Analyse Technique

📰 Source : K7 Computing Labs — Article publié le 13 août 2026 par Praveen Babu. Analyse forensique technique d’une campagne active du ransomware Weaxor, évolution du groupe Mallox/TargetCompany actif depuis mi-2021. 🎯 Contexte de la menace Weaxor est le successeur de Mallox ransomware, rebrandé fin 2024 pour contourner les profils de détection. Il opère en tant que RaaS (Ransomware-as-a-Service) et cible spécifiquement les serveurs de bases de données d’entreprise, notamment les déploiements Microsoft SQL Server mal configurés ou exposés avec des mots de passe administrateurs faibles. ...

🔍 Contexte Publié le 10 août 2026 par Criminal IP (AI Spera), cet article analyse CVE-2026-18577, une vulnérabilité de bypass d’authentification affectant la plateforme de Remote Monitoring and Management (RMM) N-able N-central, confirmée comme activement exploitée fin juillet 2026. 🎯 Vulnérabilité CVE : CVE-2026-18577 Type : Authentication bypass et compromission de compte (CWE-288) Produit affecté : N-able N-central (toutes versions antérieures au build 2026.3.1.7) Prérequis : Aucune authentification préalable requise, accessible à distance Impact : Accès complet à la console de gestion et contrôle des systèmes connectés Statut : Exploitation confirmée in the wild ; ajouté au catalogue KEV de la CISA Note : La vulnérabilité persiste après le correctif de CVE-2026-18556 ; seul le build 2026.3.1.7 corrige définitivement le problème ⚔️ Déroulement des attaques observées Reconnaissance : Identification des interfaces N-central exposées sur internet via titres de pages, réponses HTTP, certificats TLS Exploitation : Bypass de l’authentification via CVE-2026-18577, contournant même le MFA Mouvement latéral : Utilisation de la fonctionnalité Take Control pour accéder aux serveurs de sauvegarde, contrôleurs de domaine et serveurs applicatifs Persistance : Déploiement de multiples outils RMM (AnyDesk, TacticalRMM, TeamViewer, RustDesk, SimpleHelp, HopToDesk) et de Cloudflare Tunnel (cloudflared.exe renommé en MicrosoftEdgeUpdate64.exe ou msmp.exe) Actions sur objectifs : Création de comptes domaine, modification de mots de passe administrateurs, tentatives de désactivation des EDR/Microsoft Defender 🌐 Surface d’attaque exposée Via Criminal IP Asset Search (août 2026) : ...

🔍 Contexte Publié le 5 août 2026 sur shells.systems par Ian, cet article de recherche offensive présente une technique de contournement pratique d’Application Control for Business (anciennement Windows Defender Application Control / WDAC) exploitant les Kernel Extended Attributes (Kernel EAs) du système de fichiers NTFS. ⚙️ Mécanisme technique Les Kernel EAs sont une classe spéciale d’attributs étendus introduite dans Windows 8, utilisée par le noyau comme cache haute performance pour éviter des opérations coûteuses comme la vérification répétée de signatures binaires. L’attribut clé abusé est $Kernel.Smartlocker.OriginClaim. ...

🔍 Contexte En juillet 2026, les chercheurs de Kaspersky ont identifié une campagne active du groupe hacktivist Head Mare exploitant une chaîne de vulnérabilités dans des serveurs TrueConf non patchés. L’analyse technique a été publiée le 7 août 2026 sur Securelist, relayée par BleepingComputer le 8 août 2026. ⚙️ Vecteur d’attaque et chaîne d’exploitation L’attaque repose sur l’exploitation de deux vulnérabilités critiques : KLCERT-26-057 : exécution de script malveillant dans l’environnement isolé TrueConf via le port TCP 4307 (ouvert par défaut), sans authentification KLCERT-26-058 : échappement du sandbox et exécution de commandes OS avec privilèges SYSTEM Une fois l’accès obtenu, les attaquants ont : ...

