Analyse Technique

🔍 Contexte Publié le 9 octobre 2026 par Luke Jennings (VP R&D, Push Security), cet article décrit la découverte et l’analyse technique d’une campagne de malvertising baptisée « Adception », détectée dans l’environnement d’un client de Push Security. 🎯 Description de l’attaque La chaîne d’attaque commence par une publicité Google sponsorisée ciblant la requête claude mac, dont le domaine affiché est bing.com. La chaîne de redirection complète est la suivante : ...

🎯 Contexte Source : Malwarebytes ThreatLabs, publié le 14 octobre 2026 par Stefan Dasic. L’article documente une campagne de phishing active exploitant l’image de Calendly et de Meta pour cibler des chercheurs d’emploi. 🕵️ Description de l’attaque Des attaquants ont déployé 11 domaines de phishing imitant des pages de réservation Calendly pour de faux entretiens d’embauche chez Meta. Le flux d’attaque suit une séquence en plusieurs étapes : Fausse page Calendly : intitulée « Calendly | Meta Careers », avec calendrier interactif chargé depuis le serveur des attaquants Collecte de données personnelles : nom, email, téléphone Faux CAPTCHA : grille d’images pour contourner les scanners automatisés Fausse fenêtre de connexion Facebook : avec fausse barre d’adresse simulant un pop-up navigateur légitime Vol du code 2FA Facebook : le site relaie en temps réel le code vers le vrai Facebook avant expiration Fausse connexion Google : prétexte « Facebook requires you to sign in to the Gmail address », avec vol du mot de passe et des facteurs d’authentification Google Fausse confirmation : message indiquant qu’une invitation a été envoyée ⚙️ Mécanisme de contournement du 2FA Le kit de phishing opère en temps réel : il interroge continuellement le serveur des attaquants pour savoir quel écran afficher. Les attaquants utilisent immédiatement les identifiants volés sur les vrais services, relayant les demandes de codes ou d’approbations de prompts téléphoniques à la victime encore connectée sur la fausse page (attaque de type AiTM – Adversary-in-the-Middle). ...

🔍 Contexte En septembre 2026, la SOCRadar Threat Research Unit (STRU) a identifié ICMacOS (alias Icarus macOS), un nouveau malware macOS distribué sous modèle MaaS (Malware-as-a-Service), activement promu sur des forums cybercriminels russophones par l’acteur GlowComa. L’analyse technique complète a été publiée le 12 octobre 2026. 🎭 Acteur de la menace GlowComa : acteur russophone à motivation financière, actif depuis janvier 2026 Opère sous la bannière du groupe d’affiliation crypto MADHASH Présent sur les forums XSS, Exploit.in et Rehub Identifiants Telegram : @ObjectCollision, @SaykatChain, @layer7king Canal Telegram principal : https://t.me/s/icmacos/ Tarification : 699 $/semaine, 1 199 $/quinzaine, 1 699 $/mois (899 $ pour utilisateurs Icarus ClickFix) Réputation mitigée : plusieurs litiges d’arbitrage sur Exploit.in pour faibles taux de conversion et détection rapide ⚙️ Chaîne d’infection Vecteur initial : pages ClickFix incitant la victime à coller des commandes terminal malveillantes Script Bash télécharge le dropper depuis https://escapeai.live/icmacos_run_v2.command Le dropper : Journalise dans /tmp/.update-helper.log Modifie les préférences com.apple.Terminal pour masquer les fenêtres Affiche un faux dialogue “System Preferences” via osascript pour capturer le mot de passe Valide le mot de passe contre le Keychain macOS (jusqu’à 5 tentatives) Détecte l’architecture CPU (arm64 ou amd64) via uname -m Télécharge le payload final depuis https://escapeai.live/ICMacOs?arch={architecture} Lance le payload en arrière-plan via osascript et nohup, puis ferme le terminal 🦠 Analyse technique des variantes Version 1 – Stealer Exécutable Mach-O 64 bits compilé en Go. Modules de vol : ...

🗓️ Contexte L’article, publié le 14 octobre 2026 sur cryptika.com (source originale : cybersecuritynews.com), rapporte une campagne d’exploitation active de trois vulnérabilités zero-day dans Ivanti Connect Secure VPN, découverte par la société Volexity lors d’une investigation chez un client. L’activité a débuté le 3 octobre 2026 et ciblait une appliance entièrement à jour sous la version 22.8R2.4. 🎯 Acteur et objectifs Volexity attribue l’activité à un acteur jusqu’alors inconnu, désigné UTA0576. L’objectif principal observé est la collecte de données d’authentification sensibles : ...

🔍 Contexte Analyse publiée le 13 octobre 2026 par Huntress, basée sur un incident investigué début octobre 2026 impliquant un domaine lookalike ciblant les utilisateurs du WatchGuard Mobile VPN with SSL. L’article s’inscrit dans la continuité de recherches publiées par WatchGuard Secplicity en janvier 2026 et Microsoft Threat Intelligence en mars 2026. 🎯 Mécanisme d’attaque La chaîne d’attaque repose sur du SEO poisoning : le domaine watchguard-vpn[.]net remonte dans les résultats Bing lors d’une recherche de téléchargement du client VPN. Le 7 octobre 2026, un administrateur d’un MSP a cliqué sur ce résultat 8 secondes après sa recherche. ...

🔍 Contexte Publié sur GitHub (semperis-community/resetnightmare), cet article présente un outil Proof-of-Concept (PoC) pour la vulnérabilité CVE-2026-27912, baptisée ResetNightmare. 🧩 Description de la vulnérabilité ResetNightmare est une faille de validation dans le protocole Kerberos Change Password affectant les contrôleurs de domaine Active Directory non patchés. Elle permet à un attaquant de réinitialiser le mot de passe de n’importe quel compte utilisateur ou ordinateur sans connaître le mot de passe actuel. ...

