Posts

📰 Source : The Record (Recorded Future News) — Date : 24 juillet 2026 — Auteur : Joe Warminsky L’article s’appuie sur un rapport de la société de sécurité blockchain CertiK portant sur les attaques « wrench » (attaques physiques par coercition) visant les détenteurs de cryptomonnaies au premier semestre 2026. 📊 Chiffres clés : 52 attaques recensées dans le monde entre janvier et juin 2026, contre 39 sur la même période en 2025, soit une hausse de 33 % en glissement annuel 124 millions de dollars de pertes déclarées au premier semestre 2026, contre 10,5 millions sur la même période en 2025 CertiK précise que ces chiffres sous-estiment probablement la réalité (non-signalement, enquêtes en cours) 🔍 Définition et méthodes : CertiK définit les attaques wrench comme des incidents de coercition physique visant à contraindre une victime à transférer des actifs numériques, révéler des clés privées, déverrouiller un portefeuille ou divulguer des identifiants. Les catégories d’actes recensés incluent : ...

🔍 Contexte Publié le 20 juillet 2026 par VMRay Labs (source : vmray.com), ce rapport présente l’analyse complète d’une campagne cybercriminelle russophone jusqu’alors non attribuée, baptisée Operation STANDOFF. La découverte initiale provient d’un signal comportemental issu de la plateforme UniqueSignal de VMRay, à partir d’un échantillon analysé le 13 mai 2026. 🎯 Vecteur initial et chaîne d’infection L’échantillon initial, setup_x86_x64_install.exe (MD5 : e77221d7a4b47b9107ba1b61a551ca89), est un installeur NSIS de 16,65 Mo fonctionnant comme un loader Pay-Per-Install (PPI). Il dépose entre 40 et 50 exécutables dans %LOCALAPPDATA%\Temp\7zSCB82E89C\ sous des noms aléatoires MONXXXXXXXX.exe et installe simultanément plusieurs familles de malwares : ...

📄 Source : Proofpoint | Date : 21 juillet 2026 | Type : Rapport annuel basé sur une enquête auprès de 953 professionnels de la sécurité dans 12 pays (mars-avril 2026) Contexte général Proofpoint publie son rapport AI-Era Ransomware Report 2026, fondé sur les réponses de 803 organisations ayant subi un incident ransomware au cours des 12 derniers mois. Le rapport identifie trois évolutions structurelles : les cibles humaines, la monétisation via l’extorsion, et l’inadéquation des défenses existantes. ...

🔍 Contexte Le 22 juillet 2026, Qualys Threat Research Unit (TRU) publie un advisory détaillé sur CVE-2026-64600, baptisé RefluXFS, une vulnérabilité de type race condition dans le chemin copy-on-write (CoW) du système de fichiers XFS du noyau Linux. La découverte a été réalisée dans le cadre d’une collaboration entre Qualys et Anthropic, en intégrant le modèle Claude Mythos Preview dans le workflow d’audit manuel. ⚙️ Mécanisme technique La vulnérabilité se déclenche lorsque deux écritures O_DIRECT concurrentes ciblent le même fichier reflinké. XFS gère les écritures sur des blocs partagés via CoW : il alloue un nouveau bloc privé, remet en correspondance le fichier, puis décrémente le compteur de référence du bloc original. Pour éviter les deadlocks, le noyau relâche le verrou inode pendant l’attente d’espace dans le journal de transactions. Durant cette fenêtre, un second thread peut compléter son propre cycle CoW, remappant le fichier vers un nouveau bloc et faisant descendre le compteur de référence du bloc original à 1. ...

🔍 Contexte Publié le 9 juillet 2026 par Eurovision News Spotlight, cet article présente les résultats d’une investigation collaborative menée par des diffuseurs publics européens (ORF, RTVE, RFI, LRT, Swissinfo, BR24, France 24, Tagesschau, ZDFheute) portant sur 17,5 millions de commentaires collectés entre avril 2025 et mars 2026 sur Instagram et Facebook. 🎯 Réseaux identifiés Trois réseaux coordonnés distincts ont été identifiés autour du thème iranien : Réseau pro-Pahlavi / opposition iranienne : le plus volumineux, utilisant des hashtags partagés (#KingRezaPahlavi, #FreeIran, #IranRevolution2026, #DigitalBlackoutIran) et des textes quasi-identiques distribués via des canaux de messagerie. Un hashtag mal orthographié (#DigitalBlackoutlran avec un ’l’ minuscule à la place du ‘I’) a été retrouvé identiquement sur ORF, ZDFheute, France 24, LRT, Tagesschau et RTBF. Tagesschau a identifié une couche automatisée distincte au sein de ce réseau (posts publiés en quelques minutes contenant exactement ‘King Reza Pahlavi’). ...

