🔍 Contexte Source : BleepingComputer — Publication le 21 mars 2026. Cet article rapporte la saisie par le FBI des domaines clearnet associés au groupe hacktiviste Handala, dans le cadre d’une opération judiciaire liée à une cyberattaque contre Stryker. 🌐 Domaines saisis Les deux domaines suivants affichent désormais un avis de saisie : handala-redwanted[.]to handala-hack[.]to Ces domaines ont été saisis en vertu d’un mandat de saisie délivré par le District Court for the District of Maryland. ...

Le groupe ransomware LeakNet ajoute ClickFix via des sites légitimes compromis et un loader Deno en mémoire comme nouvelles méthodes d’accès initial, tout en conservant une chaîne post-exploitation identique. 🔍 Contexte Publié le 21 mars 2026 par ReliaQuest (auteurs : Joseph Keyes et Daxton Wirth), ce rapport de threat intelligence analyse les évolutions tactiques du groupe ransomware LeakNet, qui intensifie ses opérations en adoptant de nouvelles méthodes d’accès initial. 🎯 Nouvelles méthodes d’accès initial LeakNet a ajouté deux nouvelles techniques à son arsenal : ...

Le groupe iranien MuddyWater a mené en février-mars 2026 une campagne d’espionnage ciblée utilisant deux nouveaux malwares, Dindoor et Fakeset, contre des organisations financières, aéroportuaires et de défense aux États-Unis, en Israël et au Canada. 🌐 Contexte Rapport publié le 20 mars 2026 par Krypt3ia, analysant une campagne d’intrusion conduite entre février et mars 2026 par le groupe iranien MuddyWater (aussi connu sous les alias Seedworm, MERCURY, Static Kitten, MOIST KEYCHAIN, Mango Sandstorm), aligné avec le Ministère du Renseignement et de la Sécurité iranien (MOIS). ...

📰 Contexte Le 13 mars 2026, Navia Benefit Solutions, Inc. a publié un avis officiel de violation de données via PR Newswire, informant ses clients et les personnes concernées d’un incident de sécurité découvert le 23 janvier 2026. 🔍 Déroulement de l’incident Un acteur non autorisé a accédé à l’environnement de Navia et potentiellement exfiltré des données sur une période allant du 22 décembre 2025 au 15 janvier 2026. La découverte de l’activité suspecte a eu lieu le 23 janvier 2026, soit environ 8 jours après la fin de l’accès non autorisé. ...

🔐 Correctif d’urgence Oracle – CVE-2026-21992 Source : BleepingComputer | Date de publication : 21 mars 2026 Oracle a publié une mise à jour de sécurité hors-bande (out-of-band), en dehors de son cycle habituel de correctifs trimestriels, pour adresser une vulnérabilité critique affectant deux de ses produits. 🎯 Produits affectés Oracle Identity Manager Oracle Web Services Manager 🚨 Nature de la vulnérabilité La faille, référencée CVE-2026-21992, est classifiée comme une vulnérabilité d’exécution de code à distance (RCE) non authentifiée, ce qui signifie qu’un attaquant peut l’exploiter sans disposer d’identifiants valides sur le système cible. La criticité de cette faille justifie la publication d’un correctif d’urgence en dehors du calendrier standard. ...

🔍 Contexte Article d’investigation publié par The Guardian le 14 mars 2026, rédigé par Hannah Devlin et Tom Burgis. UK Biobank est une base de données médicales britannique fondée en 2003, détenant les dossiers de santé de 500 000 volontaires britanniques, incluant séquences génomiques, scanners, échantillons sanguins et données de style de vie. 📂 Nature de l’incident Des données de santé confidentielles ont été exposées publiquement en ligne à de nombreuses reprises par des chercheurs ayant accidentellement publié des jeux de données Biobank sur GitHub en même temps que leur code d’analyse. Cette pratique résulte de l’obligation croissante des journaux scientifiques et financeurs de publier le code source des analyses. ...

Trend Micro dissèque une attaque du groupe Warlock combinant mouvement latéral, tunneling multi-outils, BYOVD via NSecKrnl.sys et déploiement de ransomware par GPO. 🔍 Contexte Cet article publié le 21 mars 2026 par Trend Micro Research constitue une analyse technique approfondie d’une campagne d’attaque attribuée au groupe Warlock. Il documente une chaîne d’attaque complète allant de l’accès initial jusqu’au déploiement de ransomware à l’échelle du domaine Active Directory. 🚪 Accès initial et mouvement latéral Suivant l’accès initial, les acteurs de la menace ont réalisé un mouvement latéral extensif via des outils d’administration légitimes et de l’abus de credentials : ...

Le Centre de Coordination des Crises Cyber (C4) publie une note d’alerte signalant une hausse d’attaques visant les messageries instantanées, en particulier Signal (et aussi WhatsApp), contre des personnalités politiques et cadres de l’administration, notamment des secteurs régaliens. Les attaques reposent sur de la fraude à l’identité et le détournement de fonctionnalités légitimes (association d’appareils, transfert de compte), permettant l’accès à l’historique des conversations, au carnet d’adresses, l’usurpation d’identité pour envoyer des messages, et des usages de désinformation/manipulation dans des contextes d’ingérence étrangère. ...

Selon bka.de, dans un communiqué du 20 mars 2026, la ZACNRW et le Bundeskriminalamt (BKA) ont mené le 19/03/2026 une opération internationale avec le Canada et les États‑Unis pour démanteler deux des plus grands botnets actuels, Aisuru et Kimwolf. 🚔 Les autorités ont neutralisé l’infrastructure technique mondialement répartie des deux botnets. Deux administrateurs présumés ont été identifiés; des perquisitions ont eu lieu en Allemagne et au Canada, avec saisies de nombreux supports de données et de cryptomonnaies (montant à cinq chiffres). L’action s’inscrit dans des enquêtes de plusieurs mois, techniquement complexes et étroitement coordonnées à l’international. ...

Selon Socket (socket.dev), une nouvelle attaque de chaîne d’approvisionnement visant l’écosystème Trivy a été détectée à partir d’environ 19:15 UTC, distincte du précédent incident OpenVSX/VS Code. L’attaque cible l’action GitHub officielle aquasecurity/trivy-action et transforme des références de versions largement utilisées en vecteur de distribution d’un infostealer. L’acteur a force-push 75 des 76 tags de version du dépôt aquasecurity/trivy-action afin de les faire pointer vers de nouveaux commits malveillants, tout en conservant une apparence légitime via des métadonnées spoofées. Plus de 10 000 workflows GitHub référencent ces tags, amplifiant le rayon d’impact. Les tags compromis « restent actifs » au moment de la rédaction. Le tag 0.35.0 est le seul non empoisonné, car il pointe déjà vers le commit parent utilisé par l’attaquant (57a97c7e). Des indices de fraude incluent l’absence de signatures GPG d’origine, des dates incohérentes (dates anciennes avec un parent de mars 2026) et des commits ne modifiant que entrypoint.sh. Des « releases immuables » ont été publiées lors du poisonnement, compliquant le rétablissement. Homebrew a déjà amorcé des retours arrière. ...