📅 Source : webhot.dk — Date de publication : 18 juillet 2026 (mise à jour), incident survenu le 15 juillet 2026. 🔒 Le fournisseur d’hébergement et de messagerie danois webhot.dk a publié une communication officielle faisant état d’un incident de sécurité majeur ayant conduit à la mise hors ligne complète de tous ses systèmes le 15 juillet 2026 à 19h22. 📋 Chronologie de l’incident : 15/07/2026 à 19h22 : Arrêt et verrouillage de l’ensemble des systèmes 15/07/2026 à 19h31 : Début de l’investigation, étendue de l’incident constatée 16/07/2026 à 01h32 : Constat d’impossibilité de restauration normale ; décision de reconstruction complète 17/07/2026 à 15h22 : Rétablissement du système de messagerie 💥 Impact : Toute la messagerie reçue avant le 17 juillet 2026 à 15h22 est définitivement perdue et ne peut être restaurée. Les comptes utilisateurs doivent être recréés. ...

🔍 Contexte Article publié le 20 juillet 2026 sur LinkedIn par David Konitzny, chercheur GEO chez Peec AI. L’auteur documente une découverte réalisée lors de sessions de test personnelles portant sur le mécanisme de partage de conversations de la plateforme d’IA DeepSeek. 📌 Découverte principale Le chercheur a constaté que les liens de conversations partagées de DeepSeek (situés dans le répertoire /share/) sont indexés par Google. En utilisant l’opérateur site: dans Google, il a pu accéder à un nombre considérable d’URLs correspondant à des conversations partagées publiquement, sans que les utilisateurs en soient nécessairement conscients. ...

📰 Cet article est une newsletter d’analyse publiée le 16 juillet 2026 par Risky Business (Tom Uren), couvrant l’évolution des tactiques ransomware intégrant l’intelligence artificielle dans les opérations d’extorsion. 🎯 FulcrumSec : l’IA au service de la négociation FulcrumSec est un groupe d’extorsion de données actif depuis septembre 2025. Il utilise des techniques d’accès initiales simples : Exploitation de credentials hardcodés ou exposés Applications non patchées Stockage mal configuré Le groupe revendique la compromission de 25 organisations et le vol de plusieurs téraoctets de données. Sa particularité est d’utiliser l’IA non pas pour hacker, mais pour analyser les données volées afin d’établir une position de négociation solide et justifier ses demandes de rançon. ...

🏢 Contexte Cette information provient d’un dépôt 8-K auprès de la SEC (Securities and Exchange Commission), publié le 23 juillet 2026 par Five Below, Inc., détaillant un incident de cybersécurité survenu mi-juillet 2026. 🔍 Déroulement de l’incident 14 juillet 2026 : Un acteur malveillant utilise des techniques d’ingénierie sociale pour obtenir un accès non autorisé à l’ordinateur d’entreprise d’un employé. 15 juillet 2026 : Five Below détecte une activité anormale sur ce poste et active son plan de réponse aux incidents de cybersécurité. Une investigation forensique est lancée avec l’assistance d’experts tiers en cybersécurité. Des mesures de confinement immédiates sont mises en œuvre. 📂 Impact constaté Exfiltration de fichiers depuis l’ordinateur de l’employé affecté. L’incident est décrit comme limité à l’environnement de l’employé concerné. Aucune donnée personnelle identifiable (PII) n’a été accédée ou exfiltrée. Les autres systèmes, plateformes, données et environnements de l’entreprise n’ont pas été affectés. 📊 Évaluation de l’impact Selon Five Below, l’incident n’a pas eu d’impact matériel sur la stratégie commerciale, les opérations, la situation financière ou les résultats d’exploitation de la société. ...

🔍 Contexte Le 21 juillet 2026, PRODAFT publie un rapport technique approfondi sur Funky Mantis, également suivi publiquement sous le nom DevMan, une opération de ransomware-as-a-service (RaaS) centralisée observée entre novembre 2025 et janvier 2026. 🏗️ Structure opérationnelle Funky Mantis fonctionne selon un modèle RaaS centralisé combinant : Gestion des affiliés via un portail web dédié (deux générations : décembre 2025 et v3 janvier 2026) Distribution d’accès réseau par pays Génération de payloads personnalisés (Windows, ESXi, Linux annoncés) Négociation des rançons et suivi des revenus Communications internes via Rocket.Chat (version 7.6) Le portail v3 (janvier 2026) a ajouté la gestion du cycle de vie des victimes, le suivi des délais, la création d’équipes et les codes d’invitation. ...

🔍 Contexte Publié le 23 juillet 2026 par HoneyLabs, cet article de recherche présente une méthodologie d’analyse de 30 millions de sondes honeypot visant à identifier des acteurs ayant sondé des chemins d’exploitation avant la publication officielle des CVE correspondants. 📡 Cas principal : CVE-2026-41940 (cPanel/WHM) Le 11 avril 2026, l’IP 85.122.114.177 (AS200019, Alexhost, Roumanie) a envoyé 16 requêtes vers /login/?login_only=1 sur le port 2087 (interface WHM de cPanel) sur une période de trois jours, puis est devenue silencieuse. Cette adresse n’a jamais requis aucun autre chemin sur aucun autre port. ...