🔍 Contexte Publié le 23 juillet 2026 par Oren Yomtov (Principal Security Researcher, Accomplish), cet article technique détaille une chaîne d’exploitation baptisée SharedRoot affectant Claude Cowork, l’environnement d’exécution d’agents IA d’Anthropic pour macOS. La vulnérabilité a été signalée à Anthropic, qui l’a classée « Informative ». 🧱 Architecture de l’environnement ciblé Claude Cowork exécute les agents dans une VM Linux via le framework Apple Virtualization, avec : Un utilisateur de session non privilégié par session Un filtre seccomp Un daemon root (coworkd) gérant les montages de dossiers Le système de fichiers hôte entier (/) monté en lecture-écriture dans la VM à /mnt/.virtiofs-root, accessible uniquement par root dans le guest ⛓️ Chaîne d’exploitation SharedRoot Obtention de capacités : L’utilisateur non privilégié appelle unshare pour créer un namespace utilisateur (feature kernel non désactivée), obtenant CAP_NET_ADMIN à l’intérieur Chargement du module vulnérable : Avec CAP_NET_ADMIN, configuration d’une action tc utilisant le module act_pedit, autoloadé par le kernel via netlink (autorisé par le filtre seccomp permissif) Primitive d’écriture : Exploitation de CVE-2026-46331 (« pedit COW », bug Ubuntu public de juin 2026) permettant d’empoisonner le cache de pages d’un binaire en lecture seule sans modifier les octets sur disque Escalade vers guest-root : coworkd (root, non durci) ré-exécute le binaire helper empoisonné ; comme le processus exécutant est déjà root, NoNewPrivs ne s’applique pas Évasion de la VM : Guest-root accède à /mnt/.virtiofs-root — l’intégralité du système de fichiers hôte macOS — en lecture/écriture, sans aucune invite de permission 🎯 Impact Accès en lecture/écriture à l’ensemble du système de fichiers macOS de l’utilisateur connecté Exfiltration possible de clés SSH, credentials cloud, et tout fichier accessible par le compte utilisateur Exploitation déclenchée par un simple message dans une session Cowork avec un dossier connecté 🔐 Quatre décisions de conception identifiées comme défaillances Namespaces utilisateur non privilégiés activés : apparmor_restrict_unprivileged_userns=1 aurait bloqué la première étape Filtre seccomp en liste noire permissive : Un filtre en liste blanche refusant unshare, setns, clone3 et AF_NETLINK aurait bloqué la chaîne Autoload de modules non nécessaires : L’utilisation de install act_pedit /bin/false (pattern déjà appliqué par Cowork pour un autre module) aurait empêché le chargement de act_pedit Montage du système de fichiers hôte entier : Scoper le montage aux seuls dossiers connectés aurait contenu l’impact même avec guest-root 📌 Statut et mitigation Anthropic a classé le rapport « Informative » (CVE dans la fenêtre de 30 jours du programme). Cowork utilise désormais l’exécution cloud par défaut, ce qui rend ce vecteur d’évasion local inapplicable dans cette configuration. ...

📊 Contexte Sophos publie la septième édition de son rapport annuel State of Ransomware, basé sur une enquête indépendante menée par Vanson Bourne au T1 2026 auprès de 2 158 responsables IT et cybersécurité dans 17 pays, dont les organisations avaient été victimes de ransomware dans les 12 mois précédents. 🎯 Vecteurs d’attaque principaux Le changement majeur de cette édition concerne les causes techniques des attaques : Emails malveillants : 26% (nouveau n°1) Phishing : 24% (nouveau n°2) Credentials compromis : 23% Vulnérabilités exploitées : 18% (en baisse de 14 points par rapport à 2025) 79% des attaques ont débuté par une approche basée sur l’identité (compromission ou abus de credentials). ...

