Recherche originale citée: Suspected Nation-State Threat Actor Uses New Airstalk Malware in a Supply Chain Attack
Traduction / IOCs /TTPs Cyberveille.ch: Airstalk : un nouveau malware Windows abuse des API AirWatch pour un C2 furtif
2
[France] La première usine Huawei de France serait en vente avant même sa mise en service
(france3-regions.franceinfo.fr)
Recherche originale: "New Android Malware Herodotus Mimics Human Behaviour to Evade Detection"
Traduction / IOC /TTP Cyberveille.ch: Herodotus : un nouveau malware Android imite l’humain pour contourner les détections
À ce sujet, en complément de l’analyse technique de Kaspersky citée dans l’article, l’article d’investigation publié par TechCrunch (Lorenzo Franceschi-Bicchierai) est également intéressant : il confirme l’attribution du malware directement par le PDG de la société italienne de spyware.
👇
En relation à cette article, explications sur la source de ces données "Non, Gmail n'a pas subi de faille de sécurité massive"
Les informations faisant état d'une ' faille ' de sécurité de Gmail touchant des millions d'utilisateurs sont entièrement inexactes et incorrectes ", précise un porte-parole de Google. Un démenti d'une fuite de données ayant touché Gmail après une publication de Have I Been Pwned? (HIBP) ayant semé le trouble.
"L'alerte ne provient pas d'une nouvelle attaque, mais d'une mauvaise interprétation d'une base de données récemment ajoutée à HIBP. Troy Hunt, le créateur du service, a intégré une collection de 183 millions d'identifiants compromis, fournie par la plateforme de renseignement sur les menaces Synthient.
Ces identifiants n'ont pas été volés lors d'une unique violation de données, mais collectés au fil des années via diverses méthodes comme des malwares de type infostealers, des violations d'autres sites ou du phishing.
Des données pas vraiment nouvelles Troy Hunt lui-même a expliqué que pour l'ensemble des données dans HIBP, 91 % des 183 millions d'identifiants étaient déjà connus et présents dans la base. Cela signifie que la grande majorité de ces informations circule, pour certaines, depuis des années."
👇
https://www.generation-nt.com/actualites/google-gmail-faille-securite-dementi-infostealer-2065002
Dans les news FR: "Patchez WSUS – CVE-2025-59287 : cette nouvelle faille critique est déjà exploitée !"
👇
Proposition du CICR du 2024 cité dans l'article:
La technologie numérique fait évoluer la manière dont les armées conduisent leurs opérations en temps de guerre, ce qui s’accompagne d’un nouveau phénomène préoccupant : l’augmentation du nombre de civils qui participent à des conflits armés à travers des outils numériques. Se tenant à une certaine distance de la zone de combat, voire à l’extérieur des pays en guerre, ces civils peuvent être des « hacktivistes », des professionnels de la cybersécurité ou des « chapeaux blancs », des « chapeaux noirs » ou des hackers « patriotiques », qui mènent toutes sortes de cyberopérations dirigées contre leur « ennemi ». Certains spécialistes considèrent que les civils sont les « cybercombattants par excellence », car « c’est dans le secteur privé (ou civil) que l’on trouve la grande majorité des compétences en matière de cyberdéfense ».
-
Ne pas conduire de cyberattaques^ contre des biens de caractère civil.
-
Ne pas utiliser de logiciels malveillants ni d’autres outils ou techniques qui se propagent automatiquement et qui causent des dommages indiscriminés à des objectifs militaires et à des biens de caractère civil.
-
Faire tout ce qui est pratiquement possible pour éviter ou réduire les effets qu’une l’opération pourrait avoir sur les populations civiles au moment de la planification d’une cyberattaque.
-
Ne pas conduire de cyberopération contre des infrastructures médicales ou humanitaires. Les hôpitaux et les organisations de secours humanitaires ne doivent jamais être pris pour cible.
-
Ne pas conduire de cyberattaque contre des biens indispensables à la survie de la population civile ou qui pourraient libérer des forces dangereuses.
-
Ne pas diffuser de menaces de violence dont le but est de répandre la terreur parmi la population civile.
-
Ne pas inciter à commettre des violations du droit international humanitaire.
-
Respecter ces règles même si l’ennemi ne les respecte pas.
^Aux termes du DIH et dans le cadre des cyberopérations, la notion d’attaque recouvre des cyberopérations dont on peut raisonnablement attendre qu’elles causent — directement ou indirectement — des dommages, la mise hors service ou la destruction de biens (tels que des infrastructures, voire des données), ou des blessés ou des morts. Elle n’inclut pas, par exemple, les cyberopérations destinées à obtenir un accès à des informations sans autorisation.
-
Ne pas conduire de cyberattaques^*^ contre des biens de caractère civil.
