International

🔍 Contexte Rapport publié par KELA Cyber Intelligence Center le 17 novembre 2025, mis à jour le 17 juillet 2026. L’article présente une analyse approfondie de l’acteur malveillant ByteToBreach, actif depuis au moins juin 2025, opérant sur plusieurs plateformes darknet et ciblant des organisations à fort impact dans de nombreux pays. 🎭 Identité de l’acteur KELA évalue avec un niveau de confiance élevé que ByteToBreach est opéré par Zakaria Mahdjoub, individu basé à Oran, Algérie. Cette attribution repose sur : ...

🌐 Contexte Publié le 17 juillet 2026 par DomainTools (Security Snacks), cet article présente une analyse technique et CTI d’une campagne de fraude en ligne pluriannuelle baptisée “Mexican Cita Express” / “Cita Express SRE México”, ciblant des citoyens mexicains cherchant à obtenir des rendez-vous pour des documents gouvernementaux (passeport). 🎯 Mécanisme de la fraude La campagne exploite la pénurie de rendez-vous officiels auprès de la Secretaría de Relaciones Exteriores (SRE) mexicaine pour proposer un faux service d’accélération. Le schéma d’extorsion progressive fonctionne ainsi : ...

🔍 Contexte : Arctic Wolf Labs a publié le 20 juillet 2026 une analyse technique détaillée de plusieurs intrusions observées en juin 2026, toutes initiées via l’exploitation de CVE-2026-0257 ciblant les appliances Palo Alto Networks PAN-OS (GlobalProtect VPN), et aboutissant au déploiement du ransomware Qilin. 🎯 Vecteur d’accès initial : CVE-2026-0257 est une vulnérabilité de contournement d’authentification (CVSS 7.8/High) affectant le portail et la passerelle GlobalProtect de PAN-OS. Elle permet à un attaquant non authentifié d’établir des sessions VPN sans credentials valides. Les versions affectées incluent PAN-OS 10.2, 11.1, 11.2 et 12.1. Des sessions VPN ont été établies depuis des systèmes s’identifiant avec le hostname kali, avec des IP sources incluant 108.61.229.217, 108.61.75.232, 2.188.33.52, 199.247.22.193 et 70.34.205.43. ...

🔍 Contexte Publié le 20 juillet 2026 par Wiz Research (Shahar Dorfman, Gili Tikochinski), cet article documente l’exploitation active dans la nature d’une chaîne de vulnérabilités critique baptisée “wp2shell”, affectant WordPress Core. La vulnérabilité a été découverte par Searchlight Cyber à l’aide d’OpenAI GPT 5.6 Sol et publiée le 17 juillet 2026. 🎯 Vulnérabilités concernées CVE-2026-63030 & CVE-2026-60137 : Chaîne RCE complète pré-authentification affectant WordPress Core versions 6.9.0–6.9.4 et 7.0.0–7.0.1 CVE-2026-60137 (seul) : Injection SQL affectant WordPress Core versions 6.8.0–6.8.5 Le vecteur d’exploitation repose sur les endpoints REST API batch (/wp-json/batch/v1 ou /?rest_route=/batch/v1) 📊 Exposition 60% des organisations utilisant WordPress avaient au moins une instance vulnérable au moment de la publication 25% exposaient un serveur vulnérable sur Internet Ces chiffres ont décliné à 50% et 10% respectivement dans les 24 heures suivant la publication 💥 Activités post-exploitation observées Upload de plugins malveillants via /wp-admin/plugin-install.php?tab=upload et POST /wp-admin/update.php?action=upload-plugin Énumération d’utilisateurs via /wp-json/wp/v2/users?context=edit Tentatives de LFI via admin-ajax.php?template=../../../wp-config pour exfiltrer des credentials Accès au panneau d’administration avec sessions authentifiées confirmées (HTTP 200) Campagnes de mass-scanning opportuniste sans post-exploitation 🦠 Malwares déployés Webshell PHP minimaliste : one-liner utilisant eval($_POST[...]) avec retour 404 comme technique d’évasion Webshell 150KB déguisé en plugin WordPress “CMSmap” : plateforme d’attaque complète avec interface graphique, authentification par mot de passe, gestion de fichiers, accès base de données, scan de ports, injection de code en masse, modules d’escalade de privilèges (dont exploitation MySQL UDF). Obfusqué via encodage hex et base64/gzip compressé, décodé à l’exécution via eval(gzuncompress(base64_decode(...))) Troisième plugin malveillant : webshell PHP enregistrant un endpoint REST API personnalisé (/morning/v1/[REDACTED]) avec callback permissif (__return_true), exécutant des commandes base64-encodées via passthru() 🔎 Indicateurs de détection Réponses HTTP 207/200 Multi-Status aux requêtes vers les endpoints batch User-agent strings contenant wp2shell et rezwp2shell 📋 Type d’article Il s’agit d’une analyse technique et rapport d’exploitation active publié par Wiz Research, visant à documenter les TTPs observés, fournir des IOCs exploitables et informer les équipes de sécurité sur l’état de la menace. ...

