Bienvenue sur Cyberveille

🔍 Contexte : Le 29 octobre 2026, Pluto Research (Pluto Security) publie une analyse technique détaillée d’une campagne malveillante exploitant les dépôts de modèles IA sur Hugging Face et ModelScope. L’investigation a été menée par Shaked Chen, Eitan Chassid et Yotam Perkal. ⚠️ Nature de la menace : La campagne exploite le mécanisme trust_remote_code=True de la bibliothèque Transformers (HuggingFace), qui permet l’exécution de code Python arbitraire lors du chargement d’un modèle. Les fichiers Python référencés via auto_map dans config.json s’exécutent avant même l’initialisation du modèle, sans nécessiter de poids malveillants. ...

🔍 Contexte Le 30 octobre 2026, Chainalysis, plateforme spécialisée en analyse blockchain et investigation crypto, a publié sur son blog officiel une communication de transparence concernant un incident de sécurité récent affectant ses systèmes et certains de ses clients. ⚠️ Ce qui s’est passé Ce mois d’octobre 2026, Chainalysis a détecté qu’un acteur externe a utilisé des techniques agentiques offensives (« offensive agentic techniques ») pour obtenir un accès non autorisé à ses systèmes et outils internes. L’incident s’inscrit dans un contexte décrit comme une hausse généralisée des cyberattaques pilotées par l’IA touchant de nombreuses plateformes technologiques. ...

🗓️ Contexte Source : The Brussels Times / Belga, publié le 29-31 octobre 2026. L’article rapporte une cyberattaque ayant ciblé le Ministère des Finances belge dans la nuit du mardi 28 au mercredi 29 octobre 2026. 🔍 Déroulement de l’incident L’attaque a été détectée en quelques heures après sa survenue. Selon le porte-parole Francis Adyns, plusieurs tentatives de modification de l’environnement numérique du ministère ont été identifiées. Les intrus n’ont pas réussi à prendre le contrôle des applications Aucun accès aux données n’a été obtenu Les éléments potentiellement infectés ont été isolés par précaution 💥 Impact Trois services numériques majeurs ont été mis hors ligne : ...

🌐 Contexte Publié le 22 octobre 2025 par la Multilateral Sanctions Monitoring Team (MSMT), ce rapport regroupe les contributions de onze États participants (Australie, Canada, France, Allemagne, Italie, Japon, Pays-Bas, Nouvelle-Zélande, République de Corée, Royaume-Uni, États-Unis) ainsi que de partenaires privés (Chainalysis, Mandiant, Palo Alto Networks, DTEX, Upwork, Sekoia.io). Il couvre la période janvier 2024 – septembre 2025. 💰 Vols de cryptomonnaies La RPDC a volé au moins 2,837 milliards USD en cryptomonnaies sur la période : ...

🔍 Contexte Rapport d’infrastructure intelligence publié le 30 octobre 2026 par ThreatMon (TTI-IN-004, TLP:WHITE), couvrant une analyse conduite du 24 au 30 octobre 2026. L’investigation porte sur un environnement C2 suspect utilisé pour des opérations de collecte de données ciblant plusieurs organisations au Mexique. 🏗️ Architecture C2 identifiée L’environnement C2 ne repose pas sur un framework centralisé unique, mais sur une collection d’utilitaires spécifiques à chaque étape : Serveur HTTP (c2_server.py) : écoute sur TCP/8080, reçoit des données via POST et les stocke dans des fichiers locaux (wls_secrets.tar.gz, SerializedSystemIni.dat, recon_output.txt) Exécution de commandes via XML : bridge.xml utilise ProcessBuilder Java pour télécharger et exécuter run_bridge.sh depuis 34.66.239.213 Tunnel SSH (run_bridge.sh / wls_bridge.py) : établissement d’un reverse port forwarding SSH sur TCP/1521 (Oracle DB) Scripts d’extraction Python : cinq scripts distincts adaptés à chaque cible Transfert cloud via rclone : destination configurée sous le nom leviathan-drive (Google Drive) 🎯 Cibles identifiées Organisation Secteur Méthode Résultats enregistrés Télécoms Provider A Télécommunications Extraction BDD Oracle ~82 478 lignes (SIM-related) Télécoms Provider B Télécommunications API facturation 306 enregistrements Assurance Provider Assurance API applicative 554 enregistrements Entité gouvernementale Gouvernement Reconnaissance + outillage Oracle 49 hôtes inventoriés Université mexicaine Éducation Extraction BDD Oracle Plusieurs tables, erreurs de connexion 📋 Séquence opérationnelle reconstruite Découverte : inventaire des cibles, énumération des services Exécution : payloads XML malveillants via Java ProcessBuilder Accès distant : tunnel SSH avec reverse port forwarding (TCP/1521) Collecte : extraction par lots depuis Oracle DB et APIs applicatives Transfert : compression JSONL.gz + upload via rclone copyto vers leviathan-drive Nettoyage : suppression des fichiers locaux après transfert réussi 🖥️ Infrastructure hôte Hostname : rclone-leviathan-worker, utilisateur local : jarold Journaux système : 20–29 octobre 2026, 4 sessions de boot Connexion NetBird active (WireGuard P2P) entre 34.66.239.213 et une adresse secondaire (non divulguée), latence 79,20 ms, 44,1 MiB reçus / 214,0 MiB envoyés Clé SSH ED25519 privée récupérée dans l’environnement ⚠️ Éléments non confirmés Vecteur d’accès initial non établi Tunnel SSH réussi non confirmé Exfiltration complète des datasets non vérifiée indépendamment Identité de l’opérateur non attribuée 📌 Type d’article Rapport d’infrastructure intelligence technique (analyse de menace), produit par ThreatMon pour documenter les composants C2 récupérés, les cibles identifiées et les IOCs associés, sans attribution à un acteur spécifique. ...

