Bienvenue sur Cyberveille

🏛️ Contexte Source : Communiqué officiel du Département de Justice américain (DOJ), publié le 18 août 2026. Un acte d’accusation révisé (S2) en 14 chefs d’accusation a été descellé, ciblant 17 membres du Mabna Institute, une société iranienne fondée vers 2013 à Téhéran. Neuf des 17 accusés avaient déjà été inculpés dans un premier acte de mars 2018. 🎯 Acteurs et commanditaires Fondateurs : Gholamreza Rafatnejad et Ehsan Mohammadi Commanditaire principal : Islamic Revolutionary Guard Corps (IRGC), ainsi que d’autres entités gouvernementales et universitaires iraniennes Le Mabna Institute opérait comme une structure de hacking-for-hire, employant des contractuels dont Behzad Mesri (alias « Skote Vahshat »), Keyvan Fayaz (alias « Achilles », « The Joker », « bc.monster »), Mojtaba Galekuhi, Arman Kahzadian, Saber Shahbazi Ballojeh, et d’autres 🏫 Campagne universitaire Cibles : plus de 100 000 comptes de professeurs dans le monde Compromis : ~8 000 comptes de professeurs dans 144 universités américaines et 178 universités étrangères (Australie, Canada, Chine, Allemagne, Israël, Japon, Royaume-Uni, etc.) Période : 2013 – décembre 2017 au minimum Volume volé : 31,5 téraoctets de données académiques et propriété intellectuelle Technique principale : spearphishing pour obtenir des identifiants, puis accès non autorisé aux systèmes universitaires Revente : données revendues via deux sites web — Megapaper.ir (opéré par Falinoos Company, contrôlée par Abdollah Karima) et Gigapaper.ir — à des universités et institutions iraniennes 🏢 Campagnes secteur privé et gouvernemental Victimes : au moins 42 entreprises privées américaines, 11 entreprises étrangères (Allemagne, Italie, Suisse, Suède, Royaume-Uni), 5 agences gouvernementales fédérales et étatiques américaines, 2 ONG Entités nommées : Département du Travail américain, Federal Energy Regulatory Commission, État d’Hawaï, État d’Indiana, Nations Unies, UNICEF Cas HBO : Behzad Mesri, avec Houshyar, Hashemloo, Fayaz, Ballojeh et Kahzadian, a piraté les systèmes de Home Box Office (HBO), volé des données propriétaires et tenté une extorsion de ~6 millions USD en Bitcoin Techniques : password spray attacks, accès non autorisé, exfiltration de données — coûts de remédiation dépassant 20 millions USD pour les victimes ⚖️ Charges et sanctions Les 17 accusés font face à 14 chefs d’accusation incluant : ...

🔍 Contexte Publié le 19 août 2026 par Truffle Security Co. sur leur blog de recherche « The Dig », cet article présente les résultats d’une campagne de re-vérification massive de clés AWS exposées publiquement, menée en coordination avec le lancement de leur outil TruffleHog AWS Analyze. 📊 Périmètre de l’étude Les scanners de TruffleHog ont identifié 64 024 paires de clés AWS uniques issues de 431 875 findings publics collectés entre août 2022 et août 2026, provenant de : ...

🔍 Contexte Publié le 20 août 2026 sur Malwarebytes, cet article rapporte la découverte par le chercheur Jeremiah Fowler d’une base de données cloud non sécurisée contenant plus de 9 millions de fichiers images (environ 450 Go), exposée sans aucune authentification requise. 🏢 Entité concernée La base de données a été attribuée à ClarityCheck, une société enregistrée aux États-Unis proposant un service de recherche inversée d’images permettant d’identifier des personnes à partir de photos et de retrouver leurs noms, profils sociaux et présence en ligne. ...

🗓️ Contexte Le 20 août 2026, Wiz Research publie une analyse technique d’une attaque de chaîne d’approvisionnement ciblant l’écosystème Rust via le registre officiel crates.io. L’article s’appuie également sur des données de Google Threat Intelligence. 🎯 Vecteur d’attaque Trois crates Rust légitimes ont été compromises par la publication de versions malveillantes : arrayref@0.3.10 (présent dans >35% de tous les environnements, ¾ des environnements Rust) internment@0.8.7 append-only-vec@0.1.9 Ces versions ajoutent une dépendance typosquattée (proc-macro1, imitant le légitime proc-macro2 avec 154M+ téléchargements). Le script de build build.rs de proc-macro1 exécute la charge malveillante au moment de la compilation (cargo build), sans interaction utilisateur supplémentaire. ...

