<p>This article provides an analysis of World Leaks, a new extortion platform that emerged in early 2025, detailing its origins, operational challenges, and collaborations with other threat actors.</p...

En laissant l'affichage public activé sur son serveur, un opérateur de phishing a offert aux chercheurs de Lexfo une plongée intégrale dans ses outils, ses victimes et ses complices. Trois campagnes d...

<p>The article analyzes the Secp0 ransomware, which emerged in early 2025 and operates as conventional double-extortion ransomware, encrypting data while threatening public disclosure, targeting Linux...

Cette conférence décrit la découverte, l'impact et l'exploitation de la vulnérabilité CVE-2024-2961, publiée par LEXFO il y a quelques mois. Ici, pas d'injection SQL, de Cross-Site Scripting ou d'injection de commande : on attaque directement l'interpréteur du langage ! En effet, cette faille de dépassement de tampon (buffer overflow), située dans la GLIBC, la librairie standard utilisée par tous les programmes Linux, offre la possibilité de corrompre l'allocateur PHP, et ainsi prendre le contrôle d'un serveur à distance. À travers l'exploitation de cette vulnérabilité, de deux façons différentes (via les failles de lecture de fichier, et les appels directs à la fonction vulnérable), cette conférence vous donnera un aperçu du fonctionnement interne de PHP, son allocateur, et ses structures principales (zval, zend_string, etc.), et comment un hacker peut compromettre l'interpréteur du langage, à même son coeur.

Learn how Bishop Fox built a POC exploit for the pre-authentication remote code injection vulnerability in the Fortinet SSL VPN published by Lexfo.

An attacker running a live Microsoft 365 phishing operation left a Python web server listening on a public port with directory listing switched on. The command that did it: python3 -m http.server 8080, was still sitting in the readable .bash_history. From that one lapse, French security firm Lexfo lifted the operator's entire toolkit and pivoted through it to two more

An attacker running a live Microsoft 365 phishing operation left a Python web server listening on a public port with directory listing switched on. The command that did it: python3 -m http.server 8080, was still sitting in the readable .bash_history. From that one lapse, French security firm Lexfo lifted the operator's entire toolkit and pivoted through it to two more

An attacker running a live Microsoft 365 phishing operation left a Python web server listening on a public port with directory listing switched on. The command that did it: python3 -m http.server 8080, was still sitting in the readable .bash_history. From that one lapse, French security firm Lexfo lifted the operator's entire toolkit and pivoted through it to two more

A phishing server with directory listing enabled exposed complete M365 phishing toolkits, two distinct MFA bypass techniques, and evidence of AI-assisted development. Discovered by Lexfo in late April 2026, the server revealed three independent Evilginx operations, including one abusing Microsoft's

A server with directory listing enabled revealed the full arsenal of three phishing operators targeting Microsoft 365 accounts using distinct MFA-neutralization techniques. The discovery, published in late July by French security firm Lexfo, documents how a basic operational error on attack infrastr

An exposed attack server led Lexfo to three Microsoft 365 phishing operations using Evilginx and device code abuse to capture sessions.

At a glance Actor / group codemado, mail-argenta, saroula01 (online aliases) Activity AiTM phishing and OAuth Device Code Flow abuse Targets / victims Corporate Microsoft 365 accounts, plus crypto and consumer platforms Scale (claimed) 218+ victims across 12 countries in the largest campaign Status No arrests reported; public research disclosure Source LEXFO threat report; SOCRadar "The Quarry" report TL;DR In late April 2026, one open directory exposed the full toolkit of a live phishing operation.

