Publication De Recherche

🔍 Contexte Le 23 juin 2026, SOCRadar Threat Research Unit (STRU) publie un rapport technique détaillé sur la campagne FortiBleed, une opération de collecte massive de credentials ciblant les pare-feux FortiGate à l’échelle mondiale. L’investigation a débuté suite à un post LinkedIn du chercheur Volodymyr « Bob » Diachenko signalant un répertoire exposé à l’adresse http://85.11.187.8:9999. 🎯 Acteur et motivation L’acteur est évalué comme un Initial Access Broker (IAB) à motivation financière, avec une origine russe probable (commentaires en cyrillique dans les outils). La compromission d’un contractant de défense aligné OTAN soulève également l’hypothèse d’une collaboration avec des groupes étatiques russes. La campagne est active depuis au moins février 2026. ...

🔍 Contexte Publié le 17 juin 2026 par Graphistry sur leur blog officiel, cet article constitue un retour d’expérience pratique sur le modèle Fable 5 d’Anthropic (une configuration du modèle Mythos 5 avec politiques de sécurité IA intégrées), désormais interdit par le gouvernement américain. L’évaluation porte sur deux axes : le codage et les investigations cybersécurité. ✅ Points positifs : codage Fable 5 est décrit comme remarquablement autonome pour les tâches de développement complexes Il a accompli en 2 jours un projet de modernisation de bibliothèques CPU/GPU (lié à Apache Arrow) qui nécessitait auparavant une intervention manuelle fréquente Comparé à Opus 4.8 et Codex 5.5, Fable se pilote davantage seul Il a détecté et corrigé des bugs dans des plugins HTTP binaires personnalisés pour Arrow et Fastify ❌ Points négatifs : cybersécurité défensive Graphistry a utilisé deux benchmarks publics pour évaluer Fable sur des tâches SOC : ...

🌐 Contexte Source : Computer Weekly, publié le 16 juin 2026. Cisco a mené une enquête entre mars et avril 2026 auprès de 3 472 responsables IT (CIO, responsables réseau, informatique de terrain) dans des organisations de plus de 500 employés, couvrant l’Asie-Pacifique, l’Europe, le Moyen-Orient, l’Amérique latine et l’Amérique du Nord. 📊 Principaux constats quantitatifs 235% d’augmentation du trafic réseau prévue dans les 3 prochaines années due aux charges de travail IA 73% des répondants ont atteint ou atteindront les limites de capacité réseau dans 24 mois 67% signalent une augmentation du trafic est-ouest lié aux agents IA 61% constatent une croissance du trafic automatisé continu généré par les systèmes IA 97% anticipent une expansion des déploiements d’IA agentique dans les 24 prochains mois Un tiers des entreprises déclarent déjà des déploiements d’IA agentique à l’échelle de l’entreprise 🔒 Dimension sécurité 92% des entreprises admettent avoir du mal à suivre l’évolution de l’environnement de sécurité 90% reconnaissent que l’IA a déjà causé des dommages en matière de sécurité Plus des deux tiers estiment que les menaces liées à l’IA évoluent plus vite que leur capacité d’adaptation La surface d’attaque s’étend au-delà de ce que les défenses actuelles peuvent gérer Un écart d’observabilité se creuse : les outils de surveillance traditionnels peinent face aux flux agentiques est-ouest ⚠️ Facteurs de vulnérabilité identifiés Les agents IA opèrent à vitesse machine, générant des dizaines d’appels API, requêtes base de données et inférences de modèles en quelques secondes Le Wi-Fi est identifié comme le principal goulot d’étranglement par plus de la moitié des répondants Les charges IA sont particulièrement sensibles à : fiabilité/disponibilité (80%), bande passante (75%), latence (71%), perte de paquets (62%) 76% des répondants admettent avoir besoin de mises à niveau réseau 91% citent les contraintes budgétaires comme obstacle 📌 Type d’article Il s’agit d’un rapport de recherche sectorielle publié par Cisco, présenté sous forme d’article de presse spécialisée. Son but principal est de documenter l’impact des charges de travail IA sur les infrastructures réseau d’entreprise et les implications sécuritaires associées. ...

🔍 Contexte Check Point Research publie le 17 juin 2026 une analyse technique d’une campagne de distribution de clipboard hijacker ciblant les propriétaires de cryptomonnaies et les joueurs de crash-games en ligne. L’acteur exploite un écosystème multi-plateformes de fausse légitimité pour maximiser la portée de ses outils malveillants. 🎯 Vecteurs de distribution et ingénierie sociale L’acteur opère via plusieurs canaux coordonnés : Site WordPress de phishing servant de hub central, promouvant des outils comme des Solana/Pump.fun sniper bots, Aviator Predictor et des crash-game predictors GitHub : au moins 6 comptes (Decryptor-j, crash-predictor1, roblox-script1, hack-scripts, stake-mines) avec plus de 5 000 téléchargements dont 1 250+ pour la version macOS SourceForge : 44 485 téléchargements dont 37 460 depuis des appareils Android (probablement une ferme Android pour gonfler les statistiques) YouTube : chaîne avec narrateurs générés par IA, pics de vues suspects, commentaires coordonnés positifs Sites d’actualités légitimes : posts publiés le 27 avril 2026 (depuis retirés), potentiellement via des posts sponsorisés ou des médias compromis BitcoinTalk.org et forums de hacking : présence documentée depuis 2019, post de 2022 intitulé BLACKHAT | Bitcoin Stealer | Advanced Builder | Tutorial | Clipper [Address Changer]+Re-Fud method 🦠 Payload technique Les binaires livrés sont des clipboard hijackers écrits en Rust, disponibles pour Windows et macOS. Leurs fonctionnalités : ...

