Analyse Technique

🎣 Contexte Source : BleepingComputer, publié le 5 août 2026. Proofpoint a découvert une campagne de phishing exploitant la récente divulgation d’une vulnérabilité affectant les portefeuilles matériels COLDCARD, liée à un défaut de génération de nombres aléatoires ayant conduit au vol estimé de 1 367 Bitcoins (~88,6 millions USD) depuis 4 585 adresses. 📧 Vecteur d’attaque Les emails malveillants sont envoyés depuis compliance@coldcardteamnews.com avec l’objet “Hardware audit now available”. Ils prétendent qu’un audit de sécurité coordonné est en cours et demandent la participation des utilisateurs avant le 10 août. Les victimes sont redirigées vers le site coldcardcompliance.com qui imite l’interface officielle de COLDCARD. ...

🔍 Contexte Publié le 7 août 2026 par l’équipe OpenSourceMalware (opensourcemalware.com), cet article présente une analyse technique approfondie d’une campagne de supply chain ciblant l’écosystème npm. En 48 heures, un acteur a publié plus de 700 paquets malveillants (788 confirmés) en utilisant des noms générés par IA ou par typosquatting. 🎯 Vecteur d’infection Le paquet analysé, checkout-mobile-bnpl@35.6.9, se présente comme un SDK mobile BNPL. Il ne nécessite aucun script d’installation (preinstall/postinstall) : le simple appel require() suffit à déclencher la chaîne d’infection via le fichier _helpers.js. ...

🔍 Contexte Publié le 5 août 2026 sur SecurityWeek par Eduard Kovacs, cet article couvre une présentation faite à la conférence Black Hat USA 2026 par deux chercheurs en sécurité : Dimitrios Valsamaras (Microsoft) et Ken Gannon (Mobile Hacking Lab). La chaîne d’exploitation avait été démontrée en octobre 2025 lors du concours Pwn2Own Ireland, rapportant 50 000 $ aux chercheurs. 🎯 Cibles et périmètre Les appareils ciblés sont des smartphones Samsung Galaxy (S24, S25, Flip 7) équipés des applications préinstallées Samsung Members, Samsung Account et Bixby. L’attaque fonctionne également sur des appareils plus anciens non patchés. ...

🔍 Contexte Source : BleepingComputer, publié le 5 août 2026. L’incident a été découvert par Huntress le 27 juillet 2026 après détection de vol de credentials sur un serveur hébergeant une base Oracle. 🎯 Vecteur d’accès initial Les attaquants ont exploité une vulnérabilité d’injection SQL dans un endpoint de moteur de recherche d’une application Java publique tournant sous Apache Tomcat. La fonctionnalité d’autocomplétion ne validait pas correctement les entrées utilisateur, permettant l’émission de commandes SQL directement vers la base Oracle. ...

🔍 Contexte Publié le 6 août 2026 par l’équipe IAS Threat Lab (Integral Ad Science), cet article présente une analyse technique approfondie d’un nouveau schéma de fraude publicitaire mobile baptisé Papyrus, identifié par les chercheurs d’IAS. 🎯 Description du schéma Papyrus repose sur un cluster d’applications de lecture de romans (long-form fiction, serialized stories) qui monétisent les sessions de lecture des utilisateurs en exécutant une activité de navigation cachée en arrière-plan. Pendant que l’utilisateur lit, l’application visite secrètement des sites web, génère des clics et crée de faux signaux d’engagement. ...

🔍 Contexte Publié le 5 août 2026 sur le blog Calif.io, cet article présente wp2root, une chaîne post-exploitation développée par l’équipe Calif pour faire suite à wp2shell (RCE pré-authentifiée WordPress Core d’AssetNote). L’article est accompagné d’un dépôt PoC public. 🎯 Objectif de la chaîne La chaîne wp2root part d’une exécution PHP contrainte (obtenue via wp2shell) et aboutit à un accès root sur le système Linux hôte, en contournant les restrictions PHP (disable_functions, filesystem read-only) et les protections noyau. ...

🌐 Contexte Publié le 31 juillet 2026 par Microsoft Threat Intelligence, cet article détaille la campagne CaptiveCrunch, attribuée à Storm-2945, un sous-cluster opérationnel de Midnight Blizzard (SVR russe). L’activité est observée depuis début mai 2026 et cible principalement les voyageurs d’affaires dans des environnements hôteliers et de conférence à l’échelle mondiale. 🎯 Vecteur d’attaque Storm-2945 manipule le trafic DNS et HTTP des réseaux servis par des portails captifs Wi-Fi pour rediriger les utilisateurs vers une infrastructure contrôlée par l’acteur. Les techniques employées incluent : ...

📰 Source : Securelist (Kaspersky), publié le 30 juillet 2026. Analyse technique approfondie d’un nouveau ransomware découvert en mars 2026. 🎯 Contexte Le groupe Toy Ghouls (alias Bearlyfy, Labubu, Laboo.boo), acteur à motivation financière, a développé un ransomware maison baptisé GenieLocker, actif depuis mars 2026. Ce groupe utilisait auparavant des ransomwares tiers (RedAlert, LockBit, Babuk). Les cibles sont principalement des organisations en Fédération de Russie, dans les secteurs de la fabrication industrielle, de la construction, des services financiers, du commerce de détail et de la technologie. ...

🔍 Contexte Publié le 31 juillet 2026 par Unit 42 (Palo Alto Networks), cet article présente une analyse technique approfondie de XCSSET v40, la dernière itération d’une famille de malwares macOS ciblant les développeurs Apple. Après des mois de dormance, les opérateurs ont déployé cette version en avril 2026, avec une seconde vague en mai 2026. 🎯 Vecteur d’infection et propagation Le malware se propage via une attaque de chaîne d’approvisionnement en injectant un script downloader dans des projets Xcode légitimes hébergés sur GitHub. L’infection est déclenchée uniquement lorsque le développeur compile le projet localement. XCSSET v40 peut infecter tous les projets Xcode existants sur un système compromis et se propage via des dépôts Git open-source. ...

🔍 Contexte Article publié le 30 juillet 2026 sur DoublePulsar par Kevin Beaumont. Adform est une société publicitaire utilisée par environ 14 000 entreprises, détenant environ 30% de part de marché dans la catégorie demand-side. 💥 Nature de l’attaque Le script JavaScript légitime d’Adform, servi via l’URL https://s2.adform.net/banners/scripts/st/trackpoint-async.js, a été compromis pour distribuer un crypto stealer. Cette attaque de type supply chain permet de compromettre les appareils des utilisateurs finaux visitant n’importe quel site web intégrant le script Adform. ...