Posts

🔍 Contexte Publié le 27 octobre 2026 par Adam Crosser et Michael Weber de Praetorian, cet article constitue une analyse technique de première main sur les vulnérabilités php2shell (CVE-2026-109618 et CVE-2026-109619), deux RCE pré-authentification dans le cœur PHP découvertes par le chercheur Calif et divulguées le 20 octobre 2026 avant la divulgation coordonnée prévue. 🎯 Nature des vulnérabilités Les deux CVE constituent des vulnérabilités d’exécution de code à distance sans authentification : ...

🔍 Contexte : Le 29 octobre 2026, Hudson Rock (via infostealers.com) publie une investigation technique sur une compromission de la plateforme de prédiction crypto Polymarket, impliquant un script JavaScript malveillant distribué via l’infrastructure CDN de DebugBear, un outil légitime de monitoring de performance. ⚠️ Nature de l’attaque : Le fichier cdn.debugbear[.]com/C7xcKKrjUnXK.js (15 187 octets, SHA-256 : 0755e767504d8103f6c27b9e765a1026507a17c04513242adb503df7777879e5) récupéré à 18:12:06 UTC contenait une logique de vol d’actifs crypto spécifiquement ciblant Polymarket : ...

🌐 Contexte ESET Research a publié le 31 octobre 2026 son rapport semestriel sur l’activité des groupes APT entre avril et septembre 2026. Ce rapport couvre les opérations de groupes alignés avec la Chine, l’Iran, la Corée du Nord, la Russie et la Biélorussie, basé sur la télémétrie propriétaire d’ESET. 🇨🇳 Groupes alignés Chine FamousSparrow maintient sa surveillance en Amérique du Sud SlippyNunchucks cible des individus sinophones au Sri Lanka via le détournement des mises à jour de QuickFox pour déployer le toolset DarkVigil (aka FDMTP) Un acteur non identifié cible un hôtel à Palau dans le cadre présumé d’efforts anti-fraude des autorités chinoises, via AdaptixC2 et un backdoor nommé FoetidBracket Flax Typhoon compromet une entreprise chimique taïwanaise via une application publique obsolète, en utilisant SoftEther VPN Ciblage de l’industrie des semi-conducteurs taïwanaise, avec chevauchement avec le groupe UNK_FistBump (Proofpoint) via une chaîne Cobalt Strike 🇮🇷 Groupes alignés Iran/Moyen-Orient FilthyFeline (sous-groupe d’OilRig) et MuddyWater reprennent leurs opérations après une période de silence liée aux restrictions internet iraniennes Ciblage principal : entités israéliennes dans de multiples secteurs, quelques entreprises américaines FilthyFeline reprend le ciblage d’un opérateur de données cellulaires en Ouzbékistan précédemment compromis par BladedFeline MuddyWater exploite un prestataire IT israélien pour envoyer des spearphishings avec ScreenConnect Arid Viper (affilié Hamas) réapparaît avec une nouvelle version de Arid Gopher ciblant le Ministère des Affaires étrangères de l’Autorité palestinienne BladedFeline déploie un nouveau backdoor nommé SharpShareIT TortoiseShell met à jour son IMAPLoader avec des techniques d’évasion supplémentaires 🇰🇵 Groupes alignés Corée du Nord Lazarus relance l’Opération DreamJob contre le secteur des drones/UAS, ciblant des entreprises de défense en Europe centrale via un SumatraPDF trojanisé et des plugins Notepad++ malveillants (MortPusLoader), déployant ScoringMathTea RAT et LightlessTeaR ScarCruft distribue une version trojanisée de Zangi Messenger contenant BirdCall (Android), et un installateur BlueStacks trojanisé menant à RokRAT ScarCruft déploie le ver BlankOverride (via supports amovibles, charge utile BLUELIGHT) contre des infrastructures portuaires en Afrique ScarCruft déploie CinderRelay, un backdoor Linux serveur utilisé comme nœud de réseau covert DeceptiveDevelopment remonte la chaîne d’approvisionnement logicielle : vol de credentials Git/SSH, injection de code malveillant dans des dépôts publics/privés (npm, PyPI, Go, Packagist), utilisation de NullReceiver (résolution C2 via blockchain Ethereum), déploiement d’OmniStealer et DEV#POPPER RAT 🇷🇺 Groupes alignés Russie Gamaredon enregistre une baisse significative d’activité depuis mi-mai 2026, mais continue sa collaboration avec Turla : déploiement de Rezzuar (VBScript de reconnaissance) via PteroPSDoor, et mise à jour de PteroBox (ajout des extensions .cdr et .kmz) PhantomCaptcha (UAC-0244) cible des municipalités et établissements de santé ukrainiens avec des chaînes malveillantes LNK/HTA/JavaScript, déployant AGINGFLY (RAT C# WebSocket), SILENTLOOP, CHROMELEVATOR, ZAPiXDESK, et distribue le spyware Android PrincessSpy via de faux sites imitant ab3.army Exploitation active de la vulnérabilité CVE-2025-8088 (path traversal WinRAR dans ClamAV) dans les serveurs MDaemon en Ukraine, déployant les backdoors HELLAGE et HELLTAG (Telegram-based) 🇧🇾 Groupes alignés Biélorussie FrostyNeighbor (UNC1151/PUSHCHA/Storm-0257/TA445) conduit la première cyberattaque destructrice documentée d’un acteur biélorusse en Europe : déploiement d’un wiper VBScript via Group Policy contre une entreprise manufacturière ukrainienne du secteur des transports, après utilisation de Chisel, UltraVNC et Cobalt Strike Convergence croissante des opérations biélorusses avec les priorités russes en Ukraine 🤖 Usage de l’IA par les APT Utilisation de LLMs pour accélérer le développement de malwares, créer des sites leurres et analyser de grands volumes de données UAC-0099 insère une demande de fabrication d’arme nucléaire dans un commentaire de script pour tenter de déclencher les garde-fous des outils de sécurité basés sur LLM Leurres de phishing avec images générées par IA détectées 📋 Type d’article Rapport semestriel de threat intelligence publié par ESET Research, destiné à fournir une vue d’ensemble structurée de l’activité APT mondiale pour les équipes de sécurité et les décideurs. ...

