Analyse Technique

🔍 Contexte Publié le 20 juillet 2026 par Wiz Research (Shahar Dorfman, Gili Tikochinski), cet article documente l’exploitation active dans la nature d’une chaîne de vulnérabilités critique baptisée “wp2shell”, affectant WordPress Core. La vulnérabilité a été découverte par Searchlight Cyber à l’aide d’OpenAI GPT 5.6 Sol et publiée le 17 juillet 2026. 🎯 Vulnérabilités concernées CVE-2026-63030 & CVE-2026-60137 : Chaîne RCE complète pré-authentification affectant WordPress Core versions 6.9.0–6.9.4 et 7.0.0–7.0.1 CVE-2026-60137 (seul) : Injection SQL affectant WordPress Core versions 6.8.0–6.8.5 Le vecteur d’exploitation repose sur les endpoints REST API batch (/wp-json/batch/v1 ou /?rest_route=/batch/v1) 📊 Exposition 60% des organisations utilisant WordPress avaient au moins une instance vulnérable au moment de la publication 25% exposaient un serveur vulnérable sur Internet Ces chiffres ont décliné à 50% et 10% respectivement dans les 24 heures suivant la publication 💥 Activités post-exploitation observées Upload de plugins malveillants via /wp-admin/plugin-install.php?tab=upload et POST /wp-admin/update.php?action=upload-plugin Énumération d’utilisateurs via /wp-json/wp/v2/users?context=edit Tentatives de LFI via admin-ajax.php?template=../../../wp-config pour exfiltrer des credentials Accès au panneau d’administration avec sessions authentifiées confirmées (HTTP 200) Campagnes de mass-scanning opportuniste sans post-exploitation 🦠 Malwares déployés Webshell PHP minimaliste : one-liner utilisant eval($_POST[...]) avec retour 404 comme technique d’évasion Webshell 150KB déguisé en plugin WordPress “CMSmap” : plateforme d’attaque complète avec interface graphique, authentification par mot de passe, gestion de fichiers, accès base de données, scan de ports, injection de code en masse, modules d’escalade de privilèges (dont exploitation MySQL UDF). Obfusqué via encodage hex et base64/gzip compressé, décodé à l’exécution via eval(gzuncompress(base64_decode(...))) Troisième plugin malveillant : webshell PHP enregistrant un endpoint REST API personnalisé (/morning/v1/[REDACTED]) avec callback permissif (__return_true), exécutant des commandes base64-encodées via passthru() 🔎 Indicateurs de détection Réponses HTTP 207/200 Multi-Status aux requêtes vers les endpoints batch User-agent strings contenant wp2shell et rezwp2shell 📋 Type d’article Il s’agit d’une analyse technique et rapport d’exploitation active publié par Wiz Research, visant à documenter les TTPs observés, fournir des IOCs exploitables et informer les équipes de sécurité sur l’état de la menace. ...

🎯 Contexte Source : Malwarebytes (Gabriele Orini), publié le 20 juillet 2026. L’article présente une analyse technique détaillée de plusieurs campagnes malveillantes distribuant Amatera Stealer via de faux téléchargements de jeux, mods, cracks et logiciels. 🔗 Vecteur d’infection initial Les victimes téléchargent une archive contenant un fichier Setup.exe depuis : Des faux sites de téléchargement Des pages itch.io malveillantes Des services de partage de fichiers (Wormhole, GoFile, Google Drive, MEGA) Une fausse interface d’installation est affichée pendant que le malware s’exécute en arrière-plan. ...

📅 Source : Suriq.io, publié le 21 juillet 2026 par Noam Alum. L’article s’appuie sur l’analyse technique de Group-IB portant sur un implant nommé HollowGraph, détecté sur au moins 12 systèmes entre le 3 juin et le 9 juillet 2026, dont 3 encore actifs au moment de l’analyse. 🎯 Contexte et cible : L’intrusion visait une organisation en Israël et est qualifiée d’espionnage ciblé (non opportuniste). Group-IB relie HollowGraph au framework Cavern, que Check Point associe à un opérateur à nexus iranien suivi sous le nom Cavern Manticore, avec des recoupements vers MuddyWater et Lyceum. Group-IB ne formule pas d’attribution directe à un groupe nommé. ...

🔍 Contexte Publié le 21 juillet 2026 par Kaspersky (GREAT) sur Securelist, cet article présente l’analyse technique d’un nouveau module de communication du framework Project CAV3RN, un outil de cyberespionnage modulaire suivi depuis décembre 2025 et ciblant des entités en Israël. Ce module succède au composant HTTP/WebSocket précédemment documenté. 🧩 Architecture et module analysé Le module, nommé AzureCommunication.dll, est compilé en .NET Native AOT et s’intègre dans l’architecture contrôleur-plugin de CAV3RN. Il expose une unique export QueryInterface et remplace le composant n-HTCommp.dll. Le contrôleur principal reste uxtheme.dll, qui gère l’Agent ID (7 caractères) et le dispatching des commandes. ...