Durante um ataque de phishing direcionado a contas corporativas do Microsoft 365, **um cibercriminoso cometeu um erro que gerou a identificação de múltiplos golpes**. Pesquisadores da empresa francesa Lexfo descobriram que o atacante deixou seus rastros acidentalmente e encontraram a “caixa de ferramentas” usada para diversas campanhas maliciosas. A companhia de segurança descobriu isso durante uma varredura de rotina na internet no final de abril de 2026. O criminoso, apelidado de Codemado, executava uma operação de phishing recorrente, mas deixou o diretório do seu servidor aberto. Os pesquisadores encontraram e resolveram olhar o que tinha nesse server. Uma vez com acesso ao servidor,**foi descoberto o kit que esse cibercriminoso utilizava em seus ataques**. Ao investigar um pouco mais, a Lexfo descobriu que essas ferramentas não eram usadas somente por Codemado, mas também por dois outros atacantes maliciosos, chamados de mail-argenta e saroula01. Diferente dos ataques de força bruta, nos quais o criminoso tenta adivinhar as senhas repetidamente, **essa nova onda de invasões foca no roubo de tokens de sessão**. É como se esses tokens fossem uma grande credencial que um site emite após um usuário inserir sua senha e o código de autenticação multifatorial (MFA). Codemado usava o software Madoo Blaster, uma interface para geranciamento de spams (Imagem: Lexfo/reprodução) **O principal risco dessas campanhas é a falsa sensação de segurança**. Como a vítima passa pelo processo de MFA, ela acredita estar protegida. No entanto, o ataque ocorre depois dessa etapa. Isso é uma porta aberta para o sequestro de dados importantes da plataforma que o usuário tenta acessar. ## Quando o MFA não resolve O centro do ataque ao Microsoft 365 e a caixa de ferramentas dos criminosos reside nos tokens. Essas ferramentas encontradas não são inéditas, mas sim**versões modificadas de um software de código aberto chamado Evilginx** , disponível publicamente no GitHub. A partir disso, eles usaram IAs como o Claude para criar um ecossistema de phishing. A metodologia utilizada por Codemado e email-agenta usa esse Evilginx para **criar uma cópia perfeita da página de login da Microsoft**. Quando a vítima acessa o link falso, o servidor do criminoso se coloca no meio da comunicação. A vítima digita a senha e o MFA e o servidor do hacker repassa isso em tempo real para a Microsoft. O resultado desse processo é que a Microsoft acaba validando o token de sessão e o hacker guarda uma cópia disso, sem que a vítima perceba. Já o esquema de saroula01 usa o “Device Code Flow”, que é aquele código usado em SmartTVs para fazer logins em aparelhos por meio de um QR Code na tela. O hacker gera um desses códigos e envia um e-mail falso à vítima, alertando sobre um "problema no autenticador" e pedindo que ela acesse o site oficial da Microsoft para inserir o código. Cibercriminosos usaram a IA CyberNeurova para gerar scripts sem restrições (Imagem: Lexfo/reprodução) A vítima entra no site real, coloca sua senha, passa pelo MFA verdadeiro e digita o código do hacker. Ao fazer isso, ela autoriza remotamente o acesso do criminoso à sua conta corporativa. Em ambos os casos, **o acesso aos tokens por parte dos criminosos ocorre sem que a vítima perceba.** ## Como se proteger de ataques assim? O grande problema em ataques direcionados ao MFA é que eles são um mecanismo de segurança legítimo. As vítimas não podem fazer muita coisa, visto que esse recurso já é a grande recomendação de vários especialistas para evitar golpes. A Lexfo recomenda que **empresas adotem soluções de autenticação multifatorial resistentes a phishin** g, como o FIDO2 ou chaves de segurança via biometria. Por falar em golpes, o famoso vírus Redhook evoluiu e agora utiliza uma função nativa do próprio Android para roubar usuários e controlar celulares. Siga o **TecMundo** no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.

En laissant l'affichage public activé sur son serveur, un opérateur de phishing a offert aux chercheurs de Lexfo une plongée intégrale dans ses outils, ses victimes et ses complices. Trois campagnes distinctes, 218 comptes professionnels compromis dans 12 pays, et un écosystème criminel alimenté...

An attacker running a live Microsoft 365 phishing operation left a Python web server listening on a public port with directory listing switched on. The command that did it: python3 -m http.server 8080, was still sitting in the readable .bash_history. From that one lapse, French security firm Lexfo lifted the operator's entire toolkit and pivoted through it to two more

An attacker running a live Microsoft 365 phishing operation left a Python web server listening on a public port with directory listing switched on. The command that did it: python3 -m http.server 8080, was still sitting in the readable .bash_history. From that one lapse, French security firm Lexfo lifted the operator's entire toolkit and pivoted through it to two more

設定ミスのあるサーバー1台から、活動中の3人体制フィッシングエコシステムのツールキット一式が丸ごと露見しました。 フランスのセキュリティ企業Lexfoによる新たな調査によると、この公開ディレクトリはブダペストの仮想プライベートサーバー上で稼働していたPython製HTTPサーバーで、4月下旬にディレクトリ一覧表示が有効

Curate Feeds | Make Collections | Customize Email Briefs