International

🔍 Contexte Source : BleepingComputer — Article publié le 22 mai 2026. Les autorités américaines et canadiennes ont conjointement procédé à l’arrestation et à l’inculpation d’un homme de nationalité canadienne, suspecté d’avoir administré le botnet KimWolf. 🎯 Nature de la menace Le botnet KimWolf est un réseau de type DDoS (Distributed Denial-of-Service) ayant infecté près de deux millions d’appareils à travers le monde. Les tags associés à l’article mentionnent une composante IoT, suggérant que les dispositifs compromis incluaient des équipements connectés. ...

🔍 Contexte Source : BleepingComputer, publié le 23 mai 2026. Des firmes de sécurité StepSecurity, Aikido Security et Socket ont alerté simultanément d’une attaque de type supply chain ciblant les packages de localisation Laravel Lang, distribués via le gestionnaire de dépendances PHP Composer. ⚙️ Mécanisme d’attaque Les attaquants n’ont pas modifié le code source des projets, mais ont réécrit les tags Git existants dans quatre dépôts pour les faire pointer vers des commits malveillants hébergés dans un fork contrôlé par l’attaquant. Cette technique exploite une fonctionnalité GitHub permettant aux tags de référencer des commits dans des forks. ...

🗓️ Contexte Publié le 24 mai 2026 sur BleepingComputer, cet article s’appuie sur les recherches de XLab, équipe de threat intelligence de la société chinoise Qianxin, ainsi que sur des travaux antérieurs de SentinelOne (publiés le 27 février 2026). 🎯 Vulnérabilité exploitée CVE-2026-26980 est une injection SQL critique affectant Ghost CMS versions 3.24.0 à 6.19.0. Elle permet à des attaquants non authentifiés de lire des données arbitraires depuis la base de données, notamment les clés API admin. Un correctif a été publié le 19 février 2026 dans la version Ghost CMS 6.19.1, mais de nombreux sites n’ont pas appliqué la mise à jour. ...

🗓️ Contexte Article publié le 24 mai 2026 sur le blog personnel de Jai Minton (jaiminton.com), basé sur des observations personnelles et le témoignage d’un tiers (Minh Tran). L’auteur analyse une campagne de phishing ciblant des professionnels tech en période de vagues de licenciements massifs (114 000 employés licenciés dans 150 organisations en 2026 selon layoffs.fyi). 🎯 Mécanisme d’attaque Les acteurs malveillants exploitent LinkedIn pour : Identifier des recruteurs légitimes et les usurper via des comptes Gmail fraîchement créés Scraper les profils publics des victimes pour personnaliser les leurres Utiliser ChatGPT (identifié via les paramètres UTM utm_source=chatgpt dans les liens) pour générer des emails professionnels et convaincants Intégrer des tracking pixels (via le service Blinq) pour détecter l’ouverture des emails Créer de fausses cartes de visite numériques via le service Blinq pour imiter les recruteurs 📧 Indicateurs comportementaux Utilisation caractéristique du tiret cadratin (em dash) dans les emails, signature typique des LLM Branding légitime d’entreprises réelles (dont Palo Alto Networks, signalé dès le 24 mars 2026) Demande de CV comme vecteur de collecte d’informations et d’arnaque financière (prétexte de « correction de CV payante ») Liens vers de vraies offres d’emploi (ex: Goldman Sachs) avec paramètres UTM révélant l’usage de ChatGPT Changement de signature entre emails (Kind regards → Warm regards) et multiplication des opportunités proposées 🏢 Contexte sectoriel La campagne cible principalement les professionnels de la tech en recherche d’emploi. Palo Alto Networks a documenté une campagne similaire d’usurpation de ses propres recruteurs dès le 24 mars 2026. ...

🗓️ Contexte Source : CrowdSec VulnTracking, publié le 25 mai 2026. CrowdSec suit activement les tentatives d’exploitation de CVE-2026-9082, une vulnérabilité de type SQL injection affectant le cœur de Drupal via les paramètres de filtre de l’API JSON:API sur les endpoints /jsonapi/. 📅 Chronologie des événements 20 mai 2026 : Drupal publie l’advisory de sécurité SA-CORE-2026-004 21 mai 2026 : CrowdSec observe les premières tentatives de sondage (probing) 22 mai 2026 : CrowdSec publie une règle de détection ; CISA ajoute CVE-2026-9082 au catalogue KEV (Known Exploited Vulnerabilities) 23 mai 2026 : Première exploitation confirmée sur le réseau CrowdSec 25 mai 2026 : 68 IPs attaquantes distinctes observées 🔍 Détails techniques CVE-2026-9082 est causée par une neutralisation incorrecte d’entrées contrôlées par l’attaquant dans les clés de paramètres de filtre JSON:API. Des métacaractères SQL peuvent être injectés directement dans la clé du filtre (et non uniquement dans la valeur), via des requêtes HTTP vers des endpoints /jsonapi/ exposés publiquement. ...

