Posts

📰 Source : Dark Reading — Article publié le 1er octobre 2026, basé sur des documents publics et une demande de devis (RFQ) émise par ATNS. 🏢 Contexte : Air Traffic and Navigation Services (ATNS) est une entreprise publique sud-africaine assurant le contrôle du trafic aérien (ATC) et les opérations météorologiques pour environ 10 % de l’espace aérien mondial. ⚠️ Incident détecté : Les systèmes de surveillance d’ATNS ont identifié une activité suspecte dans les environnements OT (Operational Technology) supportant les services météorologiques liés au contrôle aérien. Les investigations préliminaires ont confirmé la présence d’un malware associé aux premières étapes d’une attaque ransomware. ...

🎯 Contexte Article publié le 2 octobre 2026 sur le blog personnel de Frank Wiles, fondateur de REVSYS et membre du Django Steering Council. Il relate une tentative d’attaque ciblée dont il a été la cible, vraisemblablement dans le but d’accéder à ses comptes GitHub et aux accès clients de REVSYS. 🕵️ Déroulement de l’attaque L’attaque s’est déroulée en plusieurs étapes : Ingénierie sociale initiale : envoi d’une demande de projet fictif dans le secteur EdTech, suffisamment crédible pour susciter l’intérêt Prétexte de réunion : proposition d’un appel via Calendly et demande de signature d’un NDA Partage d’un dossier Dropbox : contenant des fichiers Markdown décrivant un cahier des charges d’application web Vecteur malveillant : un dossier .git dissimulé dans le dossier Dropbox, contenant un hook post-checkout malveillant Instruction piège : la victime était invitée à « switcher sur la branche NDA » pour récupérer le document, ce qui aurait déclenché le hook ⚙️ Mécanisme technique Le hook post-checkout contenait un script qui : ...

🗓️ Contexte Article publié le 23 septembre 2026 par DataBreaches.net, relatant une attaque par extorsion de données ciblant Canva Pty Ltd via un fournisseur tiers, Canny, avec publication sur un nouveau site de fuite dédié. 🎯 Déroulement de l’attaque Le groupe The Seven Deadly Sins (TSDS) a compromis Canny (outil de feedback produit utilisé par Canva) le 26-28 août 2026, en exploitant l’accès de Canny à l’instance Salesforce de Canva. Les attaquants ont obtenu un accès administrateur complet à cette instance et ont exporté l’intégralité des données disponibles. ...

🔍 Contexte Source : BleepingComputer — Publié le 4 octobre 2026. Citrix a publié des mises à jour d’urgence pour corriger une vulnérabilité zero-day identifiée comme CVE-2026-88779, affectant les appliances NetScaler ADC et NetScaler Gateway configurées avec l’authentification SAML (en mode SP ou IdP). 🛡️ Détails de la vulnérabilité Type : Faille de buffer mémoire (memory buffer overflow) Score CVSS : 8.7 Impact déclaré : Déni de service (DoS) — disponibilité du service affectée Préconditions : Appliance configurée avec add authentication samlAction (SAML SP) ou add authentication samlIdPProfile (SAML IdP) Versions corrigées : NetScaler ADC et Gateway 14.1-73.41 et 13.1-64.28 FIPS : 14.1-73.41 FIPS et 13.1-37.282 ⚠️ Exploitation observée Des administrateurs NetScaler ont signalé des redémarrages forcés répétés sur des appliances pourtant patchées (version 14.1-73.37). Le processus nsaaad crashait de manière répétée jusqu’à ce que le processus Pitboss atteigne sa limite de redémarrage et redémarre l’appliance. ...

🔍 Contexte Analyse publiée le 5 octobre 2026 sur Cryptika (source originale : CyberSecurityNews.com), basée sur un rapport de Nozomi Networks daté du 1er octobre 2026. L’article décrit le malware Cling, un botnet ciblant des appareils IoT exposés. 🎯 Vecteur d’infection et propagation L’infection initiale exploite CVE-2021-35394, une vulnérabilité dans le SDK Realtek (composant UDPServer), affectant routeurs, points d’accès, répéteurs et autres équipements réseau. L’échantillon analysé contient également des exploits pour : ...