🔍 Contexte Publié le 16 juin 2026 sur le blog Kaspersky, cet article rapporte la découverte par Alexander Kozlov et Sergey Anufrienko (Kaspersky ICS CERT) d’une vulnérabilité critique dans les puces Qualcomm, présentée lors de la conférence Black Hat Asia 2026. 🧩 Nature de la vulnérabilité La faille, référencée CVE-2026-25262, est classée CWE-123 (Write-What-Where Condition) et réside dans la BootROM des puces Qualcomm, plus précisément dans le protocole Sahara, composant du mode de téléchargement d’urgence (EDL). Ce protocole s’exécute avant tout système d’exploitation, avant toute vérification de droits ou contrôle de sécurité. ...

🔍 Contexte Publié le 16 juin 2026 par OALABS (OpenAnalysis), cet article présente une analyse forensique inédite de plus de 1 000 sessions d’agents IA récupérées sur un serveur compromis ayant servi de pivot à un attaquant. La source primaire est le répertoire de travail de l’attaquant, copié avant nettoyage du serveur. 🧩 Vecteur initial et chaîne de compromission L’attaquant a volé une instance Claude Code appartenant à un développeur tchèque hébergée sur un serveur Hetzner. Ce développeur avait des pratiques de sécurité défaillantes (credentials collés dans les prompts, services exposés sur internet, mots de passe simples). Le 2 février 2026, le serveur du développeur est compromis ; le 16 février 2026, l’intégralité de l’instance Claude (avec tout l’historique de sessions) est copiée sur un hôte Vultr contrôlé par l’attaquant. ...

🗓️ Source : Securelist (Kaspersky) — Publication le 16 juin 2026, auteurs : Maxim Starodubov et Denis Brylev. Contexte Depuis fin 2025 (et confirmé dès août 2025 selon la mise à jour du 17 juin), des acteurs malveillants exploitent Steam Workshop et l’application Wallpaper Engine pour distribuer des malwares à grande échelle. Des dizaines de fonds d’écran malveillants ont été identifiés, chacun ayant été téléchargé des milliers à des dizaines de milliers de fois. ...

🔍 Contexte Publié le 19 juin 2026 par The Register, cet article rapporte la divulgation publique d’un exploit BootROM baptisé « usbliter8 », développé par les chercheurs en sécurité de Paradigm Shift. La divulgation a été coordonnée avec Apple avant publication. 🧩 Détails techniques L’exploit cible une vulnérabilité dans le code SecureROM des puces Apple A12 et A13, présentes dans les modèles iPhone XS, XR, 11 et 11 Pro. La faille réside dans le contrôleur USB Synopsys DesignWare utilisé par Apple : une mauvaise gestion de certains paquets USB setup permet une corruption mémoire en mode DFU (Device Firmware Update), conduisant à la prise de contrôle du SecureROM. ...

🌐 Contexte Article de recherche publié le 10 juin 2026 sur kmsec.uk par Kieran Miyamoto, chercheur indépendant en cybersécurité. L’article documente l’utilisation de Google Docs par l’acteur FAMOUS CHOLLIMA (nexus RPDC) pour mener deux campagnes distinctes mais liées. 🎯 Campagnes identifiées FAMOUS CHOLLIMA opère deux campagnes thématiquement similaires : Contagious Interview (aka DevPopper) : fausses offres d’emploi ciblant des développeurs, avec des tâches de codage hébergées sur Bitbucket/GitHub menant à une chaîne d’infection multi-étapes déployant des infostealers (OtterCookie, InvisibleFerret) pour vider des portefeuilles de cryptomonnaies. IT Worker scheme (aka WageMole) : recrutement de « proxy interviewees », des personnes conduisant des entretiens d’embauche à la place d’opérateurs FAMOUS CHOLLIMA pour faciliter l’infiltration d’entreprises. 🔗 Preuve de réutilisation d’actifs entre campagnes Un élément clé de l’analyse est la réutilisation d’une image bannière non-standard (hash de7f4a6cc9faa9e8cd165e77963b278f9c377978b1b4a0be58e41b4b1f4a525b) entre : ...

🔍 Contexte Présentation publiée le 11 juin 2026 par Dominik Phillips et Sebastian Feldmann, membres du CSIRT de Deutsche Bahn AG, dans le cadre de la conférence x33fcon 2026. Le contenu est disponible sur GitHub (threathunters-io). L’objectif est de décrire une approche de fingerprinting d’implants C2 modernes à l’exécution, avec un bon rapport performance/confiance. 🎯 Problématique Les équipes Blue Team détectent aujourd’hui les opérateurs (activité post-compromission) mais rarement l’implant lui-même. Les outils de scan mémoire comme Moneta, PE-Sieve ou Hunt-Sleeping-Beacons sont efficaces mais nécessitent une exécution manuelle et sont déclenchés après détection de l’opérateur. Les artefacts révélateurs (allocations RWX, modules stomped, hooks ntdll, abus de timers/APC, threads anormaux) ne sont pas exposés par les capteurs de sécurité classiques. ...