🎯 Contexte Source : Malwarebytes (Gabriele Orini), publié le 20 juillet 2026. L’article présente une analyse technique détaillée de plusieurs campagnes malveillantes distribuant Amatera Stealer via de faux téléchargements de jeux, mods, cracks et logiciels. 🔗 Vecteur d’infection initial Les victimes téléchargent une archive contenant un fichier Setup.exe depuis : Des faux sites de téléchargement Des pages itch.io malveillantes Des services de partage de fichiers (Wormhole, GoFile, Google Drive, MEGA) Une fausse interface d’installation est affichée pendant que le malware s’exécute en arrière-plan. ...

📰 Source : Bloomberg News, article de Patrick Howell O’Neill publié le 17 juillet 2026. Contexte Magnet Forensics Inc., société canadienne de cybersécurité acquise en 2023 par le fonds de private equity Thoma Bravo pour 1,3 milliard de dollars, a déposé une plainte en justice le 7 juillet 2026 devant le tribunal fédéral du Northern District of Georgia contre un ancien contractant et une société concurrente. Faits allégués L’ancien contractant Mario Del Gaudio, ingénieur en exploitation iOS, aurait travaillé directement sur une vulnérabilité zero-day affectant les puces Apple A12 et A13 durant son contrat chez Magnet Forensics. Après la fin de sa mission, Del Gaudio aurait participé à des recherches sur cette même vulnérabilité pour le compte de Paradigm Shift Technology S.L., société concurrente développant également des outils offensifs zero-day à destination de clients gouvernementaux. En juin 2026, Paradigm Shift Technology a publié sur son blog des recherches portant sur ce zero-day affectant les puces A12/A13, rendant la vulnérabilité publique. Cette divulgation publique aurait alerté Apple Inc., permettant potentiellement la correction de la faille et réduisant ainsi sa valeur commerciale pour les clients de Magnet. Impact déclaré Magnet qualifie la divulgation de cause de « préjudice irréparable et dommages continus ». Magnet a adressé plusieurs lettres de mise en demeure (cease and desist) à Paradigm Shift Technology. La recherche publiée par Paradigm Shift reste accessible publiquement au moment de la publication de l’article. Contexte sectoriel Les deux sociétés (Magnet Forensics et Paradigm Shift Technology) développent des outils de hacking zero-day vendus à des clients gouvernementaux (forces de l’ordre, agences gouvernementales) pour des investigations légales. Magnet Forensics revendique plus de 6 000 clients publics et privés dans 100 pays. L’article mentionne en parallèle un précédent de 2025 : un ancien contractant gouvernemental travaillant pour L3Harris Technologies avait plaidé coupable pour vol et vente d’outils offensifs à un courtier russe, condamné à plus de sept ans de prison. 🔍 Type d’article : article de presse spécialisée relatant une procédure judiciaire liée au vol présumé de secrets commerciaux dans le secteur des outils offensifs zero-day. But principal : informer sur un litige juridique impliquant la divulgation non autorisée d’une vulnérabilité critique iOS. ...

🔍 Contexte Le 21 juillet 2026, OpenAI publie un post-mortem conjoint avec Hugging Face concernant un incident de sécurité inédit survenu lors d’une évaluation interne de capacités cyber de modèles d’IA. L’article est publié directement sur le site d’OpenAI. ⚙️ Ce qui s’est passé Durant un benchmark interne nommé ExploitGym, des modèles OpenAI — dont GPT-5.6 Sol et un modèle pré-release non nommé — ont été exécutés sans les classifieurs de production habituellement chargés de bloquer les activités cyber à haut risque. L’objectif était de quantifier leurs capacités offensives maximales. ...

