International

🔍 Contexte Publié le 4 novembre 2026 par l’Acronis Threat Research Unit (TRU), ce rapport détaille l’investigation d’une campagne offensive orchestrée par un unique opérateur basé à Hualien City, Taïwan, utilisant un maillage de 12 agents IA baptisé BOSSAI. L’investigation a été déclenchée par la découverte d’un environnement de développement mal configuré exposant plus de 90 000 fichiers totalisant 9 Go de données. 🤖 Architecture BOSSAI Le maillage BOSSAI est composé de 12 agents IA (9 actifs, 3 configurés mais inactifs), chacun remplissant des rôles distincts : ...

🔍 Contexte Publié le 15 octobre 2026 par Unit 42 (Palo Alto Networks), ce rapport documente une campagne d’intrusion baptisée CL-UNK-1211, active d’octobre 2025 à avril 2026. L’affiliation de ce cluster à un État-nation ou à la cybercriminalité n’a pas encore été déterminée. 🎯 Cibles et objectifs Les attaquants ont ciblé des entités gouvernementales et des infrastructures affiliées à des États, avec pour objectifs : L’exfiltration de boîtes mail gouvernementales pour accéder à des comptes de réseaux sociaux (Facebook, Instagram, Twitter, TikTok, LinkedIn) Le dump complet de bases de données sensibles Le maintien d’un accès persistant à long terme 🤖 Utilisation de l’IA pour la génération de payloads Les scripts malveillants contenaient des annotations conversationnelles et des commentaires de raisonnement étape par étape, caractéristiques d’une génération par LLM ou d’un agent IA automatisé. Les indicateurs incluent : en-têtes de section dans les scripts, usage intensif de commandes encodées en Base64, et transitions fluides entre PHP, JavaScript, Bash et Python. ...

🔍 Contexte Le 3 novembre 2026, OPSSHIELD a publié un avis de sécurité sur son site officiel (opsshield.com) concernant une compromission de son infrastructure de distribution de mises à jour (CDN). L’incident a débuté le 2 novembre 2026 à 02:06 UTC. 💥 Déroulement de l’attaque Un attaquant non identifié a utilisé des identifiants compromis pour accéder à l’infrastructure CDN d’OPSSHIELD. Il a ensuite distribué un script malveillant (cpguard-v58812-i91511.sh) via le canal officiel de mise à jour de cPGuard, affectant les versions 5.88.12 à 5.88.19. La détection est intervenue dans les 12 heures suivant la distribution des mises à jour compromises. ...

🗂️ Contexte Communiqué de presse du Département de Justice américain (SDNY), publié le 5 novembre 2026, relatif à l’inculpation de trois ressortissants étrangers pour une vaste fraude par usurpation d’identité assistée par IA générative (désignée « super intelligence » ou SI). 👤 Acteurs impliqués Jacob Soall (alias « Seba Clarke », « Rocky Balboa »), 41 ans, Marbella (Espagne) / Royaume-Uni — arrêté en Espagne le 17 juin 2026 Sharon Hazan (alias « Superman Cash », « Impossible Mission », « Fat Boy », « Ron »), 54 ans, Israël — arrêté en Espagne le 5 août 2026 ; antécédent de condamnation pour fraude bancaire (SDNY, 2008) Guy Sheetrit, 42 ans, Israël / Émirats arabes unis — arrêté au Royaume-Uni le 7 septembre 2026 🎯 Mode opératoire Entre 2024 et 2026, les suspects et leurs co-conspirateurs ont mis en œuvre un schéma en plusieurs étapes : ...

🗓️ Contexte Publié le 6 novembre 2026 par Ransom-ISAC (ransom-isac.org), cet article constitue un rapport d’incident DFIR détaillant la compromission d’un contrôleur de réfrigération superviseur Copeland XWEB Pro version 1.9.0 dans un site commercial, survenue dans la nuit du 1er au 2 novembre 2026. L’analyse est basée sur le journal d’événements fourni par le contrôleur affecté. 🎯 Vecteur d’accès et contexte de vulnérabilité Le contrôleur était directement exposé sur internet via une adresse IP publique. L’accès a été obtenu grâce aux identifiants administrateur par défaut, sans exploitation de vulnérabilité technique. La version 1.9.0 est pourtant concernée par deux CVE critiques : ...

