Analyse De Menace

🔍 Contexte Publié le 6 août 2026 par le Google Threat Intelligence Group (GTIG) et Mandiant, cet article constitue une mise à jour d’un précédent rapport de mai 2026 sur le groupe UNC6671. Il documente la continuation et la diversification des opérations de ce groupe malgré l’annonce de la retraite de la marque BlackFile en mai 2026. 🎭 Acteur et marques associées UNC6671 opère désormais sous plusieurs marques d’extorsion disposant chacune d’un Data Leak Site (DLS) distinct : ...

🔍 Contexte Publié le 5 août 2026 par Cybernews, cet article rapporte la découverte par l’équipe de recherche de Cybernews, le 19 juin, d’un serveur publiquement accessible hébergeant une opération de phishing à grande échelle usurpant l’identité du Crédit Agricole, l’une des plus grandes institutions financières coopératives au monde. 🎯 Mécanisme de l’attaque Les attaquants ont mis en place une chaîne d’attaque multi-étapes : Collecte d’infrastructure : scan de buckets Amazon S3 non protégés à la recherche de fichiers d’environnement, sauvegardes de bases de données, fichiers de configuration Python et fichiers swap Vim contenant des clés SendGrid et AWS SES Exploitation des clés volées : 149 clés API SendGrid et 3 comptes AWS compromis, offrant une capacité d’envoi combinée d’environ 7 000 emails par jour via une infrastructure légitime Construction de la liste de cibles : départ d’une liste de 220 000 adresses IP, expansion à 250 000 nouvelles IP via scan de sous-réseaux, enrichissement par DNS lookups, logs SSL Certificate Transparency et le top 1 million de domaines mondiaux Filtrage anti-honeypot : suppression des plateformes d’hébergement cloud, IP statiques d’entreprises et VPS génériques 💰 Monétisation et collecte de données Le panel de phishing collectait automatiquement depuis les comptes compromis : ...

📅 Source : Sophos Threat Intelligence Blog — publié le 28 juillet 2026 🎯 Contexte Sophos a suivi une campagne de voice phishing (vishing) via Microsoft Teams, identifiée sous le cluster STAC4749, active entre février et juin 2026 et ciblant des dizaines d’organisations en Amérique du Nord. 🔗 Vecteur d’accès initial Les attaquants ont utilisé un ensemble cohérent de domaines cloud à thématique IT et de personas fictifs pour tromper les victimes et obtenir un accès distant à leurs systèmes via Teams. ...

🔍 Contexte Publié le 30 juillet 2026 sur KrebsOnSecurity, cet article s’appuie sur une analyse publiée par le chercheur Pedro Falé de la société Bitsight (équipe TRACE). L’enquête a débuté par l’enregistrement d’un domaine expiré utilisé pour coordonner une opération de fraude publicitaire à grande échelle. 🎯 Mécanisme de l’opération Les TV boxes H96 (vendues sur Amazon, Best Buy, Newegg) sont livrées avec des applications préinstallées développées par Zhejiang Fengwo IoT Technology Ltd (fondée en 2019, Chine continentale). Ces applications permettent : ...

🎯 Contexte Publié le 27 juillet 2026 sur LinkedIn par Crime Stoppers International, ce document constitue un appel public à témoins dans le cadre du CyberCrime Bounty Program (Opération Silent Vector I). Il vise le groupe INC Ransom, opérateur de ransomware-as-a-service (RaaS) d’origine russophone. 🕵️ Acteur ciblé : INC Ransom Noms connus : Incransom, GOLD IONIC, INC Ransomware Group, INC Ransomware Operators, Tarnished Scorpion Actif depuis : mi-2023 Origine : russophone Modèle économique : RaaS — environ 75 % du montant de la rançon reversé aux affiliés Méthode : double extorsion — exfiltration des données avant chiffrement, puis menace de publication Échelle : plus de 800 victimes recensées à juillet 2026 🌍 Géographie des cibles Initialement concentré sur l’Amérique du Nord, l’Europe et l’Amérique latine, INC Ransom a étendu ses opérations depuis 2025 à l’Australie, la Nouvelle-Zélande et les nations insulaires du Pacifique. ...

🗓️ Contexte Source : Cryptika (relayant CybersecurityNews.com), publiée le 30 juillet 2026. L’analyse est basée sur un rapport de Sophos portant sur la campagne STAC4749, active entre février et juin 2026 et ciblant des dizaines d’organisations nord-américaines. 🎯 Mode opératoire Les opérateurs de STAC4749 initient le contact via Microsoft Teams (chats et appels vocaux), en se faisant passer pour du personnel helpdesk ou IT. Les appels frauduleux durent en moyenne deux à deux minutes et demie. Les comptes utilisés arborent des noms d’employés crédibles et des domaines cloud à thématique IT pour paraître légitimes. ...

