Bienvenue sur Cyberveille

🌐 Contexte Source : BleepingComputer, publié le 8 juillet 2026. Proofpoint a documenté une campagne d’espionnage active depuis mai 2026, ciblant des serveurs Roundcube dans des universités américaines et canadiennes. 🎯 Ciblage La campagne, suivie sous le nom UNK_MassTraction, vise spécifiquement : Les départements de physique et d’ingénierie Les administrateurs et professeurs Les organisations impliquées en astrophysique, physique des particules ou recherche liée à la sécurité nationale 🔗 Chaîne d’attaque Email malveillant envoyé depuis des comptes compromis ou des domaines usurpés Ouverture de l’email dans Roundcube → exploitation de CVE-2024-42009 (XSS) → exécution de JavaScript → chargement du payload IceCube IceCube collecte identifiants, mots de passe, cookies, données 2FA et informations navigateur Exploitation de CVE-2025-49113 (désérialisation Roundcube) via des « helpers » Tentative d’installation de SquareShell (webshell PHP avec RCE) En cas d’échec : téléchargement d’un script shell chargeant VShell directement en mémoire 🛠️ Outils utilisés IceCube : stealer Roundcube complet SquareShell : webshell PHP avec capacités RCE VShell : backdoor Go commodity supportant l’accès shell interactif et le port forwarding, couramment utilisé par des acteurs chinois 🕵️ Attribution Proofpoint évalue avec faible confiance que UNK_MassTraction est un acteur d’espionnage aligné avec la Chine, sur la base de : ...

🔍 Contexte Publié le 8 juillet 2026 par Datadog Security Labs (auteure : Julie Agnes Sparks), cet article de recherche documente plusieurs mois de surveillance d’une activité soutenue d’abus de l’API GitHub visant à cartographier des organisations, leurs membres et leurs dépôts. 🎯 Nature de la menace L’activité observée n’est pas attribuée à un acteur unique mais à plusieurs campagnes chevauchantes combinant : Des réseaux de comptes « ghost » (créés 2 à 5 ans avant activation) envoyant du trafic API coordonné Des tokens OAuth et PAT compromis issus d’utilisateurs légitimes (exposition accidentelle ou compromission d’endpoint) Des outils de scraping automatisés avec des user agents personnalisés ou imitant des outils légitimes 👻 Comptes fantômes Plus de plusieurs dizaines de comptes ghost ont été confirmés depuis octobre (année non précisée). Les conventions de nommage forment des familles reconnaissables : préfixe amazon-data-*, famille *-orb (kuku-orb, lolo-orb, lulu-orb, ruru-orb, zouzou-orb, meme-orb), BirdWithDreams, BirdWithPlan, user432023, user412023. Ces comptes sont utilisés en rafales de 2 à 3 semaines sur de nombreuses organisations. ...

📰 Contexte Source : The Record Media, publié le 8 juillet 2026. Block Inc., société fondée par Jack Dorsey en 2009 et propriétaire de l’application de paiement Cash App, a conclu un accord amiable avec 46 États américains pour un montant total de 45 millions de dollars, en réponse à des allégations de manquements graves à la sécurité et de tromperie des consommateurs. ⚖️ Faits reprochés Les procureurs généraux des États impliqués ont identifié plusieurs défaillances majeures : ...

🗓️ Contexte Source : inside-it.ch, publiée le 8 juillet 2026. L’article rapporte une cyberattaque ciblant les Services Psychiatriques d’Argovie (Psychiatrische Dienste Aargau), un établissement de santé mentale en Suisse. 🎯 Nature de l’incident L’attaque a visé des comptes e-mail individuels au sein de l’organisation. Les attaquants ont exploité ces comptes pour utiliser abusivement les adresses d’expéditeur légitimes, vraisemblablement à des fins de phishing ou d’envoi de messages frauduleux en se faisant passer pour l’établissement. ...

📰 Source : BleepingComputer, basé sur une analyse de Socket — publié le 8 juillet 2026. Contexte Une campagne de supply chain attack ciblant les développeurs intégrant des solutions de paiement a été détectée sur les registres npm et PyPI. Les plateformes visées sont Paysafe, Skrill et Neteller, utilisées dans l’e-commerce, le gaming, les paris en ligne, les échanges crypto et le Forex. Mécanisme d’attaque Un acteur inconnu a publié 17 packages malveillants simultanément (13 sur npm, 4 sur PyPI), imitant des SDKs officiels de paiement : ...

📰 Source : The Record Media — publié le 8 juillet 2026 🔍 Contexte Huit ressortissants grecs victimes du spyware Predator ont intenté une action en justice civile contre Intellexa, fabricant du logiciel espion, ainsi que contre 13 individus liés à la société. Le montant total des dommages réclamés s’élève à environ 7,6 millions d’euros (8,7 millions de dollars), au titre du préjudice moral subi suite à la violation illégale de leur vie privée, de la confidentialité de leurs communications et de leurs données personnelles. ...