-
Ne pas utiliser de logiciels malveillants ni d’autres outils ou techniques qui se propagent automatiquement et qui causent des dommages indiscriminés à des objectifs militaires et à des biens de caractère civil.
-
Faire tout ce qui est pratiquement possible pour éviter ou réduire les effets qu’une l’opération pourrait avoir sur les populations civiles au moment de la planification d’une cyberattaque.
-
Ne pas conduire de cyberopération contre des infrastructures médicales ou humanitaires. Les hôpitaux et les organisations de secours humanitaires ne doivent jamais être pris pour cible.
-
Ne pas conduire de cyberattaque contre des biens indispensables à la survie de la population civile ou qui pourraient libérer des forces dangereuses.
-
Ne pas diffuser de menaces de violence dont le but est de répandre la terreur parmi la population civile.
-
Ne pas inciter à commettre des violations du droit international humanitaire.
-
Respecter ces règles même si l’ennemi ne les respecte pas.
- Aux termes du DIH et dans le cadre des cyberopérations, la notion d’attaque recouvre des cyberopérations dont on peut raisonnablement attendre qu’elles causent — directement ou indirectement — des dommages, la mise hors service ou la destruction de biens (tels que des infrastructures, voire des données), ou des blessés ou des morts. Elle n’inclut pas, par exemple, les cyberopérations destinées à obtenir un accès à des informations sans autorisation.
Source cité "2025 State of Ransomware Survey" de CrowdStrike disponible ici: https://www.crowdstrike.com/en-us/press-releases/ransomware-report-ai-attacks-outpacing-defenses/
Principaux constats du rapport 2025 sur l’état des ransomwares
-
Les défenses héritées prennent du retard : 48 % des organisations considèrent que les chaînes d’attaque automatisées par l’IA représentent la plus grande menace de ransomware actuelle, tandis que 85 % signalent que la détection traditionnelle devient obsolète face aux attaques augmentées par l’IA.
-
La rapidité détermine l’issue sécuritaire : Près de 50 % des organisations craignent de ne pas pouvoir détecter ni répondre aussi rapidement que les attaques pilotées par IA ne s’exécutent, moins d’un quart récupèrent en moins de 24 heures et près de 25 % subissent des perturbations ou des pertes de données importantes.
-
L’ingénierie sociale évolue avec l’IA : Le phishing reste un vecteur d’attaque principal, 87 % des répondants estimant que l’IA rend les pièges plus convaincants et les deepfakes devenant un moteur majeur des futures attaques par ransomware.
-
Payer la rançon engendre des attaques répétées : 83 % des organisations ayant payé une rançon ont été attaquées à nouveau et 93 % se sont tout de même fait dérober leurs données.
-
Le fossé au niveau de la direction : 76 % signalent un écart entre la perception de préparation au ransomware par la direction et la réalité de leur préparation, soulignant la nécessité urgente d’un engagement du conseil pour moderniser les défenses.
🔗 Le rapport cité est disponible à l’adresse suivante : [rapport en anglais / résumé en français]. https://www.recordedfuture.com/fr/research/copycop-deepens-its-playbook-with-new-websites-and-targets
"Depuis mars 2025, Insikt Group a observé CopyCop (également connu sous le nom de Storm-1516), un réseau d'influence secret russe, créer au moins 200 nouveaux sites Web de médias fictifs ciblant les États-Unis, la France et le Canada, en plus de sites Web se faisant passer pour des marques de médias et des partis et mouvements politiques en France, au Canada et en Arménie. CopyCop a également mis en place un réseau régionalisé de sites Web se faisant passer pour une organisation fictive de vérification des faits publiant du contenu en turc, en ukrainien et en swahili, des langues qui n’avaient jamais été présentées par le réseau auparavant. En incluant les 94 sites Web ciblant l'Allemagne signalés par Insikt Group en février 2025, cela représente plus de 300 sites Web créés par les opérateurs de CopyCop depuis le début de l'année, marquant une expansion significative par rapport à notre rapport initial sur le réseau en 2024, et dont beaucoup n'ont pas encore été documentés publiquement.
Ces sites sont très probablement gérés par John Mark Dougan avec le soutien du Centre d'expertise géopolitique (CGE) basé à Moscou et de la Direction principale de l'état-major général des forces armées de la Fédération de Russie (GRU). CopyCop utilise ces sites Web comme infrastructure pour diffuser du contenu d'influence ciblant les dirigeants pro-occidentaux et publier du contenu généré par l'intelligence artificielle (AI) avec des thèmes pro-russes et anti-ukrainiens pour soutenir les opérations offensives de la Russie dans l'environnement informationnel mondial."
Source citée: Revealed: Israel demanded Google and Amazon use secret ‘wink’ to sidestep legal orders
Traduction / résumé Cyberveille.ch: Google et AWS auraient accepté un « mécanisme clin d’œil » dans le contrat Nimbus pour signaler des remises de données