Bienvenue sur Cyberveille

🔍 Contexte Publié le 3 novembre 2026 par Bitdefender (auteurs : Marius Baciu, Adrian Schipor, Martin Zugec), cet article présente la première attaque hybride IA documentée en Europe, impliquant un affilié du groupe ransomware-as-a-service ThreeAM (3AM) contre un réseau d’établissements scolaires au Royaume-Uni. 🎯 Victimologie La cible est un réseau scolaire britannique composé de 47 systèmes : environ 21 serveurs dont 8 contrôleurs de domaine, 10 postes sous Windows 10 (hors support), un contrôleur de domaine sous Windows Server 2012 R2, et le reste sous Windows 11. L’environnement comportait plusieurs domaines Active Directory initialement non connectés entre eux. ...

🗞️ Contexte Source : ZDFheute (zdfheute.de), publié le 2 novembre 2026. L’article rapporte la confirmation officielle par le ministre fédéral allemand du numérique d’une cyberattaque ciblant des membres du gouvernement et du Bundestag. 🎯 Nature de l’attaque Des appareils Apple (iPhones) appartenant à des membres du gouvernement fédéral allemand, des députés du Bundestag et d’autres personnalités publiques ont reçu des notifications de menace d’Apple, indiquant qu’ils ont été ciblés de manière individualisée. Le BSI précise que les appareils doivent être considérés préemptivement comme compromis. ...

🔍 Contexte En octobre 2026, l’équipe Threat Detection & Research (TDR) de Sekoia a publié une analyse technique détaillée d’une campagne de watering hole à grande échelle attribuée avec un niveau de confiance modéré à élevé à APT29 (alias Midnight Blizzard, Cozy Bear, The Dukes), intrusion set russe lié au SVR (Service de renseignement extérieur de la Fédération de Russie). 🎯 Vecteurs d’infection Trois vecteurs d’infection ont été identifiés : Compromission directe de sites légitimes : injection JavaScript dans des templates de sites (entreprise gazière ukrainienne, association industrielle américaine, parti politique européen, site militaire bulgare) Approche AiTM-like : enregistrement de domaines sosies agissant comme reverse proxies (ex: america250[.]holiday imitant america250.org, theowo[.]club imitant le Raffles London at The OWO) Compromission de la supply chain : injection malveillante dans le tracker analytics ukrainien Plerdy (a.plerdy[.]com) entre le 27 août et le 3 septembre 2026, exposant des milliers de sites ukrainiens dont des sites militaires et de défense 🧩 Script de fingerprinting : UltimateFingerprinter Le script JavaScript malveillant (5b4c8fea5cbcee273e8d830f52-temfp.js), nommé UltimateFingerprinter par les attaquants, est intégré dans une version minifiée d’AngularJS (2,3 Mo). Il collecte 394 champs de configuration du navigateur et de l’appareil (canvas, WebGL, capteurs, API modernes, etc.) et les transmet à un endpoint de livraison qui retourne un exploit adapté à la plateforme détectée. ...

🔍 Contexte Publié le 5 novembre 2026 par Silas Cutler (Censys ARC), cet article analyse ARTEX, un framework de test de pénétration autonome piloté par LLM, publié sur GitHub en juillet 2026 sous licence AGPL-3.0 par le développeur Autumn-27, également auteur de ScopeSentry. 🛠️ Description technique d’ARTEX ARTEX est écrit en Go avec une interface web Next.js, une base de données PostgreSQL, et intègre : Un agent Planner qui décompose les objectifs en « intents » d’attaque Des agents Worker qui exécutent les outils (nmap, mitmproxy, etc.) Un graphe d’assets et un graphe d’exploration Compatibilité avec Anthropic, OpenAI ou tout endpoint compatible OpenAI Intégration native avec ScopeSentry pour la découverte d’assets Microsoft décrit ARTEX comme capable d’opérer « de la reconnaissance à l’exfiltration de données » avec une intervention humaine minimale. ...

🔍 Contexte Publié le 4 novembre 2026 par l’Acronis Threat Research Unit (TRU), ce rapport détaille l’investigation d’une campagne offensive orchestrée par un unique opérateur basé à Hualien City, Taïwan, utilisant un maillage de 12 agents IA baptisé BOSSAI. L’investigation a été déclenchée par la découverte d’un environnement de développement mal configuré exposant plus de 90 000 fichiers totalisant 9 Go de données. 🤖 Architecture BOSSAI Le maillage BOSSAI est composé de 12 agents IA (9 actifs, 3 configurés mais inactifs), chacun remplissant des rôles distincts : ...

