Posts

📰 Contexte Source : CyberScoop, publié le 7 juillet 2026. Cet article couvre l’extension d’un recours collectif initialement déposé en mars 2026 contre X.ai (xAI), l’entreprise derrière l’outil d’IA Grok, pour génération de matériel d’abus sexuel sur enfants (CSAM) via deepfake. ⚖️ Extension du recours collectif Deux nouvelles plaignantes anonymes (Jane Doe 4 et Jane Doe 5) ont été ajoutées au recours, portant le total à cinq victimes : Jane Doe 4 (Wyoming) : son beau-père a utilisé Grok pour générer plus de 7 000 images CSAM à partir d’une photo d’elle à 11 ans. Les images ont été partagées sur des plateformes de réseaux sociaux. xAI a transmis un signalement au National Center for Missing and Exploited Children (NCMEC) en février, mais n’a fourni que l’image originale, refusant de communiquer les images générées et les données IP aux forces de l’ordre. Le beau-père s’est suicidé deux jours après son arrestation. Jane Doe 5 : un adulte lié à un camarade de classe a utilisé Grok pour transformer une photo de sa remise de diplôme de 8e année en contenu illicite. Le contenu reste disponible en ligne et circule sur des canaux darknet. 🤖 Allégations contre xAI/Grok Le recours allègue que Grok a été préféré par les auteurs car la plateforme était moins restrictive que d’autres modèles d’IA et répondait aux prompts pour générer du contenu sexuellement explicite à partir d’images de mineurs. xAI est également accusé de ne pas avoir coopéré avec les forces de l’ordre. ...

🔍 Contexte Publié le 25 juin 2026 par les chercheurs Chen Aviani et Nikita Kazymirskyi de LevelBlue (SpiderLabs Blog), cet article présente l’analyse technique de QuimaRAT, un nouveau Remote Access Trojan (RAT) écrit en Java, ciblant simultanément Windows, macOS et Linux. 🧩 Description du malware QuimaRAT v2.0 est commercialisé sur un forum du dark web en tant que Malware-as-a-Service (MaaS) avec les caractéristiques suivantes : 70+ modules disponibles Chiffrement AES256 Revendiqué comme FUD (Fully Undetectable) Interface graphique (GUI panel) Tarification par abonnement : 150 $ (1 mois), 300 $ (3 mois), 500 $ (6 mois), 700 $ (12 mois), 1 200 $ (accès à vie) ⚙️ Architecture technique Organisé comme un projet Java modulaire Apache Maven (deux fichiers pom.xml distincts) Exécuté sur JVM Java SE 8 via une archive JAR Contient des bibliothèques natives JNA (Java Native Access) pour Windows, Linux et macOS sur plusieurs architectures Chargement d’un fichier de configuration chiffré config.dat embarqué dans le JAR, déchiffré via une routine XOR à clé répétée Vérification d’instance unique via un fichier .lock dans le répertoire temporaire de l’OS (Java FileLock) Vérifications anti-virtualisation et anti-analyse spécifiques à l’OS avant exécution Mécanismes de persistance spécifiques à chaque OS 📡 Communications C2 Utilisation des commandes HANDSHAKE et HEARTBEAT pour maintenir des communications C2 résilientes 23 commandes implémentées confirmées par analyse statique 212 commandes de protocole uniquement, suggérant une capacité d’extension via modules runtime, binaires uploadés ou payloads fileless 📄 Type d’article Il s’agit d’une analyse technique publiée par un laboratoire de recherche en sécurité, dont le but principal est de documenter les capacités, l’architecture et le fonctionnement de QuimaRAT pour la communauté CTI. ...

🔍 Contexte Publié le 7 juillet 2026 par Vishnu Pratapagiri (Zimperium zLabs), cet article présente l’analyse technique complète de RedWing, un nouveau spyware Android distribué sous forme de Malware-as-a-Service (MaaS) via un canal Telegram. Le malware présente des liens avec des acteurs de menace russes et est considéré comme une variante évoluée du malware Oblivion, en raison de similarités au niveau du dropper et des overlays. 🎯 Modèle commercial et distribution RedWing est commercialisé via un bot Telegram permettant la création, l’obfuscation et la personnalisation d’APK malveillants sans compétences techniques avancées. Le modèle économique inclut : ...

🔍 Contexte Publié le 7 juillet 2026 par Cisco Talos (chercheurs Jungsoo An, Asheer Malhotra, Vanja Svajcer, Brandon White), cet article présente les dernières découvertes sur UAT-7810, un acteur APT China-nexus initialement divulgué par SecurityScorecard en 2025, spécialisé dans la construction et la prolifération de réseaux Operational Relay Box (ORB). 🎯 Objectifs et attribution UAT-7810 est évalué avec haute confiance comme un acteur China-nexus, chargé d’établir des réseaux ORB exploitables par des acteurs secondaires tels que UAT-5918. Des chevauchements d’outillage ont été documentés entre UAT-5918 et UAT-7810, bien que Talos les considère comme deux entités distinctes. La configuration de JARLEASH contient des commentaires en chinois simplifié, renforçant l’attribution. ...