🌐 Contexte Publié le 29 octobre 2026 sur SecurityWeek par Eduard Kovacs, cet article repose sur deux rapports simultanés : l’un de Cisco Talos et l’autre de Lumen’s Black Lotus Labs, portant sur l’exploitation d’une vulnérabilité critique dans les équipements Cisco Catalyst SD-WAN. 🔓 Vulnérabilité exploitée CVE-2026-20127 : score CVSS de 10 (critique), divulguée en février 2026 Permet une exploitation à distance sans authentification Contourne l’authentification de peering des composants contrôleurs SD-WAN Confère des droits administrateur et permet de modifier la configuration du réseau SD-WAN Volt Typhoon exploitait cette faille dès fin 2025, bien avant sa divulgation publique, et a continué après 🦠 Malware : KeyDrift Cisco Talos a identifié un framework malveillant nommé KeyDrift, composé de deux modules : ...

🗓️ Contexte Source : BleepingComputer, publié le 29 octobre 2026. L’investigateur blockchain Iris a identifié et signalé une application iOS frauduleuse sur l’Apple App Store, usurpant l’identité de la plateforme de trading de meme coins Padre Terminal (renommée Terminal by pump.fun). 🎯 Nature de l’attaque L’application malveillante, référencée sous l’ID App Store 6802739263, se présentait comme un outil de trading de cryptomonnaies sur la blockchain Solana. Elle incitait les utilisateurs à importer leurs clés privées, qu’elle exfiltrait ensuite pour vider les wallets. L’interface de trading était probablement servie à distance (remotely), selon Iris. ...

🔍 Contexte Publié le 29 octobre 2026 par la Sophos Counter Threat Unit (CTU), cet article présente une analyse technique détaillée des opérations du groupe cybercriminel GOLD OGRE, opérateur du ransomware Aur0ra (aussi connu sous le nom Aurora ransomware). L’analyse s’appuie sur des investigations menées depuis mai 2026 et est complétée par des rapports tiers de Gambit Security et CloudSEK. 🧠 Utilisation de l’IA dans les opérations offensives GOLD OGRE a intégré des agents IA dans toutes les phases de ses attaques : ...

🔍 Contexte Source : Chainalysis (blog officiel), publié le 30 octobre 2026. Cet article présente l’analyse forensique en temps réel du plus grand vol de cryptomonnaies de l’histoire, survenu le 29 octobre 2026 sur la plateforme Binance. 💥 Déroulement de l’attaque À partir de 16h20 ET le 29 octobre 2026, des fonds ont commencé à quitter les hot wallets de Binance sur plusieurs blockchains simultanément. Le montant total des transferts non autorisés s’élève à environ 6,4 milliards de dollars USD. ...

🏥 Contexte Source : SecurityWeek (Associated Press), publié le 26 octobre 2026. L’University of New Mexico Health System (UNM Health System), principal réseau hospitalier du Nouveau-Mexique, a été frappé par un incident cybersécurité le lundi 27 octobre 2026, perturbant gravement ses opérations. 💥 Impact opérationnel L’incident a entraîné les conséquences suivantes : Détournement des ambulances vers d’autres hôpitaux Fermeture temporaire du service des urgences de l’hôpital principal d’Albuquerque Annulation des rendez-vous dans plus de 30 cliniques Le Nouveau-Mexique s’est retrouvé sans centre de traumatologie de niveau 1 opérationnel (le seul de l’État) Annulation des cours au UNM Health Sciences Center, le plus grand centre médical académique de l’État Le réseau réalise environ 900 000 visites ambulatoires et 100 000 passages aux urgences par an 📢 Messages sur les postes de travail Plusieurs employés de l’UNM Health System ont rapporté avoir vu des messages affichés sur leurs ordinateurs revendiquant le vol de données d’étudiants, d’employés et de patients. Ce vecteur de notification — diffusion de messages sur les postes — est décrit comme inhabituel par la professeure Josephine Wolff (Tufts University). ...