🔍 Contexte Publié le 20 juillet 2026 par ENKI WhiteHat (enki.co.kr), ce rapport d’analyse technique documente une campagne du groupe Kimsuky (lié à la Corée du Nord) ciblant des éditeurs de logiciels de groupware sud-coréens entre 2025 et début 2026. 🎯 Vecteurs d’accès initial Deux vecteurs distincts ont été identifiés : Vendor A (novembre 2025) : exploitation d’une vulnérabilité RCE sur un serveur de messagerie exposé sur Internet, ayant conduit à l’installation de Gomir. Vendor B (décembre 2025) : spear-phishing ciblant un employé, avec installation d’un variant HttpTroy (MD5 : 633c3076c396f2200048d1b62da204d2, C2 : https://auth.samecloud.o-r.kr/index.php, persistance via tâche planifiée nommée AhnlabUpdate). 🦠 Malwares analysés Gomir Backdoor Linux écrit en Go, packé avec UPX, module path : local.github.com/Github-Lin/Main Persistance via systemd (root) ou crontab (non-root), se copie sous /var/log/rsyslogd Communication C2 via HTTPS POST (https://commit.hanbiro.o-r.kr/index.php), chiffrement XOR mod 255 + Base64 URL-safe Génère un bot ID au format XX-[0-9a-f]{10} basé sur MD5 (username + hostname + MAC) Supporte 17 codes de commande : shell, transfert de fichiers, proxy, hibernation, etc. BirdTroy (nouveau) RAT Linux en Go, module path : Bird/module Partage les codes de commande et la logique de persistance avec Gomir et HttpTroy Supporte HTTP/3 (QUIC) pour contourner les appliances réseau TCP Communication via paquets custom encodés en Base64, avec checksum MD5 C2 par défaut : https://69.10.50.165:8443 DriveTroy (nouveau) Backdoor Linux en Go, build path : C:/Users/jira/go/src/jira/payload/ Utilise Google Drive comme canal C2 (polling toutes les secondes du fichier E8C46207.cmd) Configuration chiffrée en RC4 (clé : @st34GMEgfesy4R#r21f) + Base64 URL-safe, stockée en fin de fichier Compte Google de l’acteur : vcenter.secmail@gmail.com (username : mo mo) Persistance via systemd avec noms de service aléatoires parmi syslogd, logd, cachelog 🔄 Activité post-compromission Mouvement latéral vers les clients des éditeurs compromis via des informations de configuration ou clés d’authentification volées sur les serveurs VOC (Voice of Customer) Falsification de pages de connexion groupware pour exfiltrer les identifiants en clair via HTTPS POST vers le C2 Utilisation de DWAgent (outil légitime de contrôle à distance) pour accéder aux postes Windows compromis Déploiement d’un outil proxy basé sur yamux pour pivoter vers des segments réseau isolés 🏷️ Attribution Similitudes avec la campagne TrollSteler de Kimsuky (Gomir, GoBer/Endoor) Certificat HTTPS XAMPP par défaut sur tous les C2, ASN 19318 et 26666 historiquement associés à Kimsuky Username jira dans le build path de DriveTroy retrouvé dans des documents leurres et PDB paths de loadDll.dll d’une campagne HttpSpy antérieure Clé d’authentification proxy dkanehahffk = frappe QWERTY de ‘아무도몰라’ (coréen pour ’nobody knows’) 📋 Type d’article Rapport d’analyse technique publié par ENKI WhiteHat, visant à documenter la campagne, fournir des IoCs et des règles YARA pour la détection de Gomir, BirdTroy et DriveTroy. ...

🎯 Contexte Cet article publié le 21 juillet 2026 par Cato CTRL (équipe de threat intelligence de Cato Networks) documente l’évolution d’un acteur cybercriminel russophone opérant sous le pseudonyme “Trim”, depuis un tutoriel de jailbreaking IA jusqu’à la commercialisation d’une plateforme offensive automatisée. 📅 Chronologie des activités 13 mars 2026 — Phase 1 : Partage de connaissances Trim publie sur un forum cybercriminel russophone un guide détaillé de contournement des filtres de sécurité de Claude Opus (Anthropic). Il documente six techniques nommées : ...

📰 Source : Hackread.com, publié le 20 juillet 2026. 🖥️ Contexte : Des utilisateurs ont découvert que la connexion de certains moniteurs LG à des PC Windows entraîne l’installation automatique de LG Monitor App Installer via Windows Update, sans demande de consentement explicite. Ce comportement a été reproduit et documenté par le canal YouTube Gamers Nexus. ⚙️ Mécanisme technique : Windows détecte le moniteur connecté et récupère les paquets d’extension et composants logiciels LG. LG Monitor App Installer est ensuite installé depuis le Microsoft Store environ une minute après l’installation des paquets LG. L’application s’enregistre au démarrage de Windows, permettant l’affichage répété de publicités à chaque redémarrage. L’application dispose de la permission runFullTrust, lui permettant d’opérer en dehors du sandbox Windows AppContainer avec accès à internet et à toutes les ressources système. 📊 Comportement observé : ...

🔍 Contexte Publié le 23 juillet 2026 par Hunt.io en collaboration avec le chercheur Bob Diachenko, cet article présente les résultats d’une investigation sur une opération d’espionnage ciblant le Ministère des Finances de Thaïlande (MOF). La divulgation coordonnée a été effectuée auprès du CERT national thaïlandais et du NCSA le 15 juillet 2026. 🏗️ Infrastructure de staging Entre le 9 et le 13 juillet 2026, Hunt.io Attack Capture a identifié trois répertoires ouverts sur l’IP 43.246.208[.]207 (AS132883, TOPIDC, Hong Kong), exposant 585 fichiers et 470 Mo de code offensif et de credentials volés sur les ports 80, 8080 et 8443. Cette IP présente un historique de contrôleur ShadowPad et héberge activement un serveur C2 VShell sur le port 21083. Le domaine redhatupdating432.dnsrd[.]com pointe vers ce serveur. ...