🌐 Contexte Source : BleepingComputer, publié le 8 juillet 2026. Proofpoint a documenté une campagne d’espionnage active depuis mai 2026, ciblant des serveurs Roundcube dans des universités américaines et canadiennes. 🎯 Ciblage La campagne, suivie sous le nom UNK_MassTraction, vise spécifiquement : Les départements de physique et d’ingénierie Les administrateurs et professeurs Les organisations impliquées en astrophysique, physique des particules ou recherche liée à la sécurité nationale 🔗 Chaîne d’attaque Email malveillant envoyé depuis des comptes compromis ou des domaines usurpés Ouverture de l’email dans Roundcube → exploitation de CVE-2024-42009 (XSS) → exécution de JavaScript → chargement du payload IceCube IceCube collecte identifiants, mots de passe, cookies, données 2FA et informations navigateur Exploitation de CVE-2025-49113 (désérialisation Roundcube) via des « helpers » Tentative d’installation de SquareShell (webshell PHP avec RCE) En cas d’échec : téléchargement d’un script shell chargeant VShell directement en mémoire 🛠️ Outils utilisés IceCube : stealer Roundcube complet SquareShell : webshell PHP avec capacités RCE VShell : backdoor Go commodity supportant l’accès shell interactif et le port forwarding, couramment utilisé par des acteurs chinois 🕵️ Attribution Proofpoint évalue avec faible confiance que UNK_MassTraction est un acteur d’espionnage aligné avec la Chine, sur la base de : ...

🔍 Contexte Publié le 8 juillet 2026 par Datadog Security Labs (auteure : Julie Agnes Sparks), cet article de recherche documente plusieurs mois de surveillance d’une activité soutenue d’abus de l’API GitHub visant à cartographier des organisations, leurs membres et leurs dépôts. 🎯 Nature de la menace L’activité observée n’est pas attribuée à un acteur unique mais à plusieurs campagnes chevauchantes combinant : Des réseaux de comptes « ghost » (créés 2 à 5 ans avant activation) envoyant du trafic API coordonné Des tokens OAuth et PAT compromis issus d’utilisateurs légitimes (exposition accidentelle ou compromission d’endpoint) Des outils de scraping automatisés avec des user agents personnalisés ou imitant des outils légitimes 👻 Comptes fantômes Plus de plusieurs dizaines de comptes ghost ont été confirmés depuis octobre (année non précisée). Les conventions de nommage forment des familles reconnaissables : préfixe amazon-data-*, famille *-orb (kuku-orb, lolo-orb, lulu-orb, ruru-orb, zouzou-orb, meme-orb), BirdWithDreams, BirdWithPlan, user432023, user412023. Ces comptes sont utilisés en rafales de 2 à 3 semaines sur de nombreuses organisations. ...

📰 Contexte Source : The Record Media, publié le 8 juillet 2026. Block Inc., société fondée par Jack Dorsey en 2009 et propriétaire de l’application de paiement Cash App, a conclu un accord amiable avec 46 États américains pour un montant total de 45 millions de dollars, en réponse à des allégations de manquements graves à la sécurité et de tromperie des consommateurs. ⚖️ Faits reprochés Les procureurs généraux des États impliqués ont identifié plusieurs défaillances majeures : ...

🗓️ Contexte Source : inside-it.ch, publiée le 8 juillet 2026. L’article rapporte une cyberattaque ciblant les Services Psychiatriques d’Argovie (Psychiatrische Dienste Aargau), un établissement de santé mentale en Suisse. 🎯 Nature de l’incident L’attaque a visé des comptes e-mail individuels au sein de l’organisation. Les attaquants ont exploité ces comptes pour utiliser abusivement les adresses d’expéditeur légitimes, vraisemblablement à des fins de phishing ou d’envoi de messages frauduleux en se faisant passer pour l’établissement. ...

📰 Source : BleepingComputer, basé sur une analyse de Socket — publié le 8 juillet 2026. Contexte Une campagne de supply chain attack ciblant les développeurs intégrant des solutions de paiement a été détectée sur les registres npm et PyPI. Les plateformes visées sont Paysafe, Skrill et Neteller, utilisées dans l’e-commerce, le gaming, les paris en ligne, les échanges crypto et le Forex. Mécanisme d’attaque Un acteur inconnu a publié 17 packages malveillants simultanément (13 sur npm, 4 sur PyPI), imitant des SDKs officiels de paiement : ...

📰 Source : The Record Media — publié le 8 juillet 2026 🔍 Contexte Huit ressortissants grecs victimes du spyware Predator ont intenté une action en justice civile contre Intellexa, fabricant du logiciel espion, ainsi que contre 13 individus liés à la société. Le montant total des dommages réclamés s’élève à environ 7,6 millions d’euros (8,7 millions de dollars), au titre du préjudice moral subi suite à la violation illégale de leur vie privée, de la confidentialité de leurs communications et de leurs données personnelles. ...