🌐 Contexte Source : Europol (europol.europa.eu), publication du 21 mai 2026. Cette annonce s’inscrit dans le cadre d’une opération internationale de démantèlement d’infrastructure cybercriminelle. 🔍 Description de la menace ‘First VPN’ était un service VPN illicite promu pendant plusieurs années sur des forums cybercriminels russophones comme outil de discrétion face aux forces de l’ordre. Ses caractéristiques principales : Paiements anonymes acceptés Infrastructure cachée conçue pour échapper aux investigations Services explicitement orientés vers un usage criminel 🎯 Implication dans la cybercriminalité Le service était profondément intégré dans l’écosystème cybercriminel, apparaissant dans presque toutes les grandes enquêtes cybercriminelles soutenues par Europol. Il était notamment utilisé par des acteurs ransomware. ...

🕵️ Contexte Source : Analyst1 (https://analyst1.com/threat-actors/dragonforce/), publiée le 22 mai 2026. L’article présente une analyse approfondie du groupe DragonForce, opération de ransomware-as-a-service (RaaS) observée depuis août 2023. 🎯 Modèle opérationnel DragonForce conduit des attaques de double extorsion à l’échelle mondiale, combinant : Chiffrement des données des victimes Exfiltration et publication des données sur un site de fuite dédié (DLS) Le groupe opère selon un modèle affilié structuré et scalable, avec une organisation de type cartel. ...

🏛️ Contexte Le Centre for Cybersecurity Belgium (CCB), département CyTRIS, a publié le 29 avril 2026 un rapport de threat intelligence (version 1.0, TLP:CLEAR) consacré au groupe DragonForce, avec une date de coupure renseignement au 16 avril 2026. Ce rapport constitue un profil complet de l’acteur, couvrant sa motivation, son attribution, ses victimes, ses capacités techniques et son infrastructure. 🎯 Présentation de l’acteur DragonForce est un opérateur Ransomware-as-a-Service (RaaS) à double extorsion apparu en décembre 2023. Le groupe a compromis plus de 400 victimes à ce jour, dont deux organisations belges (secteurs construction et services aux entreprises). Sa motivation est exclusivement financière, sans affiliation politique ni sponsoring étatique identifié. ...

📰 Source : BleepingComputer | Date : 23 mai 2026 | Opération : « Tutto Chiaro » coordonnée par Eurojust 🎯 Contexte Les autorités italiennes (Guardia di Finanza) ont démantelé un écosystème de piratage audiovisuel centré sur l’application CINEMAGOAL, qui permettait un accès non autorisé à des plateformes de streaming légitimes (Netflix, Disney+, Spotify, Sky, DAZN). ⚙️ Fonctionnement technique L’application se connectait directement aux plateformes légitimes en utilisant des codes d’authentification/déchiffrement valides, récupérés depuis des serveurs étrangers. Des machines virtuelles situées en Italie capturaient ces codes toutes les 3 minutes à partir d’abonnements légitimes ouverts sous de fausses identités. Les codes étaient ensuite redistribués aux clients, leur permettant de streamer le contenu directement depuis les plateformes officielles (qualité supérieure, contournement des blocages IP). Les adresses IP réelles des utilisateurs étaient masquées, réduisant les risques de détection. Des serveurs en France et en Allemagne hébergeaient le code source de l’application et les fonctions de décodage des flux protégés. 💰 Dimension économique et criminelle ...

🗓️ Contexte Source : Il Sole 24 Ore, 22 mai 2026. La Guardia di Finanza (GdF) italienne annonce le démantèlement d’un vaste réseau de piraterie audiovisuelle organisé autour de l’application Cinemagoal, à l’issue d’une opération coordonnée depuis Ravenne. 🔍 Description du système Cinemagoal Cinemagoal était une application permettant d’accéder illicitement aux contenus payants des plateformes suivantes : Sky, DAZN, Netflix, Disney+, Spotify Le fonctionnement technique reposait sur plusieurs mécanismes : Connexion des appareils clients à un serveur étranger pour décrypter les contenus Utilisation de machines virtuelles distribuées sur le territoire national, actives 24h/24, capturant et retransmettant en temps réel les codes d’abonnements légitimes souscrits au nom de sujets fictifs Envoi d’un signal en clair aux utilisateurs finaux Absence d’adresse IP directement associable à la connexion, afin de réduire la traçabilité des utilisateurs L’abonnement annuel était proposé entre 40 et 130 euros selon le forfait choisi. Plus de 70 personnes assuraient la distribution du service. ...