📅 Source : Kaspersky Securelist (https://securelist.ru), publié le 7 août 2026, mis à jour le 10 août 2026. 🎯 Contexte général En juillet 2026, les experts de Kaspersky ont découvert une nouvelle campagne du groupe APT Head Mare exploitant une chaîne de deux vulnérabilités inédites dans TrueConf Server (logiciel de vidéoconférence) pour compromettre des organisations russes dans les secteurs de l’instrumentation, de l’électronique, du transport, de l’énergie et de l’IT. ...

🔍 Contexte Le 4 août 2026, l’équipe de recherche Socket a publié une analyse d’une attaque supply chain active ciblant les packages npm keyv et cacheable, deux familles de bibliothèques de stockage clé-valeur et de cache très répandues, totalisant des dizaines de millions de téléchargements hebdomadaires. 🎯 Vecteur d’attaque Le compte maintainer Jaredwray a été compromis et utilisé pour publier des versions malveillantes. La première version malveillante, keyv@6.0.0, a été publiée à 09h35 UTC. Au moins dix packages ont été affectés, dont certains en dehors des namespaces keyv et cacheable (ex: @thiennq/docs-viewer@1.6.2). La compromission repose sur un hook preinstall (setup.mjs) ajouté au package.json. ...

🗓️ Contexte Analyse publiée le 3 août 2026 sur CyberThreat Report par Ferenc Frész, basée sur une annonce de vente de données apparue sur le forum DarkForums lors du premier week-end d’août 2026, sous le titre The Magyar Conquest. 🎯 Cible et acteur Le groupe ByteToBreach revendique la compromission de l’Államkincstár (Trésor public hongrois) et de l’MVH (Mezőgazdasági és Vidékfejlesztési Hivatal), deux entités majeures du secteur public hongrois. Les données volées sont proposées à la vente sur DarkForums. ...

🎣 Contexte Source : BleepingComputer, publié le 5 août 2026. Proofpoint a découvert une campagne de phishing exploitant la récente divulgation d’une vulnérabilité affectant les portefeuilles matériels COLDCARD, liée à un défaut de génération de nombres aléatoires ayant conduit au vol estimé de 1 367 Bitcoins (~88,6 millions USD) depuis 4 585 adresses. 📧 Vecteur d’attaque Les emails malveillants sont envoyés depuis compliance@coldcardteamnews.com avec l’objet “Hardware audit now available”. Ils prétendent qu’un audit de sécurité coordonné est en cours et demandent la participation des utilisateurs avant le 10 août. Les victimes sont redirigées vers le site coldcardcompliance.com qui imite l’interface officielle de COLDCARD. ...

🔍 Contexte Publié le 7 août 2026 par l’équipe OpenSourceMalware (opensourcemalware.com), cet article présente une analyse technique approfondie d’une campagne de supply chain ciblant l’écosystème npm. En 48 heures, un acteur a publié plus de 700 paquets malveillants (788 confirmés) en utilisant des noms générés par IA ou par typosquatting. 🎯 Vecteur d’infection Le paquet analysé, checkout-mobile-bnpl@35.6.9, se présente comme un SDK mobile BNPL. Il ne nécessite aucun script d’installation (preinstall/postinstall) : le simple appel require() suffit à déclencher la chaîne d’infection via le fichier _helpers.js. ...

🔍 Contexte Publié le 5 août 2026 sur SecurityWeek par Eduard Kovacs, cet article couvre une présentation faite à la conférence Black Hat USA 2026 par deux chercheurs en sécurité : Dimitrios Valsamaras (Microsoft) et Ken Gannon (Mobile Hacking Lab). La chaîne d’exploitation avait été démontrée en octobre 2025 lors du concours Pwn2Own Ireland, rapportant 50 000 $ aux chercheurs. 🎯 Cibles et périmètre Les appareils ciblés sont des smartphones Samsung Galaxy (S24, S25, Flip 7) équipés des applications préinstallées Samsung Members, Samsung Account et Bixby. L’attaque fonctionne également sur des appareils plus anciens non patchés. ...