Posts

🔍 Contexte Publié le 5 juin 2026 par l’équipe Howler Cell de Cyderes, cet article constitue une analyse technique approfondie d’une campagne active de supply chain compromise. Il fait suite à un premier rapport sur CPUID HWMonitor et étend la portée à 11 packages trojanisés au total. 🎯 Description de la campagne Un acteur opérant sous l’alias Leda Elacoate (email : pufferfish11@firemail[.]cc) a maintenu un dépôt Bitbucket (amos-trading/dist-internal) hébergeant des installateurs légitimes repackagés avec une CRYPTBASE.dll malveillante. La technique exploite la CWE-427 (Uncontrolled Search Path Element) : Windows cherche CRYPTBASE.dll dans le dossier applicatif avant System32, permettant le chargement du DLL malveillant. ...

🏛️ Contexte Le 2 juin 2026, la CISA, le FBI, la NSA, le DOE, l’EPA, la TSA, le DOT et l’USDA ont publié conjointement une fiche d’information (TLP:CLEAR) alertant sur des activités malveillantes ciblant les systèmes de jauges automatiques de réservoirs (ATG) basés aux États-Unis. L’activité n’a pas encore été attribuée à un État ou à un groupe d’acteurs spécifique. 🎯 Cibles et contexte opérationnel Les systèmes ATG sont utilisés dans les secteurs de l’énergie, de la chimie, de l’alimentation/agriculture et des transports pour la surveillance automatisée et à distance des paramètres de stockage (niveaux de carburant, température, détection de fuites). Les acteurs malveillants ciblent spécifiquement les systèmes exposés directement sur internet. ...

📰 Source : The Record (therecord.media) — Date : 4 juin 2026 Le directeur par intérim de la CISA, Nick Andersen, a annoncé lors de la conférence TechNet Cyber à Baltimore la publication imminente d’une directive opérationnelle contraignante (Binding Operational Directive) à destination des agences fédérales américaines, en lien avec le décret présidentiel sur l’intelligence artificielle signé la veille. 🎯 Contenu de la directive La directive portera notamment sur : La gestion et l’atténuation des vulnérabilités (vulnerability alleviation and vulnerability management) Le déploiement d’un accès spécifique à l’IA pour les partenaires de la CISA dans les prochains jours La mise en place d’un cyber clearinghouse pour tester et évaluer les modèles d’IA 📋 Décret présidentiel sur l’IA ...

🗓️ Contexte Source : nau.ch, publiée le 3 juin 2026. L’article rapporte une cyberattaque ayant touché une joint-venture de Metall Zug, groupe industriel suisse coté. 🎯 Nature de l’incident L’attaque a ciblé Belimed Infection Control, entité spécialisée dans le contrôle des infections. Des données ont été copiées depuis des zones délimitées (abgegrenzte Bereiche) des systèmes IT de Belimed Infection Control. La société sœur Steelco Belimed (basée à Zoug) est également mentionnée dans le contexte de l’incident. ...

🗓️ Contexte Source : BleepingComputer, publié le 1er juin 2026. L’incident a été détecté le 31 mai 2026 à 15h19 UTC et marqué comme résolu à 22h30 UTC le même jour. 🔍 Nature de l’incident Des attaques par force brute menées par un tiers externe ont ciblé des comptes utilisateurs du gestionnaire de mots de passe Dashlane. Ces attaques consistaient à tenter de multiples combinaisons de mots de passe depuis des localisations géographiques distantes et des appareils inconnus, dans le but de prendre le contrôle des comptes. ...

🏥 Contexte Source : HaveIBeenPwned (https://haveibeenpwned.com/Breach/DentaQuest), publié le 3 juin 2026. DentaQuest est un administrateur de prestations dentaires opérant aux États-Unis, notamment dans le cadre du programme Medicaid. ⚔️ Nature de l’attaque En mai 2026, le groupe cybercriminel ShinyHunters a mené une campagne d’extorsion de type “pay or leak” contre DentaQuest. Face au refus ou à l’absence de paiement, le groupe a publiquement divulgué des centaines de gigaoctets de données prétendument extraites des systèmes de l’entreprise. ...

