International

🔍 Contexte Publié en septembre 2026 sur GitHub par le chercheur KillaBoi (Jaydip Modhwadia), ce dépôt public présente un proof-of-concept (PoC) d’élévation de privilèges locale (LPE) affectant le Steam Client Service de Valve. La vulnérabilité aurait été signalée à Valve en mars 2026, sans correctif publié à ce jour. 🎯 Vulnérabilité La faille réside dans le fait que steamservice.exe, qui s’exécute en permanence avec les privilèges NT AUTHORITY\SYSTEM, accepte une racine d’installation contrôlée par l’appelant non couverte par la signature d’un VDF Valve légitime. Ce gap de couverture de signature permet à un utilisateur standard de faire exécuter un lanceur arbitraire par le service privilégié. ...

🔍 Contexte Article technique publié le 16 septembre 2026 sur dfir.ch, rédigé par un analyste DFIR. Il documente l’abus potentiel du système de modules de zsh (shell par défaut sur macOS) à des fins d’évasion de détection et d’exécution furtive. ⚙️ Fonctionnalités des modules zsh exploitables zsh dispose d’un système de modules chargeables à l’exécution via zmodload, exposant des fonctionnalités normalement associées à des utilitaires externes : zsh/net/tcp : connexions TCP brutes via le builtin ztcp (sans curl, wget, nc) zsh/mapfile : lecture/écriture/suppression de fichiers via un tableau associatif (sans cat, rm) zsh/attr : manipulation des attributs étendus via zgetattr, zsetattr, zdelattr, zlistattr (sans /usr/bin/xattr) zsh/files, zsh/stat, zsh/sched, zsh/zselect : autres fonctionnalités système 🎯 Technique d’attaque démontrée L’article démontre une chaîne d’exécution complète : ...

🔍 Contexte L’Acronis Threat Research Unit (TRU) a publié le 13 septembre 2026 une analyse détaillée d’une campagne multinationale menée par un acteur malveillant sinophone qu’ils suivent sous le nom Red Heron. La découverte initiale remonte au 4 août 2026, lorsque TRU a identifié un implant Linux et l’a retracé jusqu’à un serveur de staging exposé de l’acteur. 🎯 Vecteur d’attaque initial Red Heron a weaponisé CVE-2026-60004, une vulnérabilité critique d’exécution de code à distance (RCE) dans Gitea (score CVSS v3.1 : 9.8), affectant les versions 1.17 à 1.27.0. La faille réside dans l’endpoint diffpatch et permet à un attaquant de placer un hook Git malveillant via une double soumission de patch. Sur les instances avec inscription ouverte (configuration par défaut), l’exploitation ne nécessite aucun compte préexistant. Le patch a été publié dans la version 1.27.1 le 27 juillet 2026, et Red Heron a commencé à exploiter la faille dès le 29 juillet, soit deux jours après la publication du PoC. ...

🔍 Contexte Publié le 16 septembre 2026 par Zscaler ThreatLabz, cet article détaille l’Opération RapidRust, une campagne attribuée au groupe APT36 (nexus Pakistan), observée en août 2026. La campagne cible des entités gouvernementales et de défense en Inde et en Afghanistan. 🛠️ Nouveaux outils découverts RUSTYSHADE : backdoor 64 bits écrit en Rust, utilisant des dépôts GitHub privés comme canal C2 via l’API REST GitHub. Les communications sont chiffrées avec AES-256-GCM, la clé étant dérivée du SHA256 d’un token GitHub (PAT) codé en dur. Supporte des commandes de capture d’écran, de webcam, de navigation de fichiers et d’exfiltration. RUSTYMOVE : outil de propagation USB 64 bits en Rust, qui surveille en continu les médias amovibles (USB, SD, MMC, IEEE 1394) et copie des fichiers malveillants pré-stagés vers les lecteurs détectés, permettant d’atteindre des réseaux air-gappés. PSNATCH : outil de vol de fichiers basé sur PowerShell (Windows), exfiltrant vers des dépôts GitHub privés les fichiers modifiés dans les 120 derniers jours, limité à 1 Go par fichier et 5 Go par exécution. BASHNATCH : variante Bash de PSNATCH ciblant les environnements Linux. 🌐 Infrastructure APT36 a utilisé : ...

🌐 Contexte Le 15 septembre 2026, le NCSC britannique, le FBI américain et le service de renseignement néerlandais (AIVD) ont publié conjointement un avis technique détaillé sur la famille de malwares CHOSEN BRICK, utilisée par des acteurs cyber étatiques iraniens depuis au moins 2025. 🎯 Cibles et objectifs Les cibles sont des individus perçus comme une menace par le régime iranien : dissidents, activistes et journalistes situés au Royaume-Uni, aux États-Unis et aux Pays-Bas. L’objectif est la collecte de renseignements (contacts, emails, messages, localisation) pouvant faciliter des opérations de surveillance, de harcèlement, voire de kidnapping ou d’opérations létales. Des données personnelles de victimes ont été publiées sur des sites de fuite pro-iraniens. ...