🕵️ Contexte Rapport publié le 8 juillet 2026 par Infoblox, relayé par Cyber Security News et Cryptika. L’analyse documente une opération cybercriminelle active depuis au moins août 2022, attribuée au groupe Lurking Lizard, dont l’origine est présumée chinoise sur la base des données d’enregistrement de domaines. 🎯 Mode opératoire Lurking Lizard opère un écosystème complet de proxy résidentiel frauduleux : Utilisation de la technique drop-catching : acquisition de domaines expirés ayant hérité d’une réputation SEO accidentelle (ex. 7zip[.]com, référencé par erreur dans des forums pendant des années) Distribution de faux installeurs se substituant à des logiciels légitimes (7-Zip, outils de téléchargement TikTok/YouTube) Un lien IPLogger hardcodé dans les samples de malware a permis de relier l’ensemble des campagnes entre elles Les victimes installent un logiciel proxy caché qui loue leur connexion internet à des clients payants sans leur consentement 📦 Infrastructure et échelle Plus de 230 domaines identifiés, couvrant faux VPN, faux outils de téléchargement, faux sites de revue de proxy Au moins 7 domaines drop-catch liés au même acteur, certains enregistrés dès 2004 Connexions établies via : enregistrements WHOIS partagés, codes de tracking identiques, structures de serveurs backend communes 📱 Évolution vers WireVPN L’opération a évolué sous le nom WireVPN, disponible sur Apple App Store et Google Play, avec plus d’un million de téléchargements sur Android. Les tests ont révélé que l’application contacte un grand nombre d’adresses IP non liées et ouvre de multiples connexions simultanées, comportement cohérent avec un nœud de sortie proxy plutôt qu’un vrai VPN. Les applications utilisent des certificats de signature de code valides issus de sociétés enregistrées. ...

🗓️ Contexte Source : BleepingComputer, publié le 9 juillet 2026. Microsoft a publié un correctif de sécurité pour la vulnérabilité zero-day CVE-2026-50656, surnommée RoguePlanet, affectant Microsoft Defender sur Windows 10 et Windows 11 entièrement patchés. 🔍 Détails de la vulnérabilité Type : Race condition dans Microsoft Defender Impact : Élévation de privilèges permettant d’ouvrir une invite de commande avec des privilèges SYSTEM Conditions : Fonctionne que la protection en temps réel soit activée ou non Fiabilité : Variable selon les machines (taux de succès de 0% à 100% selon l’environnement) Un proof-of-concept (PoC) a été publié par le chercheur sur un dépôt Git auto-hébergé, après suppression de ses dépôts GitHub et GitLab par Microsoft 🛠️ Correctif Microsoft a adressé la vulnérabilité via la mise à jour du Microsoft Malware Protection Engine version 1.1.26060.3008, le moteur central de ses solutions de sécurité. Microsoft avait confirmé travailler sur un correctif dès le 16 juin 2026, sans reconnaître publiquement la découverte de Nightmare Eclipse. ...

📰 Source : BleepingComputer | Date de publication : 8 juillet 2026 | Incident : cyberattaque contre Mount Royal University (MRU), Calgary, Canada 🎯 Contexte de l’incident Le 17 juin 2026, la Mount Royal University (MRU) de Calgary a été victime d’une cyberattaque ayant perturbé une large gamme de systèmes universitaires, notamment les services en ligne, l’accès internet et certains systèmes internes. L’université compte 11 560 étudiants actifs et 12 500 étudiants de premier cycle. ...

🔍 Contexte Source : Cybernews, publié le 8 juillet 2026. L’équipe de recherche de Cybernews a découvert le 18 mai 2026 une base de données Elasticsearch publiquement exposée appartenant à Nextcloud, plateforme allemande de stockage cloud open-source. 📦 Données exposées Le cluster contenait 7,92 Go de données réparties en 367 000 enregistrements dans un index unique correspondant à des fichiers internes Nextcloud : Factures (envoyées et reçues) : adresses e-mail d’employés Nextcloud, noms et adresses de sociétés clientes, e-mails d’émetteurs de factures Contrats, modèles, résumés : détails de partenariats client-fournisseur Scripts Shell et Python développés pour des clients, incluant des identifiants de base de données en dur (hardcoded credentials) Fichiers .eml : contenu d’e-mails non chiffrés, horodatages, adresses expéditeur/destinataire Listes de bêta-testeurs : noms complets et adresses e-mail professionnelles En-têtes HTTP, chemins de fichiers, noms de fichiers, hachages MD5 Parmi les domaines e-mail externes identifiés : IONOS, STRATO (hébergeurs web), et des institutions gouvernementales allemandes dont le MSB NRW (Ministère de l’Éducation de Rhénanie-du-Nord-Westphalie). ...