🔍 Contexte Publié le 20 août 2026 par Jiří Vinopal (Check Point Research), cet article présente la première rétro-ingénierie complète du driver BTR.sys (Windows Defender Boot-Time Removal), un composant légitime signé Microsoft embarqué dans MpEngine.dll. L’analyse a débuté lors d’une investigation de réponse à incident où le driver avait été initialement confondu avec un artefact malveillant en raison de ses caractéristiques inhabituelles. ⚙️ Fonctionnement de BTR.sys Origine : embarqué comme ressource PE (BOOTTIMETOOL) dans MpEngine.dll, déposé sur disque avec un nom aléatoire ([a-z]{8}.sys) uniquement lors d’actions de remédiation nécessitant un redémarrage Configuration : lue depuis un Alternate Data Stream (ADS) (:changelist) chiffré par RC4 avec une clé de 256 octets codée en dur dans la section .rdata, identique sur toutes les versions Intégrité : vérifiée par un CRC-32 modifié (~CRC32, sans inversion finale), non cumulatif par structure Comportement : driver « one-shot » — charge, exécute les transactions, génère un rapport, puis se décharge immédiatement en retournant 0xC0000056 (STATUS_DELETE_PENDING) 🗂️ Structure de transaction (format propriétaire) Global Header (24 octets) : magic 0xFEE1DEAD, version 0x00000002, CRC, TransID Global Payload : chemin Unicode du fichier de feedback (rapport d’exécution) Item Header (16 octets) : DataSize, ActionID, CRC Item Data : variable selon l’ActionID 🔑 Action IDs weaponisables Opérations fichiers : ...

📅 Source : Blog officiel Cloudflare, publié le 19 août 2026. Cet article présente les résultats d’une réévaluation interne des attaques Spectre distantes sur la plateforme Cloudflare Workers, menée en 2024 et début 2025, suite à l’émergence de nouvelles techniques de stabilisation de ces attaques depuis l’évaluation initiale de 2021. 🔬 Contexte technique : Cloudflare Workers exécute du JavaScript non fiable sur le edge en mutualisant des milliers de tenants dans un même processus OS via des isolats V8. En 2021, Cloudflare avait déployé Dynamic Process Isolation (DyPrIs) comme défense principale. Les chercheurs ont identifié une limitation dans l’implémentation de DyPrIs et ont construit un proof-of-concept fonctionnel en environnement de production. ...

🔍 Contexte En août 2026, l’équipe Threat Response Unit (TRU) d’eSentire publie une analyse technique détaillée de campagnes observées fin juillet 2026, combinant deux services Malware-as-a-Service (MaaS) : ErrTraffic et Cruciferra. 🎯 Vecteur d’accès initial Les victimes atterrissent sur des sites WordPress compromis contenant un inject JavaScript obfusqué généré par ErrTraffic. Ce script : Est encodé en base64 et chiffré par XOR à un octet Résout son domaine C2 via un smart contract Polygon (méthode getDomain, RPC eth_call) Charge dynamiquement le code source JavaScript du leurre ClickFix Le leurre ClickFix copie une commande PowerShell malveillante dans le presse-papiers et incite la victime à l’exécuter via Windows Key + X -> I. ...

🔍 Contexte Article publié le 22/08/2026 sur le blog personnel de l’auteur (lina.sh). Il s’agit d’un post-mortem technique détaillant une découverte de sécurité DNS réalisée par un chercheur indépendant sur l’infrastructure ENUM (e164.arpa), un système de routage téléphonique via DNS issu des années 2000. 🧩 Mécanisme de la vulnérabilité Le chercheur a scanné les zones déléguées de e164.arpa à la recherche de zones abandonnées. Il a identifié trois zones pays : ...

🔍 Contexte Publié le 20 août 2026 par IBM X-Force (auteurs : Agnes Ramos-Beauchamp, Joshua Chung, Golo Mühr, Joe Fasulo), cet article présente une analyse technique approfondie des opérations de l’acteur ITG27 (anciennement Hive0154, aussi connu sous les noms Mustang Panda, Stately Taurus, Camaro Dragon, Twill Typhoon, Earth Preta, etc.), réalisée en collaboration avec Deception.Pro. 🎯 Ciblage et contexte géopolitique Depuis au moins 2024, ITG27 conduit des campagnes d’espionnage alignées sur les intérêts stratégiques de la Chine. En mai 2026, X-Force a identifié une campagne ciblant le gouvernement indien et le secteur énergétique, exploitant la thématique géopolitique de la coopération hydroélectrique (rivière Brahmaputra, projets de barrages en Arunachal Pradesh). Les leurres imitaient le Ministère des Affaires Étrangères du Népal. ...

🔍 Contexte Publié le 21 août 2026 par Dmitry Kalinin sur Securelist (Kaspersky), cet article documente la découverte en juin 2026 d’un malware Android multi-étapes ciblant les autoradios embarqués (head units) basés sur Android, représentant le premier cas documenté d’infection via la chaîne de mise à jour spécifique à ce type d’équipement. 🎯 Vecteur d’infection Le vecteur d’infection repose sur l’application légitime TWCore (package com.tw.core), responsable de la collecte d’analytics et des mises à jour logicielles sur les autoradios DoFun. TWCore reçoit des messages via un broker MQTT hébergé sur cardoor.cn, contenant des instructions pour télécharger et installer des APK. Un champ installNotExists permet d’installer des applications absentes du firmware d’origine, sans vérification d’intégrité suffisante. ...