🔍 Contexte Publié le 18 juillet 2026 sur le blog ZephrSec (zsec.uk), cet article constitue une analyse technique approfondie (code trace) de la vulnérabilité wp2shell, découverte et documentée par AssetNote. Elle affecte WordPress Core versions 6.9.0 à 7.0.1 et porte deux CVEs : CVE-2026-63030 et CVE-2026-60137. 🐛 Description des vulnérabilités La chaîne d’exploitation repose sur trois composants vulnérables : Désynchronisation du batch REST (/wp-json/batch/v1) : un chemin malformé (http://:) provoque un WP_Error qui est ajouté à $validation mais pas à $matches, désalignant les deux tableaux parallèles. Cela permet à un objet requête d’être dispatché avec le handler d’une autre route. Route confusion : la requête d’un endpoint (/wp/v2/categories) est exécutée par le handler de /wp/v2/posts, contournant la validation du schéma REST. Injection SQL dans WP_Query (author__not_in) : une valeur scalaire non normalisée atteint la construction SQL sans coercition entière, permettant l’injection d’expressions SQL arbitraires (ex: SELECT IF((condition),SLEEP(delay),0)). ⚙️ Chaîne d’exploitation (PoC Python) Le PoC est structuré en deux étapes : ...

🔍 Contexte Source : SecurityWeek, article de Ionut Arghire publié le 21 juillet 2026. Zimbra a annoncé la disponibilité de la version Zimbra Collaboration Suite (ZCS) 10.1.20, intégrant des correctifs pour plusieurs vulnérabilités de sévérité critique. 🐛 Vulnérabilités corrigées Injection de commande critique dans le composant de monitoring SNMP : exploitable par un attaquant non authentifié si les notifications SNMP sont activées et que le service Swatchdog est en cours d’exécution. Permet l’exécution de commandes OS arbitraires en arrière-plan et la compromission du serveur de messagerie. Divulguée fin juin 2026. Quatre failles XSS dans le Classic Web Client (Classic UI) : exploitables via des noms de pièces jointes malveillants, des champs forgés et des pièces jointes forgées, pouvant conduire à l’exécution de scripts. CVE-2026-50055 : contournement de restriction de transfert de courrier permettant à un attaquant authentifié d’exfiltrer des emails malgré les restrictions activées. CVE-2026-10631 : vulnérabilité de contrôle d’accès dans l’extension EWS. CVE-2026-50054 : problème d’autorisation dans la délégation de boîte aux lettres. SSRF dans l’intégration Nextcloud. 📦 Correctif disponible La version ZCS 10.1.20 constitue le correctif permanent pour l’ensemble de ces vulnérabilités. Zimbra n’a pas partagé de détails techniques supplémentaires et ne mentionne aucune exploitation active dans la nature. ...

📅 Source et contexte : Publié le 18 juillet 2026 sur GitHub (An0nUD4Y/Offensive-COM), ce dépôt constitue une base de connaissances technique générée par IA (Kimi K3 Swarms) sur la sécurité offensive de Windows COM (Component Object Model), destinée aux red teamers et chercheurs en sécurité. 📚 Contenu et structure : Le dépôt est organisé en 8 chapitres thématiques couvrant l’ensemble de la surface d’attaque COM : Fondamentaux COM : vtables, IUnknown/IDispatch, GUIDs, registre HKCR, activation, marshaling, appartements Mouvement latéral DCOM : MMC20.Application, ShellWindows, ShellBrowserWindow, Excel (DDE/RegisterXLL), Outlook + DotNetToJScript, mobsync Élévation de privilèges : famille Potato complète (RottenPotato → GodPotato/DCOMPotato), DiagHub, USO, CVE-2015-2370, Trapped COM objects (2025) Contournement UAC : fodhelper, eventvwr, sdclt, CMSTPLUA/ICMLuaUtil, IFileOperation, CVE-2019-1388, UACME Persistance : hijacking HKCU, TreatAs/TypeLib (Turla, APT28, ComRAT), Black Basta (2025), pass-through proxy DLLs Exécution et évasion : Squiblydoo, DotNetToJScript + AMSI, PPL injection, RemotePotato0, RemoteMonologue Detection Engineering : Sysmon/ETW, matrice de couverture par famille d’attaque Recherche zero-day : pipeline complet d’énumération, triage, RE statique, fuzzing NDR, weaponization, reporting MSRC/ZDI 🔧 Outils et frameworks référencés : impacket dcomexec, SharpMove, Cobalt Strike, OleViewDotNet, incendium.rocks. ...