🌐 Contexte Source : cybersecuritynews.com, publié le 27 juillet 2026. L’article analyse quatre campagnes convergentes d’exploitation d’équipements VPN et firewall exposés sur Internet, utilisés comme vecteur d’accès initial privilégié par des opérateurs de ransomware en mid-2026. 🎯 Campagnes identifiées Campagne 1 — Fortibleed (Fortinet FortiGate) Première identification : mi-juin 2026 Extraction massive de fichiers de configuration et crackage de hashes de mots de passe sur des FortiGate exposés Environ 75 000 appareils compromis dans 194 pays et 21 000+ domaines Analysé par Kevin Beaumont, Hudson Rock et SOCRadar Pas d’attribution formelle à un groupe ransomware Campagne 2 — Palo Alto GlobalProtect (CVE-2026-0257, CVSS 7.8) ...

🔍 Contexte Rapport publié le 23 juillet 2026 par l’équipe ReliaQuest Threat Research. Il documente une campagne active depuis au moins juin 2026, ciblant des passerelles Wi-Fi captives dans des hôtels et centres de conférence aux États-Unis, en Inde et en Arabie Saoudite. 🎯 Nature de l’attaque Les attaquants compromettent des appliances de portail captif (passerelles Wi-Fi hôtelières) en exploitant des interfaces d’administration exposées (SSH, SNMP, consoles web) combinées à des credentials administratifs faibles ou réutilisés. Une fois l’accès administratif obtenu, ils configurent un DNS poisoning pour rediriger l’ensemble du trafic DNS des clients connectés vers une infrastructure contrôlée par l’attaquant. ...

🕵️ Contexte Publié le 27 juillet 2026 par Intrusion Truth (blog de threat intelligence open source), cet article présente une investigation OSINT approfondie sur Guangdong Chanming, une société chinoise sans présence publique identifiable, révélée comme fournisseur de cyberoutillage offensif pour l’État chinois. 🏢 Profil de Guangdong Chanming La société ne dispose d’aucun site web ni vitrine commerciale. Ses dépôts de brevets et droits d’auteur logiciels révèlent une gamme d’outils à vocation offensive : ...

🌐 Contexte Source : Cyber Security News (cybersecuritynews.com), publié le 27 juillet 2026. L’article documente une vague coordonnée d’exploitation ciblant les appliances VPN et firewall de Palo Alto Networks, Fortinet, Citrix et Check Point, identifiée comme le vecteur d’accès initial dominant pour les opérateurs de ransomware en mid-2026. 🎯 Campagnes documentées Campagne 1 — Fortibleed (Fortinet FortiGate) Campagne de masse de collecte de credentials identifiée mi-juin 2026 Extraction de fichiers de configuration depuis ~75 000 FortiGate exposés sur internet (194 pays, 21 000+ domaines) Craquage des hashes de mots de passe stockés Analysée par Kevin Beaumont, Hudson Rock et SOCRadar Aucune CVE unique : exploitation cumulative de faiblesses connues de stockage de credentials FortiOS Campagne 2 — Palo Alto GlobalProtect (CVE-2026-0257) Bypass d’authentification (CWE-565) via falsification de cookies d’override d’authentification Divulgué le 13 mai 2026, PoC Rapid7 publié le 29 mai 2026 CVSS révisé de 4.7 à 7.8, ajouté au catalogue KEV de la CISA Exploitation confirmée dès le 17 mai 2026 ; affiliés Qilin confirmés en juillet 2026 Post-exploitation : Impacket, attaques NTLM relay, mouvement latéral Campagne 3 — Check Point VPN (CVE-2026-50751) CVSS 9.3 — bypass d’authentification via faille de validation de certificat dans le protocole IKEv1 déprécié Divulgué le 8 juin 2026 ; exploitation confirmée dès le 7 mai 2026 (un mois avant divulgation) Technique : manipulation des flags d’authentification via payload VPNExtFeatures Vendor ID personnalisé Affilié Qilin confirmé dans des activités post-compromission CVE connexe : CVE-2026-50752 (CVSS 7.4) — risque AitM sur VPN site-à-site, non exploité in-the-wild Campagne 4 — Citrix NetScaler (CVE-2026-8451) CVSS 8.8 — lecture hors limites pré-authentification dans le parser XML/SAML, famille CitrixBleed Divulgué le 30 juin 2026 ; tentatives d’exploitation moins de 24h après divulgation Vecteur : payloads <samlp:AuthnRequest> malformés avec espaces padding, cookie NSC_TASS anormal IP source d’une campagne tracée : 146.70.139[.]154 CVE précédent de la même famille : CVE-2026-3055 (CVSS 9.3), patché en mars 2026 🛠️ Outils et techniques observés Impacket — mouvement latéral et abus de protocoles NTLM relay attacks — escalade de privilèges Mimikatz — dump de credentials en mémoire PsExec, RDP, WMI — mouvement latéral living-off-the-land Script Chrome GPO-distribué — vol de credentials navigateur à l’échelle du domaine WSL (Windows Subsystem for Linux) — évasion EDR Cookies d’override forgés, payloads IKEv1 personnalisés, requêtes SAML malformées 🏭 Secteurs ciblés Santé, éducation, industrie manufacturière, gouvernements locaux, médias, services professionnels, infrastructures critiques. ...