Rapport D'incident

🗂️ Contexte Dragos a publié le 6 mai 2026 un rapport d’intelligence sur une compromission observée entre décembre 2025 et février 2026, ciblant plusieurs organisations gouvernementales mexicaines, dont Servicios de Agua y Drenaje de Monterrey (SADM), la régie municipale des eaux de Monterrey. L’investigation a été initiée par Gambit Security, qui a contacté Dragos pour l’analyse des composantes OT de l’intrusion. 🎯 Nature de l’attaque Un adversaire inconnu a exploité des outils d’IA commerciaux — principalement Anthropic Claude et OpenAI GPT — pour accélérer et automatiser l’ensemble du cycle d’intrusion : ...

🔍 Contexte Publié le 5 mai 2026 sur Securelist (Kaspersky), cet article de threat intelligence documente une attaque de type supply chain visant le logiciel DAEMON Tools, utilisé pour monter des images disque. La compromission a été identifiée début mai 2026 et remonte au 8 avril 2026. 🎯 Nature de l’attaque Les installeurs officiels de DAEMON Tools (versions 12.5.0.2421 à 12.5.0.2434), distribués depuis le site légitime d’AVB Disc Soft et signés numériquement par le développeur, ont été trojanisés. Trois binaires ont été compromis : ...

🗓️ Contexte Publié le 3 mai 2026 sur BleepingComputer par Lawrence Abrams, cet article couvre deux événements liés : un faux positif massif de Microsoft Defender sur des certificats DigiCert légitimes, et la compromission réelle de l’autorité de certification DigiCert ayant conduit à l’émission frauduleuse de certificats EV de signature de code. 🚨 Faux positifs Microsoft Defender Depuis le 30 avril 2026, une mise à jour de signatures Defender (antérieure à la version 1.449.430.0) a commencé à détecter des certificats racine DigiCert légitimes présents dans le Windows trust store comme Trojan:Win32/Cerdigent.A!dha. ...

🔍 Contexte Le 16 avril 2025, l’équipe de recherche de Cybernews a découvert un serveur exposé appartenant à un acteur malveillant opérant le marketplace de cartes bancaires volées Jerry’s Store. L’article, publié le 1er mai 2026, détaille les mécanismes de cette fuite et les opérations du groupe. 💥 Incident Les opérateurs de Jerry’s Store ont utilisé Cursor, un environnement de développement assisté par IA développé par la société américaine Anysphere, pour configurer leur serveur et leurs tableaux de bord administrateurs. L’IA a généré un code défaillant créant un répertoire web ouvert sans authentification, exposant ainsi l’ensemble des données. ...

🎯 Contexte L’article est publié le 25 avril 2026 par StepSecurity, société spécialisée en sécurité de la chaîne d’approvisionnement logicielle. Il documente la compromission du package Python elementary-data (outil de data observability pour dbt) via une attaque de supply chain ciblant l’infrastructure CI/CD du projet. 🔓 Vecteur d’attaque : injection de script GitHub Actions L’attaquant, opérant depuis le compte GitHub realtungtungtungsahur (créé le 22 avril 2026), a exploité une vulnérabilité d’injection de script dans le workflow .github/workflows/update_pylon_issue.yml. Ce workflow interpolait directement ${{ github.event.comment.body }} dans un bloc run:, permettant l’exécution de code arbitraire via un simple commentaire sur la PR #2147. ...

🗓️ Contexte Article publié le 23 avril 2026 par The Register (Jessica Lyons), relatant le témoignage exclusif de Boris Vujičić, développeur web basé en Serbie, victime d’une arnaque à l’emploi hautement sophistiquée attribuée à des acteurs liés au gouvernement nord-coréen. 🎭 Déroulement de l’attaque L’attaque a débuté par un message LinkedIn d’un faux recruteur prétendant représenter une entreprise blockchain fictive nommée Genusix Labs. L’infrastructure de la campagne comprenait : Un site web d’apparence légitime avec photos de l’équipe dirigeante Un profil LinkedIn cohérent Des interviews Zoom caméra activée avec des personnages convaincants (dont une RH nommée Zam Villalon) Des ingénieurs fictifs correspondant aux photos du site Lors du second entretien technique, les attaquants ont proposé un test de codage en direct via un dépôt GitHub. Après avoir rassuré la victime (« Feel free to look for backdoors »), ils l’ont amenée à exécuter le code. ...

🔍 Contexte Rapport publié le 22 avril 2026 par The DFIR Report, basé sur l’analyse d’un serveur exposé appartenant à un opérateur malveillant. Le serveur contenait plus de 13 000 fichiers répartis dans 150+ répertoires liés à l’exploitation, la collecte de credentials et la gestion de workflow. 🎯 Nature de l’opération L’opération repose sur la plateforme modulaire Bissa Scanner, un outil d’exploitation à grande échelle intégrant des capacités d’IA (Claude Code et OpenClaw) pour l’orchestration, le dépannage et le raffinement du pipeline de collecte. L’opérateur est identifié via Telegram sous le pseudonyme @BonJoviGoesHard (display name “Dr. Tube”, user ID 1609309278). ...

🗓️ Contexte Le 22 avril 2026, la Sysdig Threat Research Team (TRT) publie une analyse d’incident documentant l’exploitation de CVE-2026-33626, une vulnérabilité Server-Side Request Forgery (SSRF) affectant LMDeploy, un toolkit d’inférence pour modèles de langage vision-language (VLM) développé par Shanghai AI Laboratory / InternLM. 🔍 Vulnérabilité La faille réside dans le traitement du champ image_url lors des requêtes de complétion de chat. Le serveur déréférence l’URL fournie sans vérification de résolution de nom d’hôte, sans liste de blocage des adresses privées, ni protection des adresses link-local. Tout schéma http:// ou https:// est accepté, y compris http://169.254.169.254/, http://127.0.0.1:3306 ou toute adresse RFC 1918. ...

🔍 Contexte Source : Hudson Rock (infostealers.com), publié le 20 avril 2026. Cet article présente les conclusions d’une investigation de threat intelligence menée par Hudson Rock à la suite de la confirmation publique d’une violation de données chez Vercel, plateforme cloud de déploiement d’applications. 🦠 Vecteur initial : infection Lumma Stealer En février 2026, un employé de Context.ai (fournisseur tiers de Vercel) a été compromis par Lumma Stealer. L’infection aurait été contractée via le téléchargement de scripts malveillants liés à des exploits de jeu (Roblox auto-farm scripts/executors), vecteur classique de déploiement de Lumma Stealer. ...

🔍 Contexte Publié le 19 avril 2026 par Huntress, cet article de threat intelligence documente une recrudescence d’incidents liés à l’exploitation de Bomgar RMM (rebaptisé BeyondTrust Remote Support), observée par le SOC Huntress depuis début avril 2026. 🛡️ Vulnérabilité exploitée La faille CVE-2026-1731, de sévérité critique, permet à un attaquant non authentifié d’exécuter du code à distance sur des instances Bomgar. BeyondTrust a publié un correctif le 6 février 2026 (version 25.3.2 pour Remote Support, version 25.1 pour Privileged Remote Access). Les organisations impactées utilisaient des versions obsolètes, notamment la version 21.1.3. ...