🗓️ Contexte Article publié le 23 juillet 2026 par The Guardian. Il relate une affaire judiciaire en cours aux États-Unis impliquant l’utilisation de GrapheneOS, un système d’exploitation mobile open-source axé sur la vie privée, dans le cadre de poursuites fédérales contre un militant du mouvement anti-Cop City. 📋 Faits principaux Sam Tunick, résident d’Atlanta, a été intercepté le 24 janvier 2025 à l’aéroport Hartsfield-Jackson d’Atlanta à son retour de République Dominicaine. Les autorités fédérales l’avaient préalablement inscrit sur une liste de surveillance terroriste en raison de son association présumée avec le mouvement contre le centre d’entraînement policier « Cop City ». Trois heures avant son arrivée, un agent de la sécurité intérieure avait diffusé un email contenant son nom et sa photo, mentionnant une enquête pour « activités terroristes suspectées », transmis à la CBP et au FBI. Lors de l’interrogatoire, les agents ont demandé à plusieurs reprises à Tunick de déverrouiller son téléphone, menaçant de le saisir en cas de refus. Lorsqu’il a finalement fourni le code d’accès, l’écran est devenu noir, a clignoté plusieurs fois et le téléphone a semblé redémarrer — comportement caractéristique de la fonction d’effacement de GrapheneOS. Tunick a demandé à parler à un avocat quatre fois sans succès. Aucun mandat n’a été présenté et ses droits ne lui ont pas été lus. ⚖️ Enjeux juridiques Le DOJ invoque un statut fédéral peu connu criminalisant la destruction de biens pour empêcher leur saisie. La défense a déposé une motion pour suppression des preuves, arguant de violations des droits constitutionnels. La décision du juge est attendue au plus tôt fin octobre 2026. L’interrogatoire centré sur des images pédopornographiques est qualifié de prétexte par la défense pour investiguer les liens de Tunick avec le mouvement anti-Cop City. 🌍 Dimension internationale En Catalogne (Espagne), la police profile les utilisateurs de Google Pixel en supposant qu’ils ont GrapheneOS installé, les assimilant à des trafiquants de drogue ou membres de gangs. En France et en Espagne, des autorités ont été confrontées à des difficultés pour accéder aux téléphones de journalistes, avocats et opposants politiques utilisant GrapheneOS. 🔍 Réactions d’experts Christophe Boutry (expert cybersécurité et surveillance, France) : l’affaire « envoie le message que GrapheneOS est criminel par défaut ». Bill Buddington (Electronic Frontier Foundation) : aucun précédent similaire connu. 📌 Nature de l’article Article de presse généraliste à forte dimension CTI et cyberlégislation, documentant la première utilisation connue d’un statut fédéral américain contre l’usage d’un OS mobile privacy-focused, avec des implications pour la criminalisation des outils de protection de la vie privée. ...

🔍 Contexte Le CERT-UA a publié le 21 juillet 2026 une analyse technique détaillant une évolution significative des tactiques du cluster de cybermenaces UAC-0099, observée depuis mi-été 2026. 🎯 Vecteur d’infection La chaîne d’infection débute par un email de phishing contenant une image cliquable redirigeant via un service de raccourcissement d’URL vers un fichier ZIP malveillant (ex : Додатки до розпорядження.zip). L’archive contient un script VBS à double extension (ex : Заводський район.pdf .vbs) avec des espaces intentionnels pour masquer l’extension réelle. Ce script : ...

🏛️ Contexte Le 22 juillet 2026, la CISA, le FBI, la NSA, l’EPA, le DOE, le CNMF et le Département du Trésor ont publié une mise à jour de l’advisory AA26-097A (initialement publié le 7 avril 2026) concernant l’exploitation active de PLCs (automates programmables industriels) exposés sur internet par des acteurs APT affiliés à l’Iran. 🎯 Acteurs et ciblage Les agences attribuent cette activité à un groupe APT affilié à l’Iran, lié à l’IRGC Cyber Electronic Command (CEC). Ce groupe est rapproché des CyberAv3ngers (alias Shahid Kaveh Group, Hydro Kitten, Storm-0784, Bauxite, UNC5691, etc.), déjà responsables d’attaques similaires en novembre 2023 contre des PLCs Unitronics. ...