Analyse Technique

🔍 Contexte Publié le 23 septembre 2026 sur GitHub (digiprosec/MicroTrick), cet article présente un exploit de preuve de concept (PoC) nommé MikroTrick, ciblant les équipements MikroTik RouterOS exposés sur Internet. La campagne d’exploitation dans la nature a débuté au moins le 2026-09-02, et CERT Polska a publié sa divulgation le 2026-09-05. 🧩 Chaîne d’exploitation L’attaque enchaîne trois vulnérabilités : CVE-2026-86060 (CVSS 9.2) — Élévation de privilèges : le helper SSH interprète un nom d’utilisateur commençant par un tiret comme un descripteur de fichier, permettant l’injection d’une identité et d’un masque de politique arbitraires. CVE-2026-67279 (CVSS 6.9) — Contournement d’authentification : un rekey SSH demandé par le client avant la fin de l’authentification supprime la vérification d’authentification côté serveur. CVE-2026-67277 (CVSS 8.8) — Non utilisé par ce PoC, mais pertinent pour l’empreinte et l’évaluation d’exposition (divulgation mémoire pré-auth via le service btest). Un bug d’état supplémentaire non nommé est également requis : un login rejeté laisse le nom d’utilisateur en attente dans l’état de session. ...

🔍 Contexte Publié le 22 septembre 2026 par Malbear Labs en collaboration avec Threat Hunting Labs, cet article constitue une analyse technique exhaustive de quatre payloads récupérés lors d’une intrusion réelle. L’article complète un write-up de Threat Hunting Labs décrivant la chaîne d’attaque initiale (SEO poisoning → RMM personnalisé → Cobalt Strike). 🧩 PavokwiLoader PavokwiLoader est un loader C++ dont la fonction WinMain contient plus de 80 000 instructions entièrement inlinées. Il implémente de nombreuses techniques d’évasion : ...

🔍 Contexte Publié le 22 septembre 2026 par D3Lab (source : d3lab.net), cet article documente une campagne de phishing ciblant des utilisateurs italiens via l’usurpation du service SEND (plateforme de notifications officielles de pagoPA), combinée à une chaîne d’exploitation iOS délivrée silencieusement. 🎣 Mécanisme de phishing La page frauduleuse reproduit l’identité visuelle du portail SEND pour inciter les victimes à interagir. Elle intègre : Un faux CAPTCHA anti-bot (aucune vérification réelle, simple ajout de paramètre URL) Une application monopage impersonnant SEND, utilisant Socket.IO pour un contrôle interactif en temps réel Des modules de collecte de données personnelles (cartes bancaires, codes de vérification, adresses, téléphones) 💥 Chaîne d’exploit iOS via iframe Un iframe charge silencieusement une ressource depuis 186.244.241.174 qui exécute une chaîne d’exploitation en trois étapes contre Safari/WebKit : ...

🔍 Contexte Publié le 22 septembre 2026 par ThreatDown, cet article présente l’analyse technique détaillée de CARBONATO, un botnet découvert en août 2026 via un registre Docker non authentifié exposé publiquement depuis mai 2026. L’exposition a permis la collecte passive de 59 dépôts, 234 tags d’images, 605 blobs SHA-256 vérifiés et 4,3 Go de données sur une période allant d’octobre 2024 à août 2026. ⚙️ Fonctionnement du botnet CARBONATO opère en cinq phases : ...

🔍 Contexte Publié le 22 septembre 2026 par Huntress (James Northey et Andrew Brandt), cet article documente deux incidents distincts détectés le 31 août 2026 impliquant le malware DarkMe, un RAT/espion écrit en Visual Basic 6 (VB6) précédemment attribué au groupe APT Water Hydra (alias EvilNum / Operation DarkCasino). 🎯 Changement de vecteur d’accès initial Contrairement aux campagnes de 2023-2024 qui exploitaient deux zero-days (CVE-2023-38831 WinRAR et CVE-2024-21412 Windows Defender SmartScreen), cette nouvelle campagne repose exclusivement sur l’ingénierie sociale : ...