📅 Source et contexte : Le Department for Transport (DfT) du Royaume-Uni a publié le 29 octobre 2026 une consultation ouverte portant sur la cybersécurité des bornes de recharge publiques pour véhicules électriques (VE), dans le cadre du développement du réseau national de recharge. 🎯 Objet de la consultation : Le DfT propose d’introduire un socle réglementaire de cybersécurité pour les bornes de recharge VE publiques vendues ou installées en Grande-Bretagne. Cette initiative fait suite au constat qu’il n’existe actuellement aucune exigence spécifique de cybersécurité pour ces équipements, contrairement aux bornes domestiques déjà soumises aux Electric Vehicles (Smart Charge Points) Regulations 2021. ...

📅 Source : Foresiet Knowledge Hub — publié le 21 octobre 2026 🔍 Contexte général Foresiet publie une analyse de profil de menace sur ScarlettGroup, un acteur d’extorsion de données récemment observé, dont l’émergence est datée de septembre–octobre 2026. Le groupe n’est pas classifié comme opérateur de ransomware à chiffrement, mais comme acteur de data-extortion basé sur la divulgation publique de données volées présumées. 🌐 Infrastructure et présence publique ScarlettGroup opère un site de fuite basé sur Tor structuré autour de listings de victimes présumées, incluant : ...

