodies (lien direct) |
#### Géolocations ciblées - États-Unis - Taïwan - Cuba - France - Italie - Japon - Malaisie - Bolivie - Océanie - L'Amérique centrale et les Caraïbes - Amérique du Sud - Asie de l'Est #### Industries ciblées - Services financiers - agences et services gouvernementaux - Diplomatie / relations internationales - économique et commerce - Organisation intergouvernementale - Diplomatie / relations internationales - Organisation non gouvernementale - Organisation religieuse ## Instantané Le groupe insikt de Future \\ de Future a découvert de nouvelles activités de cyber par le groupe TAG-100, ciblant les organisations du secteur du gouvernement, intergouvernemental et du secteur privé dans le monde.Le groupe INSIKT évalue que le groupe a probablement un motif de cyber-espionnage. ## Description TAG-100 utilise des outils d'accès à distance open source et exploite les périphériques orientés Internet pour l'accès initial.Le groupe a été observé en tirant parti de Pantegana, Sparkrat, Leslieloader et [Cobalt Strike] (https: //security.microsoft.com/intel-profiles/fd8511c1d61e93d39411acf36a31130a6795efe186497098fe0c6f2ccfb920fc).TAG-100 exploite également rapidementVulnérabilités dans les appareils sur Internet.En mars et avril 2024, le groupe a été observé en exploitant [CVE-2024-3400] (https://security.microsoft.com/intel-profiles/cve-2024-3400) dans les réseaux de Palo Alto2019-9621] (https://security.microsoft.com/intel-explorer/cves/cve-2019-9621/) dans la suite de collaboration Zimbra. Le ciblage des appareils sur Internet permet aux attaquants d'accéder aux réseaux cibles grâce à des produits qui ont diminué la visibilité des équipes de sécurité et des solutions, réduisant le risque de découverte après l'infiltration. En mai 2024, le groupe a probablement compromis les organisations dans au moins dix pays.Insikt Group a identifié ce qui suit comme des organisations importantes: - Organisations intergouvernementales avec siège social en Asie du Sud-Est et en Océanie - Ministères des affaires étrangères pour les pays d'Asie du Sud-Est, d'Amérique du Sud et des Caraïbes - Une ambassade aux États-Unis pour un pays d'Asie du Sud-Ouest - Un certain nombre d'organisations religieuses aux États-Unis et à Taïwan - Une association professionnelle de l'industrie financière basée aux États-Unis - Une entreprise de tests et d'assemblage semi-conducteurs à Taiwan Bien que le groupe INSIKT ne soit pas en mesure d'attribuer l'activité de Tag-110 \\ pour le moment, le ciblage répété du groupe \\ des organisations diplomatiques, religieuses et inter-gouvernementales est conforme à un motif d'espionnage.De plus, plusieurs cibles de cette activité sont conformes à celles historiquement ciblées par les groupes chinois parrainés par l'État.Le groupe Insikt continue d'étudier cette activité. ## Analyse Microsoft Microsoft a observé [typhon de soie] (HTTPS: //security.microsoft.com/intel-profiles/4fe46ed1e8116901052cca3df4c03fca1c56b72c3aaaa769b3907ebb7dcbf875d) et Mulberry Typhoon, deuxActeurs de menace de l'État-nation chinois, exploitant CVE-2024-3400.En avril 2024, le typhon de soie a été observé par Microsoft et [Volexity] (https://www.volexity.com/blog/2024/04/12/zero-king-exploitation-of-unauthenticated-remOte-Code-Exécution-Vulnerabilité dans l'HobalProtect-CVE-2024-3400 /) Exploiter CVE-2024-3400 pour obtenir un accès initial aux réseaux cibles.Le typhon de soie se concentre sur RecOnzesance et la collecte de données en recherchant des sites Web ouverts pour les données divulguées sur l'infrastructure ciblée ainsi que pour exploiter les vulnérabilités zéro-jours.Le groupe cible généralement les soins de santé, l'enseignement supérieur, les entrepreneurs de défense, les groupes de réflexion politiques et les organisations non gouvernementales aux États-U | Tool Vulnerability Threat Medical | ★★★ |
To see everything:
Our RSS (filtrered)
