Publication De Recherche

🔍 Contexte Publié le 25 juin 2026 par Yair Benamou (JFrog Security Research), cet article documente une nouvelle vague de la campagne Shai-Hulud, désignée Hades, ciblant l’écosystème npm Leo/RStreams — une plateforme de streaming d’événements AWS-native utilisée dans des pipelines serverless et CI/CD. 🎯 Packages ciblés 20 packages npm légitimes ont été compromis, dont : leo-sdk, leo-auth, leo-aws, leo-logger, leo-config rstreams-metrics, rstreams-shard-util serverless-leo, serverless-convention Packages @immobiliarelabs/backstage-plugin-gitlab-backend, @immobiliarelabs/backstage-plugin-gitlab, @immobiliarelabs/backstage-plugin-ldap-auth-backend, @immobiliarelabs/backstage-plugin-ldap-auth Ces packages totalisaient environ ~127K téléchargements dans le mois précédant l’analyse. ...

⚠️ Mise à jour du 27 juillet 2026 Hunt.io a révisé son rapport source à deux reprises après la publication de ce billet : 27 juin 2026 — note éditoriale des auteurs reconnaissant que la publication initiale assimilait par endroits la simple présence de certains logiciels à un impact malveillant. Le terme « C2 » y est remplacé par threat activity enabling (« infrastructure facilitant l’activité malveillante ») et « malicious » par potentially malicious dans l’ensemble du rapport. 10 juillet 2026 — après revue des données avec Friendhosting LTD, Hunt.io précise que les cas soulevant une préoccupation crédible relèvent d’infrastructure de distribution de trafic, et non d’infrastructure identifiée comme hébergeant du C2. Keitaro est un TDS (traffic distribution system) commercial : sa présence sur un réseau indique que le logiciel y est déployé, pas que le réseau opère du C2. Dans la version courante du rapport, Friendhosting LTD n’est plus mentionné que dans les points clés, sous la forme suivante : le fournisseur héberge de nombreuses instances Keitaro susceptibles d’être détournées, et travaille sur les données pour analyser les abus potentiels. ...

📅 Source et contexte : Rapport de threat intelligence publié le 25 juin 2026 par DomainTools Intelligence (DTI), couvrant les opérations cyber étatiques et para-étatiques ciblant les systèmes d’eau et d’assainissement entre 2024 et 2026. 🎯 Contexte stratégique : Les systèmes d’eau et d’assainissement sont devenus des cibles privilégiées de la guerre hybride en raison de leur sous-investissement chronique en cybersécurité OT, de l’exposition internet de leurs PLCs et HMIs, et de leur valeur psychologique et politique disproportionnée. Les trois acteurs étatiques majeurs (Iran, Russie, Chine) convergent vers la même doctrine : utiliser ces infrastructures civiles comme leviers de pression sans franchir le seuil du conflit ouvert. ...

🔍 Contexte : Le 18 juin 2026, l’équipe Microsoft Defender Security Research publie une analyse technique détaillant une chaîne d’exploitation baptisée AutoJack, découverte dans AutoGen Studio, l’interface de prototypage open-source du framework multi-agents AutoGen de Microsoft Research. ⚙️ Mécanisme d’attaque : La chaîne combine trois faiblesses indépendantes dans la surface MCP WebSocket d’AutoGen Studio : Issue 1 (CWE-1385) : La liste blanche d’origines (http://127.0.0.1, http://localhost) bloque les navigateurs externes mais pas un agent de navigation headless tournant sur la même machine, dont le JavaScript hérite de l’identité localhost. Issue 2 (CWE-306) : Le middleware d’authentification exclut explicitement les chemins /api/mcp/* et /api/ws/*, sans que le handler WebSocket MCP n’implémente sa propre vérification. Résultat : le WebSocket MCP est accessible sans authentification quelle que soit la configuration auth. Issue 3 (CWE-78) : Le paramètre server_params passé en query string est décodé en base64, parsé en StdioServerParams, et transmis directement à stdio_client() sans liste blanche des exécutables autorisés, permettant de spawner calc.exe, powershell.exe -enc ... ou bash -c '...'. 🎯 Scénario d’exploitation : Un attaquant héberge une page web contenant un script JavaScript qui ouvre une connexion WebSocket vers ws://localhost:8081/api/mcp/ws/<session_id>?server_params=<base64(json)>. Lorsqu’un agent AutoGen équipé de capacités de navigation (ex: MultimodalWebSurfer) visite cette page, le script s’exécute avec l’identité localhost, contourne l’auth, et AutoGen Studio spawne la commande arbitraire sous le compte du développeur. Aucune interaction utilisateur supplémentaire n’est requise au-delà de faire visiter la page à l’agent. ...