🔍 Contexte En juin 2026, Arctic Wolf Labs a investigué une intrusion ciblée contre une organisation du secteur des communications au Venezuela. L’activité est attribuée avec confiance moyenne au groupe de cyberespionnage Dark Caracal, associé à la Direction Générale de la Sécurité Générale (GDGS) du Liban. 🦠 Nouveau framework : GoCaracal Les analystes ont identifié un framework modulaire inédit écrit en Go, baptisé GoCaracal, déployé aux côtés d’une variante mise à jour de Bandook. L’analyse de 249 échantillons révèle deux profils opérationnels : ...

🌐 Contexte Source : Ars Technica, publié le 16 septembre 2026. L’article rapporte les conséquences à long terme de frappes militaires iraniennes sur des infrastructures cloud d’Amazon Web Services (AWS) dans la région du Moyen-Orient, dans le cadre d’un conflit armé ouvert débuté fin février 2026. 💥 Chronologie des frappes 1er mars 2026 : premières frappes de drones iraniens sur les data centers AWS au Bahreïn et aux Émirats arabes unis (EAU), dans les premiers jours du conflit déclenché par des attaques américano-israéliennes sur l’Iran le 28 février. 1er avril 2026 : frappe de suivi ciblant spécifiquement les data centers AWS au Bahreïn, perturbant une deuxième zone de disponibilité. 24 juillet 2026 : l’IRGC (Corps des gardiens de la révolution islamique) lance des missiles ciblant une structure de data center restante au Bahreïn, confirmée par imagerie satellitaire indépendante. 🗄️ Impact sur les données et l’infrastructure Émirats arabes unis (région AWS) : perte permanente de données dans la zone de disponibilité mec1-az2 ; travaux de récupération en cours pour les deux autres zones. Bahreïn (région AWS) : perte permanente de données et d’accès aux ressources dans les trois zones de disponibilité ; les dommages ont “dépassé ce que les services régionaux et multi-AZ sont conçus pour supporter” selon AWS. AWS a suspendu la facturation clients dans les régions affectées et émis 150 millions de dollars de crédits clients suite aux frappes initiales de mars. AWS a conseillé aux clients de migrer vers d’autres régions cloud et d’utiliser des sauvegardes distantes. 📡 Acteurs et attribution Attaquant : Iran / IRGC (Corps des gardiens de la révolution islamique), explicitement nommé pour la frappe du 24 juillet. Cible : infrastructures physiques AWS (Amazon Web Services) dans deux pays du Golfe. 📰 Nature de l’article Article de presse spécialisée relatant un incident majeur de destruction physique d’infrastructures cloud dans un contexte de conflit armé, avec confirmation officielle par AWS d’une perte irréversible de données clients. ...

📅 Source : BleepingComputer | Date : 16 septembre 2026 Google a publié le bulletin de sécurité de septembre 2026 pour ses appareils Pixel, adressant 110 vulnérabilités au total, dont un zero-day activement exploité dans des attaques ciblées. 🔴 Vulnérabilité zero-day : CVE-2026-58704 Cette faille de haute sévérité affecte le sous-composant Modem des appareils Pixel. Elle résulte d’une erreur de logique dans le code entraînant un contournement de permissions, classifié comme : ...

🎯 Contexte Source : Cryptika / Cyber Security News — 16 septembre 2026. L’analyse est basée sur un rapport de Group-IB partagé avec Cyber Security News, portant sur une campagne de smishing active exploitant le kit de phishing JWR. 🔍 Description de la menace Le kit JWR (JWR phishing kit) est un outil de phishing réutilisable attribué au cluster opérateur Outsider, rattaché à l’écosystème Smishing Triad. Il transforme de fausses pages de paiement en consoles de fraude bidirectionnelles grâce à une connexion WebSocket persistante. ...

🔍 Contexte Publié le 16 septembre 2026, cet article est issu du dépôt GitHub public de LumosLab-Innovation, présentant OpenHunterAI, une plateforme de red team locale assistée par intelligence artificielle, en version alpha (v0.1.0-preview.1). 🛠️ Description de l’outil OpenHunterAI est un outil local-first (sans compte requis) conçu pour évaluer la sécurité des applications web, API et LLM selon une approche attaquant. Il intègre : Inspection navigateur (via Playwright) Recon automatisé Adaptateurs ZAP et Nuclei Adaptateurs optionnels OpenHack et Strix Un skill portable pour agents de codage (Codex, Claude Code, Gemini CLI, Grok, OMP) 🏗️ Architecture L’architecture repose sur : ...