🔍 Contexte Publié le 15 octobre 2026 par Unit 42 (Palo Alto Networks), ce rapport documente une campagne d’intrusion baptisée CL-UNK-1211, active d’octobre 2025 à avril 2026. L’affiliation de ce cluster à un État-nation ou à la cybercriminalité n’a pas encore été déterminée. 🎯 Cibles et objectifs Les attaquants ont ciblé des entités gouvernementales et des infrastructures affiliées à des États, avec pour objectifs : L’exfiltration de boîtes mail gouvernementales pour accéder à des comptes de réseaux sociaux (Facebook, Instagram, Twitter, TikTok, LinkedIn) Le dump complet de bases de données sensibles Le maintien d’un accès persistant à long terme 🤖 Utilisation de l’IA pour la génération de payloads Les scripts malveillants contenaient des annotations conversationnelles et des commentaires de raisonnement étape par étape, caractéristiques d’une génération par LLM ou d’un agent IA automatisé. Les indicateurs incluent : en-têtes de section dans les scripts, usage intensif de commandes encodées en Base64, et transitions fluides entre PHP, JavaScript, Bash et Python. ...

🔍 Contexte Le 3 novembre 2026, OPSSHIELD a publié un avis de sécurité sur son site officiel (opsshield.com) concernant une compromission de son infrastructure de distribution de mises à jour (CDN). L’incident a débuté le 2 novembre 2026 à 02:06 UTC. 💥 Déroulement de l’attaque Un attaquant non identifié a utilisé des identifiants compromis pour accéder à l’infrastructure CDN d’OPSSHIELD. Il a ensuite distribué un script malveillant (cpguard-v58812-i91511.sh) via le canal officiel de mise à jour de cPGuard, affectant les versions 5.88.12 à 5.88.19. La détection est intervenue dans les 12 heures suivant la distribution des mises à jour compromises. ...

🗂️ Contexte Communiqué de presse du Département de Justice américain (SDNY), publié le 5 novembre 2026, relatif à l’inculpation de trois ressortissants étrangers pour une vaste fraude par usurpation d’identité assistée par IA générative (désignée « super intelligence » ou SI). 👤 Acteurs impliqués Jacob Soall (alias « Seba Clarke », « Rocky Balboa »), 41 ans, Marbella (Espagne) / Royaume-Uni — arrêté en Espagne le 17 juin 2026 Sharon Hazan (alias « Superman Cash », « Impossible Mission », « Fat Boy », « Ron »), 54 ans, Israël — arrêté en Espagne le 5 août 2026 ; antécédent de condamnation pour fraude bancaire (SDNY, 2008) Guy Sheetrit, 42 ans, Israël / Émirats arabes unis — arrêté au Royaume-Uni le 7 septembre 2026 🎯 Mode opératoire Entre 2024 et 2026, les suspects et leurs co-conspirateurs ont mis en œuvre un schéma en plusieurs étapes : ...

🔍 Contexte Cet article est une publication de recherche présentée par Damien Schaeffer (ESET Canada) à la conférence Virus Bulletin en octobre 2026. Il documente en détail un nouveau groupe d’espionnage cyber nommé Gorbag, identifié par ESET et actif depuis au moins février 2025 contre des cibles ukrainiennes. 🎯 Victimologie Gorbag cible exclusivement des entités ukrainiennes, réparties en trois catégories principales : ~25% organisations judiciaires et forces de l’ordre (surveillance des enquêtes sur crimes de guerre russes) ~25% administrations locales (conseils municipaux en zones frontalières, évaluation des dommages de frappes aériennes) ~50% secteur défense (notamment fabricants de drones) et autres entités dont un hub de transit d’aide militaire étrangère ⚙️ Chaînes de compromission Chaîne 2025 : ...

🗓️ Contexte Publié le 6 novembre 2026 par Ransom-ISAC (ransom-isac.org), cet article constitue un rapport d’incident DFIR détaillant la compromission d’un contrôleur de réfrigération superviseur Copeland XWEB Pro version 1.9.0 dans un site commercial, survenue dans la nuit du 1er au 2 novembre 2026. L’analyse est basée sur le journal d’événements fourni par le contrôleur affecté. 🎯 Vecteur d’accès et contexte de vulnérabilité Le contrôleur était directement exposé sur internet via une adresse IP publique. L’accès a été obtenu grâce aux identifiants administrateur par défaut, sans exploitation de vulnérabilité technique. La version 1.9.0 est pourtant concernée par deux CVE critiques : ...