🔍 Contexte Publié le 23 septembre 2026 par Sina Kheirkhah (@SinSinology) sur watchTowr Labs, cet article présente une analyse technique complète de CVE-2026-94127, une vulnérabilité de type heap overflow non authentifié affectant F5 BIG-IP APM, activement exploitée dans la nature au moment de la publication. 🎯 Produit et versions affectées La vulnérabilité affecte le module BIG-IP APM (Access Policy Manager) : BIG-IP APM 21.x : version 21.1.0 BIG-IP APM 17.x : versions 17.5.0 – 17.5.1 et 17.1.0 – 17.1.3 Les autres modules BIG-IP et BIG-IQ Centralized Management ne disposent d’aucun correctif applicable Les correctifs sont disponibles sous forme de hotfix ISO pour les branches 21.x et 17.x. ...

🔍 Contexte Publié le 24 septembre 2026 par Sergey Puzan sur Securelist (Kaspersky), cet article présente une analyse technique approfondie d’une nouvelle variante du stealer macOS MacSync, détectée pour la première fois dans la nature en septembre 2026. 🧬 Origine et évolution du malware MacSync est une famille de crypto/info stealers relativement récente, d’abord annoncée sur le dark web en 2025 sous le nom Mac.c, puis renommée par ses créateurs. Les versions initiales étaient implémentées en AppleScript et ressemblaient à la famille AMOS. La nouvelle version marque une rupture significative : ...

🔍 Contexte Arctic Wolf Labs a publié le 24 septembre 2026 une analyse technique détaillée d’une campagne en cours ciblant principalement des utilisateurs ukrainiens via des sites web légitimes compromis. 🎯 Vecteur d’infection Les attaquants ont injecté des iframes malveillants dans plusieurs sites d’entreprises ukrainiennes légitimes (clinique capillaire, fabricant de maquettes, libraire, établissement psychologique, revendeur d’outils, revendeur automobile). L’iframe charge une fausse page de vérification Cloudflare en langue ukrainienne, imitant un CAPTCHA authentique. ...

🔍 Contexte Publié le 25 septembre 2026 par DCSO CyTec Blog, cet article présente une analyse technique approfondie d’une nouvelle famille de malware baptisée Sauron Loader, découverte lors de plusieurs engagements clients en Allemagne. Le malware est vendu sous forme de Malware-as-a-Service (MaaS) dans des forums souterrains russes, exclusivement à des cybercriminels russophones. 🎯 Vecteurs d’accès initial Les campagnes observées utilisent deux techniques d’ingénierie sociale : ClickFix-style attacks : manipulation de l’utilisateur pour exécuter du code malveillant Voice phishing (vishing) : les victimes sont d’abord inondées de spams, puis contactées par des attaquants se faisant passer pour le support IT, les incitant à initier des sessions Microsoft Quick Assist ou AnyDesk 🧬 Analyse technique du malware L’échantillon analysé est un installateur MSI (SHA256 : ee727d639eaa4ee2e0d7cafbe496e14aaac8df0955d9fb599f2c11dfa1d0f8f2) écrit en C++. À l’exécution, il dépose trois fichiers dans C:\ProgramData\keyroll : ...

🔍 Contexte Publié le 22 septembre 2026 sur le blog de Viettel Cyber Security par le chercheur khoadha, cet article présente une analyse technique approfondie de CVE-2026-65660, une vulnérabilité affectant toutes les versions de Microsoft SharePoint (2013, 2016, 2019 et Subscription Edition). 🧩 Vulnérabilité : Bypass du type-check SafeControls La faille repose sur un contournement du mécanisme SafeControls via EditingPageParser.VerifyControlOnSafeList(). La méthode ToolPane.GetPartPreviewAndPropertiesFromMarkup() sépare les directives Register du markup Tag via ServerElementMarkupSource, puis les réassemble. La méthode RegisterDirective.GetHtml() reconstruit les directives sans valider les guillemets dans les valeurs d’attributs, permettant une injection de type SQL injection pour insérer des directives arbitraires. ...