🗓️ Contexte Source : Cyber Press (cyberpress.org), publié le 5 juin 2026. L’article s’appuie sur des recherches publiées par G DATA Software. Il documente la découverte de plusieurs extensions Chrome malveillantes ciblant les utilisateurs de plateformes d’IA générative. 🎯 Contexte de la menace En mars 2026, l’écosystème des extensions Chrome liées à l’IA comptait environ 115 millions d’utilisateurs. Des acteurs malveillants exploitent la confiance accordée aux outils de productivité IA pour déguiser des stealers en extensions légitimes. Les données ciblées incluent des conversations confidentielles, du code source propriétaire et des informations médicales personnelles. ...

📰 Contexte Publié le 1er juin 2026 par BleepingComputer, cet article rapporte l’alerte émise par le Centre pour la Cybersécurité Belgique (CCB) concernant l’exploitation active dans la nature d’une vulnérabilité critique récemment corrigée dans Windows Netlogon. 🔍 Vulnérabilité CVE-2026-41089 CVE-2026-41089 est un stack-based buffer overflow dans le service Windows Netlogon (interface RPC utilisée pour l’authentification sur les réseaux de domaine Windows). Elle permet à un attaquant non authentifié d’obtenir une exécution de code à distance (RCE) sur des contrôleurs de domaine ciblés. ...

🗓️ Contexte Publié le 2 juin 2026 sur le blog Calif (blog.calif.io), cet article présente la divulgation publique d’un exploit de déni de service distant baptisé HTTP/2 Bomb, découvert par l’IA Codex de OpenAI. La découverte a été réalisée par Quang Luong, avec confirmation par Jun Rong et Duc Phan. 🎯 Nature de l’attaque L’exploit chaîne deux techniques connues depuis une décennie : HPACK Indexed Reference Bomb : insertion d’un header dans la table dynamique HPACK (RFC 7541), puis émission de milliers de références indexées d’un seul octet. Chaque octet sur le réseau provoque une allocation mémoire côté serveur allant de ~70 octets (nginx, IIS, Pingora) à ~4 000 octets (Apache httpd, Envoy). HTTP/2 Window Stall : annonce d’une fenêtre de contrôle de flux à zéro octet, empêchant le serveur de libérer la mémoire allouée, avec envoi de trames WINDOW_UPDATE d’un octet pour maintenir la connexion ouverte indéfiniment. La nouveauté réside dans la source de l’amplification : contrairement aux bombes classiques qui stockent une grande valeur, ici le header est quasi vide et l’amplification provient du bookkeeping par entrée alloué par le serveur, contournant les limites de taille de header décodé. ...

🗓️ Contexte Publié le 3 juin 2026 sur BleepingComputer, cet article présente une nouvelle technique d’attaque par déni de service (DoS) nommée HTTP/2 Bomb, découverte par l’agent logiciel Codex d’OpenAI sous la direction de chercheurs de la société de sécurité offensive Calif. 🔍 Mécanisme de l’attaque L’attaque combine deux méthodes DoS HTTP/2 préexistantes : Amplification HPACK : un en-tête est inséré dans la table dynamique HPACK et référencé répétitivement via une représentation indexée compacte d’un seul octet. Un octet envoyé par l’attaquant peut provoquer des milliers d’octets d’allocation mémoire côté serveur (ratio jusqu’à 5 700:1 pour Envoy, 4 000:1 pour Apache httpd). Blocage de libération mémoire via flow-control HTTP/2 (style Slowloris) : en annonçant une fenêtre de contrôle de flux à zéro octet, le serveur ne peut jamais finaliser la réponse et continue d’envoyer des trames WINDOW_UPDATE pour éviter les timeouts. La mémoire allouée n’est jamais libérée. Cette combinaison permet à une seule machine sur une connexion 100 Mbps d’épuiser des dizaines de gigaoctets de RAM en quelques secondes. ...