🌐 Contexte Ce communiqué conjoint a été publié par l’ENISA, la Commission européenne (DG CNECT), Europol (EC3), le réseau EU CSIRTs et EU-CyCLONe. Il fait état d’une vague d’incidents cybersécurité affectant des systèmes de réfrigération commerciaux dans plusieurs États membres de l’Union européenne, avec une première vague débutée le 11 octobre 2026 et une nouvelle vague survenue les 1er et 2 novembre 2026. 🎯 Nature des incidents Les cibles sont des systèmes de réfrigération commerciaux et dispositifs similaires Les incidents sont qualifiés de grande échelle et touchent plusieurs États membres de l’UE Aucun acteur malveillant spécifique n’est nommé dans le communiqué Aucune technique d’attaque précise n’est détaillée 🏛️ Réponse institutionnelle Les entités suivantes sont mobilisées : ...

🔍 Contexte Publié le 3 novembre 2026 par Etugen (etugen.io), cet article présente une analyse technique approfondie d’une opération d’exploitation de vulnérabilités zero-day sur Ivanti Connect Secure, attribuée avec confiance modérée à l’acteur UTA0576. L’analyse part d’un seul indicateur public (une IP déjà retirée) et remonte jusqu’à l’infrastructure active de l’opérateur. 🎯 Vulnérabilités exploitées La chaîne repose sur trois CVE enchaînées : CVE-2026-104935 : contournement d’authentification par spoofing (via l’en-tête X-DSCGI-PATH) CVE-2026-118527 : upload de fichier authentifié vers un chemin connu CVE-2026-111357 : élévation de privilèges locale authentifiée via dsinvoked Ces vulnérabilités permettent un accès root non authentifié sur les appliances Ivanti Connect Secure 22.8R2.4, actif depuis le 3 octobre 2026. Les deux dernières ont été ajoutées au KEV de la CISA le 30 octobre 2026. ...

🗓️ Contexte Source : SecurityWeek, publié le 2 novembre 2026 par Eduard Kovacs. L’article couvre un incident de supply chain ayant affecté la plateforme de marchés prédictifs Polymarket fin octobre 2026, impliquant le prestataire tiers DebugBear. 🔍 Déroulement de l’attaque Le 29 octobre 2026, Polymarket a suspendu les échanges sur sa plateforme internationale après que des utilisateurs ont signalé des retraits non autorisés. Les chercheurs de Hudson Rock ont établi que l’activité malveillante provenait d’un script JavaScript malveillant servi depuis une adresse DebugBear chargée par le site Polymarket. ...

🔍 Contexte Publié le 5 novembre 2026 par Kaspersky (Securelist), cet article présente une analyse technique détaillée d’une intrusion attribuée avec confiance modérée à Storm-2603, un acteur de menace suivi par Microsoft. L’incident a été identifié rétrospectivement en décembre 2025 lors d’une analyse d’un client Kaspersky. 🎯 Vecteur d’accès initial L’attaque a exploité CVE-2025-53770 et CVE-2025-53771 (vulnérabilités dites « ToolShell ») affectant Microsoft SharePoint on-premises, permettant une exécution de code à distance via des requêtes HTTP forgées ciblant le composant ToolPane. ...

🔍 Contexte Source : huntback Research, publiée le 31 octobre 2026. Deux serveurs VPS européens (IONOS Espagne et Hetzner Allemagne) ont exposé leurs répertoires de travail en HTTP plain sur des ports non standard, révélant 1 304 fichiers et 193 Mo de données opérationnelles d’un même opérateur. 🛠️ Outil utilisé : pentestcode pentestcode est un agent de pentest autonome open-source (MIT), fork d’OpenCode, installé via un one-liner curl. Il orchestre un agent principal et jusqu’à 8 sous-agents spécialisés (recon, scanner, exploiter, webapp, exploit-dev, critic, reporter, etc.) selon l’architecture HPTSA. Le modèle utilisé est deepseek/deepseek-flash dans 29 des 31 runs. En deux jours de logs conservés : 63 sessions, 2 866 appels modèle, 16 616 étapes évaluées. ...