🔍 Contexte Le 23 juin 2026, SOCRadar Threat Research Unit (STRU) publie un rapport technique détaillé sur la campagne FortiBleed, une opération de collecte massive de credentials ciblant les pare-feux FortiGate à l’échelle mondiale. L’investigation a débuté suite à un post LinkedIn du chercheur Volodymyr « Bob » Diachenko signalant un répertoire exposé à l’adresse http://85.11.187.8:9999. 🎯 Acteur et motivation L’acteur est évalué comme un Initial Access Broker (IAB) à motivation financière, avec une origine russe probable (commentaires en cyrillique dans les outils). La compromission d’un contractant de défense aligné OTAN soulève également l’hypothèse d’une collaboration avec des groupes étatiques russes. La campagne est active depuis au moins février 2026. ...

🔍 Contexte Publié le 17 juin 2026 par Graphistry sur leur blog officiel, cet article constitue un retour d’expérience pratique sur le modèle Fable 5 d’Anthropic (une configuration du modèle Mythos 5 avec politiques de sécurité IA intégrées), désormais interdit par le gouvernement américain. L’évaluation porte sur deux axes : le codage et les investigations cybersécurité. ✅ Points positifs : codage Fable 5 est décrit comme remarquablement autonome pour les tâches de développement complexes Il a accompli en 2 jours un projet de modernisation de bibliothèques CPU/GPU (lié à Apache Arrow) qui nécessitait auparavant une intervention manuelle fréquente Comparé à Opus 4.8 et Codex 5.5, Fable se pilote davantage seul Il a détecté et corrigé des bugs dans des plugins HTTP binaires personnalisés pour Arrow et Fastify ❌ Points négatifs : cybersécurité défensive Graphistry a utilisé deux benchmarks publics pour évaluer Fable sur des tâches SOC : ...

🌐 Contexte Source : Computer Weekly, publié le 16 juin 2026. Cisco a mené une enquête entre mars et avril 2026 auprès de 3 472 responsables IT (CIO, responsables réseau, informatique de terrain) dans des organisations de plus de 500 employés, couvrant l’Asie-Pacifique, l’Europe, le Moyen-Orient, l’Amérique latine et l’Amérique du Nord. 📊 Principaux constats quantitatifs 235% d’augmentation du trafic réseau prévue dans les 3 prochaines années due aux charges de travail IA 73% des répondants ont atteint ou atteindront les limites de capacité réseau dans 24 mois 67% signalent une augmentation du trafic est-ouest lié aux agents IA 61% constatent une croissance du trafic automatisé continu généré par les systèmes IA 97% anticipent une expansion des déploiements d’IA agentique dans les 24 prochains mois Un tiers des entreprises déclarent déjà des déploiements d’IA agentique à l’échelle de l’entreprise 🔒 Dimension sécurité 92% des entreprises admettent avoir du mal à suivre l’évolution de l’environnement de sécurité 90% reconnaissent que l’IA a déjà causé des dommages en matière de sécurité Plus des deux tiers estiment que les menaces liées à l’IA évoluent plus vite que leur capacité d’adaptation La surface d’attaque s’étend au-delà de ce que les défenses actuelles peuvent gérer Un écart d’observabilité se creuse : les outils de surveillance traditionnels peinent face aux flux agentiques est-ouest ⚠️ Facteurs de vulnérabilité identifiés Les agents IA opèrent à vitesse machine, générant des dizaines d’appels API, requêtes base de données et inférences de modèles en quelques secondes Le Wi-Fi est identifié comme le principal goulot d’étranglement par plus de la moitié des répondants Les charges IA sont particulièrement sensibles à : fiabilité/disponibilité (80%), bande passante (75%), latence (71%), perte de paquets (62%) 76% des répondants admettent avoir besoin de mises à niveau réseau 91% citent les contraintes budgétaires comme obstacle 📌 Type d’article Il s’agit d’un rapport de recherche sectorielle publié par Cisco, présenté sous forme d’article de presse spécialisée. Son but principal est de documenter l’impact des charges de travail IA sur les infrastructures réseau d’entreprise et les implications sécuritaires associées. ...