🔍 Contexte Publié le 18 juillet 2026 sur le blog ZephrSec (zsec.uk), cet article constitue une analyse technique approfondie (code trace) de la vulnérabilité wp2shell, découverte et documentée par AssetNote. Elle affecte WordPress Core versions 6.9.0 à 7.0.1 et porte deux CVEs : CVE-2026-63030 et CVE-2026-60137. 🐛 Description des vulnérabilités La chaîne d’exploitation repose sur trois composants vulnérables : Désynchronisation du batch REST (/wp-json/batch/v1) : un chemin malformé (http://:) provoque un WP_Error qui est ajouté à $validation mais pas à $matches, désalignant les deux tableaux parallèles. Cela permet à un objet requête d’être dispatché avec le handler d’une autre route. Route confusion : la requête d’un endpoint (/wp/v2/categories) est exécutée par le handler de /wp/v2/posts, contournant la validation du schéma REST. Injection SQL dans WP_Query (author__not_in) : une valeur scalaire non normalisée atteint la construction SQL sans coercition entière, permettant l’injection d’expressions SQL arbitraires (ex: SELECT IF((condition),SLEEP(delay),0)). ⚙️ Chaîne d’exploitation (PoC Python) Le PoC est structuré en deux étapes : ...

🔍 Contexte Article publié le 16 juillet 2026 sur Medium par le chercheur Ddosier. Il s’agit d’une analyse technique et d’ingénierie de détection portant sur la famille de techniques ClickFix, dont la croissance est estimée à 517% et qui représenterait 47% des événements d’accès initial en 2025. 🧠 Invariant comportemental central L’auteur identifie un invariant comportemental structurel unique commun à toutes les variantes ClickFix (Classic, CrashFix, FileFix, AI-Fix, TerminalFix, Screen-Fix) sur les trois systèmes d’exploitation majeurs : ...

🔍 Contexte Publié le 13 juillet 2026 sur le blog de Josh Parnham, cet article est un writeup technique détaillé de CVE-2025-24169, une vulnérabilité affectant macOS Sequoia dans le composant natif de messagerie du gestionnaire de mots de passe Apple Passwords. La vulnérabilité a été corrigée à partir de macOS 15.3. 🐛 Vulnérabilité Le binaire PasswordManagerBrowserExtensionHelper (situé dans /System/Cryptexes/App/System/Library/CoreServices/) est utilisé par les extensions de navigateur iCloud Passwords pour Chrome et Firefox via le protocole native messaging. Lors de l’établissement d’une session SRP (Secure Remote Password), ce binaire journalisait le PIN de session en clair dans le journal système macOS via os_log avec le spécificateur %{public}@. ...

🔍 Contexte Le 20 juillet 2026, l’équipe Threat Intelligence de Group-IB publie une analyse technique détaillée d’un nouveau malware baptisé HOLLOWGRAPH, attribué avec un haut niveau de confiance au framework Cavern. L’opération cible des entités israéliennes dans le cadre d’une campagne d’espionnage ciblée. 🦠 Description du malware HOLLOWGRAPH est une DLL compilée en .NET NativeAOT qui implémente uniquement deux commandes (get et send). Il exploite l’API Microsoft Graph via une boîte mail Microsoft 365 compromise (domaine .co.il) pour établir un canal C2 dissimulé dans le trafic légitime Microsoft. ...

📅 Source : Blog Barracuda (blog.barracuda.com), publié le 16 juillet 2026, par Pranati Sethy, analyste senior en menaces. Contexte Les chercheurs de Barracuda ont identifié depuis avril 2026 plus d’un million d’attaques de phishing exploitant une technique appelée text salting, initialement développée pour contourner les filtres anti-spam traditionnels et désormais adaptée pour tromper les systèmes de sécurité email alimentés par l’IA et les LLM. Technique : Text Salting Le text salting consiste à injecter du texte bénin caché dans le corps d’un email de phishing afin de diluer la concentration de mots suspects et induire en erreur les moteurs d’analyse de contenu : ...

🎯 Contexte Le 11 juillet 2026, l’équipe de recherche de Socket a publié une analyse technique détaillée d’une attaque de supply chain ciblant le package npm jscrambler, un outil populaire de protection de code JavaScript utilisé dans les pipelines de build. L’article documente la compromission de plusieurs versions publiées ce même jour. 🔍 Déroulement de l’attaque La version malveillante 8.14.0 a été publiée le 11 juillet 2026 et détectée par Socket 6 minutes après sa publication. L’attaquant a utilisé des credentials npm volés appartenant à Jscrambler pour publier les releases compromises. ...