Analyse Technique

🔍 Contexte Le 23 septembre 2026, SafeDep publie une analyse technique détaillée d’une attaque de type supply chain ciblant deux packages open source du projet MemTensor. L’attaque a été détectée via un signalement communautaire (issue #173) sur le dépôt GitHub du plugin OpenClaw. 🎯 Packages compromis npm : @memtensor/memos-cloud-openclaw-plugin — versions malveillantes 0.1.21, 0.1.23, 0.1.25 PyPI : MemoryOS — version malveillante 2.0.34 Les deux packages contiennent le même implant Go nommé sckit, compilé pour six plateformes (linux/darwin/windows × amd64/arm64). ...

🔍 Contexte Publié le 22 septembre 2026 par Ryan Fetterman sur le blog Cisco Talos Intelligence, cet article présente la découverte de CLOSEDQUORUM, un implant Windows identifié via le projet CAIRN (toolkit open-source de Talos pour le suivi des malwares intégrant l’IA). Aucun déploiement in-the-wild n’est confirmé, mais des artefacts du binaire ont permis de relier le développeur à des forums criminels liés au carding, datant de 2025. 🧠 Architecture “LLM-as-C2” CLOSEDQUORUM est un exécutable Windows 64 bits de 16,4 Mo compilé en Go (avec CGO activé pour les appels système Windows directs). Sa particularité fondamentale est de remplacer l’infrastructure C2 traditionnelle par un panel de quatre fournisseurs LLM commerciaux : ...

🔍 Contexte Source : Huntress (blog.huntress.com), publié le 23 septembre 2026. L’analyse porte sur une attaque INC ransomware détectée fin août 2026 sur une organisation cliente, après l’installation de l’agent Huntress en réaction à un incident en cours. 🧩 Déroulement de l’attaque Les analystes Huntress n’ont pas pu déterminer le vecteur d’accès initial en raison du manque de télémétrie étendue et du délai écoulé avant l’installation de l’agent. Les éléments reconstitués incluent : ...

🔍 Contexte L’équipe Threat Research de Socket a publié le 23 septembre 2026 une analyse technique détaillée d’une extension Firefox malveillante découverte sur le Firefox Add-ons Store. L’extension, identifiée sous le nom pdf-para-texto@extensao.local (PDF Identity Verifier), a été publiée le 3 septembre 2026 et sa fonctionnalité malveillante a été introduite en version 1.4 le 11 septembre 2026. 🎭 Technique d’évasion : code propre à l’installation L’extension repose sur une architecture d’évasion sophistiquée : les fichiers statiques livrés sur le store (manifest.json, content.js, background.js) ne contiennent aucun code malveillant hardcodé. background.js est un interpréteur générique qui lit sa configuration depuis browser.storage.local, vide au moment de l’installation. Un réviseur ou un scanner statique ne détecte rien d’anormal. ...

🔍 Contexte Publié le 22 septembre 2026 par Aikido Security, cet article présente une analyse technique détaillée d’une extension de la campagne Graphalgo, initialement rapportée par ReversingLabs en février 2026. C’est la première fois que des malwares sont distribués via des providers Terraform. 📦 Vecteurs de distribution L’acteur malveillant a utilisé quatre packages compromis : Providers Terraform : gocommunity-io/dockerd kreuzwenker/docker (typosquat de kreuzwerker/docker, 56 millions de téléchargements) Modules Go : gocommunity.io/orderedbtree (publié le 11 août 2026) gogets.dev/btreex (publié le 8 septembre 2026, avec commits backdatés à novembre 2025) ⚙️ Mécanisme d’activation Les providers Terraform contiennent des points d’entrée cachés dans resource_docker_container_funcs.go, activés uniquement lorsque le hash SHA256 de la concaténation des variables containerName et networkID correspond à une valeur spécifique (b9966e3762e9a0d5d263b8cb3cca07294f81af9714d40ddf4628cb85d74e8ad5). Ce hash sert de clé AES pour déchiffrer un chemin de fichier ZIP (import-resource.sqlite3), décompresser et exécuter du code Go via go run .. ...

🔍 Contexte Source : AhnLab ASEC, publié le 17 septembre 2026. L’article documente la reprise active d’une campagne de proxyjacking menée par le groupe Larva-25012, actif depuis au moins 2025, ciblant principalement des systèmes en Corée du Sud. 🎯 Nature de l’attaque Une attaque de proxyjacking consiste à installer discrètement un Proxyware sur un système compromis afin de partager sa bande passante internet avec des tiers, générant des revenus pour l’acteur malveillant — mécanisme analogue au cryptojacking mais exploitant la bande passante plutôt que le CPU. ...

🔍 Contexte Publié le 22 septembre 2026 par Sławomir Rozbicki de CERT Polska, cet article constitue une analyse technique approfondie de la chaîne de vulnérabilités MikroTrick, affectant MikroTik RouterOS. Les patches ont été publiés le 3 septembre 2026 simultanément pour plusieurs branches maintenues : 7.25beta3, 7.24.2, 7.23.4 et 6.49.21. 🐛 Vulnérabilités impliquées CVE-2026-67279 — Transition d’état SSH invalide Le serveur SSH de RouterOS gérait incorrectement un rekey initié pendant la phase d’authentification. À la fin du rekey, le serveur passait inconditionnellement à la gestion des canaux sans avoir envoyé SSH_MSG_USERAUTH_SUCCESS, permettant à un client non authentifié d’ouvrir un canal de session. ...

🔍 Contexte Publié le 22 septembre 2026 sur le blog d’ANY.RUN, cet article présente une analyse technique approfondie de CSuite, une opération de phishing et d’accès distant active de février 2026 au 3 septembre 2026, ciblant principalement des organisations américaines (60% des victimes identifiées) et européennes. 🎯 Description de la menace CSuite est une opération structurée autour d’un modèle fournisseur/affiliés : le fournisseur distribue l’hébergement, les outils d’accès distant et les domaines via des canaux de messagerie privés, chaque affilié gérant son propre endpoint d’exfiltration. ...

🔍 Contexte Publié le 21 septembre 2026 par l’équipe TDR de Sekoia, cet article détaille la découverte et l’analyse technique d’Exvicy, un nouveau framework de distribution de malware de type ClickFix vendu en Malware-as-a-Service (MaaS) sur le forum cybercriminel russophone Exploit.IN. 🧵 Origine de la découverte L’équipe TDR a identifié Exvicy à partir d’une capture d’écran du panneau d’administration partagée sur Exploit.IN par le threat actor @Exvicy. En pivotant sur une paire de nameservers Cloudflare visible dans cette capture (randy.ns.cloudflare.com / stevie.ns.cloudflare.com), les analystes ont identifié 5 domaines enregistrés depuis mi-mai 2026, puis localisé l’infrastructure active de l’opérateur. ...

🔍 Contexte Rapport publié le 17 septembre 2026 par la LastPass Threat Intelligence, Mitigation, and Escalation (TIME) Team en partenariat avec Delphos Labs. L’investigation a débuté le 13 août 2026 suite à la détection d’une fausse organisation GitHub usurpant l’identité de LastPass Authenticator. 🎯 Nature de la campagne Campagne de type Malware-as-a-Service (MaaS) utilisant GitHub comme réseau de distribution. Le kit albinofennel[.]com héberge des pages d’impersonation dynamiques pour au moins 40 marques simultanément. La campagne est active depuis plusieurs mois et présente des chevauchements avec la campagne BoryptGrab documentée par Trend Micro en mars 2026. ...