🔍 Contexte Check Point Research publie le 17 juin 2026 une analyse technique d’une campagne de distribution de clipboard hijacker ciblant les propriétaires de cryptomonnaies et les joueurs de crash-games en ligne. L’acteur exploite un écosystème multi-plateformes de fausse légitimité pour maximiser la portée de ses outils malveillants. 🎯 Vecteurs de distribution et ingénierie sociale L’acteur opère via plusieurs canaux coordonnés : Site WordPress de phishing servant de hub central, promouvant des outils comme des Solana/Pump.fun sniper bots, Aviator Predictor et des crash-game predictors GitHub : au moins 6 comptes (Decryptor-j, crash-predictor1, roblox-script1, hack-scripts, stake-mines) avec plus de 5 000 téléchargements dont 1 250+ pour la version macOS SourceForge : 44 485 téléchargements dont 37 460 depuis des appareils Android (probablement une ferme Android pour gonfler les statistiques) YouTube : chaîne avec narrateurs générés par IA, pics de vues suspects, commentaires coordonnés positifs Sites d’actualités légitimes : posts publiés le 27 avril 2026 (depuis retirés), potentiellement via des posts sponsorisés ou des médias compromis BitcoinTalk.org et forums de hacking : présence documentée depuis 2019, post de 2022 intitulé BLACKHAT | Bitcoin Stealer | Advanced Builder | Tutorial | Clipper [Address Changer]+Re-Fud method 🦠 Payload technique Les binaires livrés sont des clipboard hijackers écrits en Rust, disponibles pour Windows et macOS. Leurs fonctionnalités : ...

🔍 Contexte Publié le 16 juin 2026 sur le blog Kaspersky, cet article rapporte la découverte par Alexander Kozlov et Sergey Anufrienko (Kaspersky ICS CERT) d’une vulnérabilité critique dans les puces Qualcomm, présentée lors de la conférence Black Hat Asia 2026. 🧩 Nature de la vulnérabilité La faille, référencée CVE-2026-25262, est classée CWE-123 (Write-What-Where Condition) et réside dans la BootROM des puces Qualcomm, plus précisément dans le protocole Sahara, composant du mode de téléchargement d’urgence (EDL). Ce protocole s’exécute avant tout système d’exploitation, avant toute vérification de droits ou contrôle de sécurité. ...

🔍 Contexte Publié le 16 juin 2026 par OALABS (OpenAnalysis), cet article présente une analyse forensique inédite de plus de 1 000 sessions d’agents IA récupérées sur un serveur compromis ayant servi de pivot à un attaquant. La source primaire est le répertoire de travail de l’attaquant, copié avant nettoyage du serveur. 🧩 Vecteur initial et chaîne de compromission L’attaquant a volé une instance Claude Code appartenant à un développeur tchèque hébergée sur un serveur Hetzner. Ce développeur avait des pratiques de sécurité défaillantes (credentials collés dans les prompts, services exposés sur internet, mots de passe simples). Le 2 février 2026, le serveur du développeur est compromis ; le 16 février 2026, l’intégralité de l’instance Claude (avec tout l’historique de sessions) est copiée sur un hôte Vultr contrôlé par l’attaquant. ...