🔍 Contexte Le 30 septembre 2026, Jamf Threat Labs publie une analyse technique détaillée de CloudSyncD, un backdoor macOS en deux étapes découvert lors d’une surveillance de routine sur VirusTotal. Le malware a été identifié pour la première fois le 15 septembre 2026 dans une version encore en développement, puis des builds configurés contre une infrastructure live ont été observés deux jours plus tard. 🎭 Vecteur d’infection et Stage 1 (dropper) CloudSyncD est distribué via une image disque (DMG) se faisant passer pour un installateur Zoom légitime. Le bundle est signé ad-hoc, ce qui déclenche le blocage Gatekeeper, mais l’image d’arrière-plan contient des instructions pour contourner cette protection manuellement. ...

🔍 Contexte Source : Rescana, publiée le 4 octobre 2026. L’article est une alerte d’exploitation active concernant CVE-2026-104286 (également référencée FG-IR-26-175), une vulnérabilité critique affectant les appliances Fortinet FortiMail. La CISA a ajouté cette CVE à son catalogue KEV le 2026-10-01. 🛡️ Vulnérabilité Type : Path traversal (CWE-22) et injection de NULL byte (CWE-158) Composant affecté : Interface web FortiMail, fonctionnalité Identity-Based Encryption (IBE) Score CVSS v3 : 9.8 (Critique) Vecteur : Requêtes HTTP/HTTPS spécialement forgées, sans authentification requise Impact : Écriture arbitraire de fichiers, exécution de code à distance, compromission totale du système, exfiltration de données, mouvement latéral 📦 Versions affectées FortiMail 8.0.0 à 8.0.1 FortiMail 7.6.0 à 7.6.6 FortiMail 7.4.0 à 7.4.8 FortiMail 7.2.0 à 7.2.9 ⚔️ Exploitation observée Les attaquants exploitent la faille via des séquences de path traversal (../) et des NULL bytes non filtrés dans les requêtes vers la fonctionnalité IBE. Les activités post-exploitation observées incluent : ...

🛰️ Contexte Source : SWI swissinfo.ch — Article publié le 3 octobre 2026. Beyond Gravity est une entreprise spatiale suisse appartenant à l’État, issue d’une scission du groupe de défense Ruag en 2022. 🔍 Incident Beyond Gravity a annoncé avoir reçu les premières indications d’activité malveillante dans son environnement IT le 12 août 2026. La communication publique n’a été faite que plusieurs semaines après cette détection initiale, la société ayant délibérément priorisé la rigueur des investigations forensiques sur la rapidité de communication, afin de ne pas compromettre les analyses en cours. ...

🇩🇰 Contexte Publié le 5 octobre 2026 sur GBHackers, cet article rapporte la confirmation par les autorités danoises d’un incident de sécurité majeur affectant le Registre Central des Personnes (CPR), le système national d’état civil du Danemark. 📋 Nature de l’incident L’intrusion n’a pas résulté d’une compromission directe de l’infrastructure publique du registre CPR. Des acteurs non autorisés ont exploité l’accès légitime d’une entreprise danoise tierce au système CPR pour extraire un volume massif de données. L’accès de cette entreprise a depuis été suspendu. ...

🌐 Contexte Source : Eurojust (eurojust.europa.eu), publiée le 1er octobre 2026. Une opération internationale impliquant neuf pays, coordonnée par Eurojust et Europol, a abouti au démantèlement du groupe ransomware KillSec, actif depuis 2024 et responsable de près de 1 000 attaques à l’échelle mondiale. 🎯 Acteur de la menace : KillSec Le groupe KillSec opère selon un modèle de double extorsion : Exploitation de points d’accès mal sécurisés, notamment liés au stockage cloud Exfiltration des données vers leur propre infrastructure Menace de publication des données volées contre paiement d’une rançon En cas de non-paiement, mise à disposition gratuite des fichiers volés Envoi d’échantillons de données aux victimes pour prouver la possession 👥 Suspects identifiés Les autorités ont identifié plusieurs suspects aux rôles distincts : ...