🎯 Contexte Cet article publié le 7 octobre 2026 par Huntress (blog.huntress.com) documente une campagne de phishing observée à partir du 10 septembre 2026, ciblant plusieurs endpoints via l’abus de la plateforme légitime Microsoft Power BI. 🔗 Chaîne d’attaque L’attaque se déroule en plusieurs étapes : Email de phishing envoyé via Outlook contenant un lien vers un faux document hébergé sur app.powerbi.com (domaine légitime Microsoft). La page Power BI affiche un formulaire flou et invite la victime à cliquer sur “Download Reference”. Un nouvel onglet s’ouvre vers un site contrôlé par l’attaquant (dailylifeproject[.]site/S/ ou variantes), qui effectue un fingerprinting de l’environnement (OS, navigateur, IP, géolocalisation, cookies cloud, indicateurs d’automatisation). Les données collectées sont exfiltrées vers un bot Telegram via une API hardcodée dans le code JavaScript. Après quelques secondes, un script déclenche automatiquement le téléchargement d’un installeur ScreenConnect malveillant depuis hamham27[.]screenconnect[.]com. 🛠️ Persistance et évasion Deux clients ScreenConnect frauduleux sont déployés : le premier (2b302081e9e777d0) connecté à instance-g01s1n-relay[.]screenconnect[.]com, le second (43773b3da4ccb17b) connecté à onthegotree[.]site. Un fichier CMD malveillant (LyN03DvVjUKPrun.cmd) exécute un script PowerShell (SCAutoFix.ps1) depuis le répertoire temp. Une tâche planifiée (SCAutoRepairEvery2Min) relance SCAutoFix.ps1 toutes les deux minutes. L’outil HideUL_x64.exe est exécuté comme outil d’évasion de défense pour masquer l’activité. Le premier client ScreenConnect est désinstallé après déploiement du second, pour réduire la visibilité. 📊 Portée La campagne a touché plusieurs endpoints distincts à partir du 10 septembre 2026. Une chasse rétroactive a révélé que la configuration ScreenConnect associée à l’un des RMM a également impacté 22 autres endpoints dans des incidents séparés. 📄 Nature de l’article Il s’agit d’une analyse technique détaillée publiée par Huntress, accompagnée d’une liste complète d’IOCs, visant à documenter la campagne et fournir des indicateurs exploitables aux équipes de sécurité. ...

🔍 Contexte Publié le 6 octobre 2026 par watchTowr Labs, cet article présente une analyse technique approfondie de CVE-2026-21589, une vulnérabilité critique divulguée par Atlassian dans un advisory hors-bande le 5 octobre 2026. La recherche est issue de la plateforme watchTowr, solution de gestion proactive de l’exposition. 🎯 Vulnérabilité CVE-2026-21589 est une vulnérabilité de type Arbitrary File Read (lecture de fichiers arbitraire) sans authentification préalable (pre-auth). Le score CVSS reflète l’absence totale de prérequis d’authentification ou de complexité. ...

📅 Source : numb3rs.re, publié le 5 octobre 2026. Article de recherche technique (N-Day / 1-Day) portant sur la CVE-2026-23866 affectant WhatsApp sur iOS et Android. 🔍 Contexte de la vulnérabilité La CVE-2026-23866 a été publiée le 1er mai 2026. Elle décrit une validation incomplète des messages AI Rich Response pour Instagram Reels dans WhatsApp, permettant à un attaquant de forcer le chargement d’un contenu média depuis une URL arbitraire sur l’appareil d’une victime, entraînant une fuite d’informations (headers, adresse IP, etc.). ...

🗓️ Contexte Publié le 7 octobre 2026 sur infostealers.com, cet article analyse Warden Stealer, un malware de type infostealer/clipper/loader commercialisé en Malware-as-a-Service (MaaS) sur le forum dark web Exploit.in. Le projet a débuté début 2026 et est disponible publiquement depuis le 21 juillet 2026. 🧬 Caractéristiques techniques distinctives Protocole de transfert binaire propriétaire : trafic chiffré, indétectable par les sondes réseau standard (pas de HTTP/JSON) Morphing AST/LLVM multi-niveaux : altération du binaire à quatre niveaux (PE layout, AST, IR, ASM), rendant les antivirus à base de signatures (Windows Defender, Avast) inefficaces Décryptage côté serveur : aucune logique cryptographique sur la machine victime, binaire très léger (~350 Ko) Livraison par chunks : envoi fragmenté des données, sessions liées aux hardware IDs pour éviter les doublons Développé en Rust, avec assistance de LLMs pour la recherche et le développement 🎯 Capacités et cibles 360+ applications ciblées dans 13 catégories : navigateurs Chromium/Gecko, Discord, Telegram, Steam, gestionnaires de mots de passe, VPN, clients FTP Ciblage explicite des environnements IA et développeurs (v1.9) : Claude Code (Anthropic), Codex CLI, GitHub, SSH Keys Exfiltration de fichiers .claude.json contenant des primaryApiKey et données OAuth Exfiltration de fichiers SSH (config, known_hosts) pour faciliter le mouvement latéral 200+ extensions de portefeuilles crypto sur 96 réseaux (EVM et non-EVM) 💰 Moteur de bruteforce crypto Warden intègre un moteur d’auto-bruteforce qui construit dynamiquement un dictionnaire personnalisé à partir des données volées de la victime (mots de passe, emails, historique, autocomplete), applique 490+ règles de mutation et génère jusqu’à 20 millions de candidats par portefeuille. En quelques jours, le système a scanné 61 700 adresses, cracké 66% des portefeuilles avec solde, pour un volume cumulé revendiqué de plus de 485 000 USD. ...