🔍 Contexte Publié le 29 octobre 2026 par Socket (socket.dev), cet article de recherche en threat intelligence documente une campagne de détournement de moteur de recherche (searchjacking) via des extensions de navigateur Chrome, active depuis une décennie. 📊 Ampleur de la campagne 319 extensions Chrome identifiées, installées par ~13,4 millions d’utilisateurs Campagne active depuis 2016, avec des vagues successives jusqu’en 2026 264 nouvelles extensions identifiées dans cette investigation (8,7 millions d’utilisateurs supplémentaires) Si regroupées, ces extensions constitueraient l’une des 25 extensions Chrome les plus populaires ⚙️ Mécanisme technique Les extensions exploitent le champ chrome_settings_overrides du fichier manifest pour remplacer le moteur de recherche par défaut sans nécessiter de permissions supplémentaires ni de code exécutable. Le flux de redirection est le suivant : ...

🔍 Contexte Publié le 29 octobre 2026 sur smsofdeath.com par le chercheur Mark B (alias @sourone), cet article constitue une divulgation publique complète d’une vulnérabilité zero-click affectant le framework téléphonie d’Android. La vulnérabilité a été signalée à Google le 5 mai 2026 et corrigée dans la mise à jour de sécurité Android d’octobre 2026. 🐛 Vulnérabilité technique Le composant WapPushOverSms.java (frameworks/opt/telephony) contient un cast non borné d’une valeur long vers int lors du décodage de l’en-tête WSP d’un message WAP Push : ...

🗓️ Contexte Selon un rapport WIRED du 29 octobre 2026, relayé par CDO Magazine, un contractant travaillant pour Accenture a connecté un agent IA personnel Claude Code à un environnement de production sécurisé du Département de la Défense américain (DoD) sans autorisation appropriée. 🔍 Détails de l’incident L’agent IA a opéré sur le NIPRNet (Non-classified Internet Protocol Router Network), un réseau DoD dédié aux informations non classifiées mais contenant des informations contrôlées non classifiées (CUI). Ce système centralisé est utilisé par plusieurs agences de renseignement. ...

🌐 Contexte CrowdStrike OverWatch a publié le 29 octobre 2026 une analyse détaillée d’une campagne d’espionnage conduite par VAPOR PANDA, un acteur étatique lié à la Chine. La campagne, débutée le 17 octobre 2026, a ciblé plus de 200 organisations distinctes dans au moins 14 pays sur une fenêtre de 11 jours. 🎯 Ciblage Les secteurs et entités visés incluent : Ministères des affaires étrangères en Amérique latine, Europe, Asie et Moyen-Orient Secteurs semiconducteurs, défense et think tanks aux États-Unis Opérateurs télécoms aux États-Unis, en Belgique et aux Philippines Secteurs pharmaceutique, nucléaire et financier aux États-Unis Un ministère de l’intérieur au Moyen-Orient Des entités gouvernementales grecques (ministère des affaires étrangères, présidence, premier ministre, défense, justice, finance, renseignement) 🤖 Mécanisme d’attaque : ARTEX + DeepSeek ARTEX est un framework agentique coordonnant un agent principal avec des agents planificateurs et exécutants via un graphe partagé de faits et objectifs. VAPOR PANDA l’a utilisé principalement avec le LLM DeepSeek (d’origine chinoise) et un second LLM commercial non identifié. Un seul engagement a consommé environ 1,4 milliard de tokens en entrée. ...

📰 Source : BleepingComputer — Article publié le 31 octobre 2026 par Lawrence Abrams. 🔍 Contexte général Northflank, une plateforme cloud permettant aux développeurs de déployer et gérer des applications, conteneurs, bases de données et applications IA, a divulgué le 30 octobre 2026 un incident de sécurité après avoir reçu une alerte de la société de sécurité cloud Wiz à 11h43 UTC. ⚠️ Nature de l’incident Des attaquants ont accédé aux systèmes de Northflank et ont déchiffré les variables d’environnement des clients, qui contenaient des informations sensibles telles que des mots de passe de bases de données, des tokens d’authentification et des clés API de services d’IA. Plusieurs clients ont signalé une utilisation non autorisée de leurs clés API d’IA stockées sur la plateforme. ...