Posts

🗓️ Contexte Source : The Cyber Express, publié le 14 avril 2026. L’article couvre la divulgation et l’exploitation active d’une vulnérabilité critique de type Remote Code Execution (RCE) affectant le plugin WordPress Kali Forms (constructeur de formulaires drag-and-drop), installé sur plus de 10 000 sites actifs. 🔍 Nature de la vulnérabilité La faille réside dans le flux form_process et la fonction prepare_post_data(), qui accepte des données contrôlées par l’attaquant sans validation ni liste blanche. Ces données sont injectées dans des placeholders internes ({entryCounter}, {thisPermalink}), puis transmises à la méthode _save_data() où elles sont exécutées via call_user_func(). ...

📰 Source : The Record Media — Date de publication : 15 avril 2026 Un adolescent de 16 ans a été arrêté mercredi à Portadown, comté d’Armagh (Irlande du Nord), dans le cadre d’une enquête sur une cyberattaque ciblée ayant perturbé le système éducatif régional. L’arrestation a été effectuée par la Police Service of Northern Ireland (PSNI) sur la base de soupçons d’infractions au Computer Misuse Act. Le suspect a été relâché pendant la poursuite de l’enquête. ...

📅 Source : The Cyber Express, publié le 16 avril 2026. 🌍 Contexte : La Commission européenne, sous l’impulsion de la présidente Ursula von der Leyen et de la vice-présidente exécutive Henna Virkkunen, annonce qu’une application européenne de vérification d’âge est techniquement prête et sera prochainement disponible pour les citoyens. Cette initiative s’inscrit dans un contexte de préoccupations croissantes concernant la sécurité des enfants en ligne : cyberharcèlement, exposition à des contenus illicites, design addictif des plateformes et risques de grooming. ...

🌐 Contexte Source : Check Point Research, publié le 16 avril 2026. Ce rapport mensuel dresse un bilan statistique du paysage des cybermenaces en mars 2026, couvrant les volumes d’attaques globaux, les tendances ransomware, les risques liés à l’IA générative, ainsi que les disparités sectorielles et régionales. 📊 Volumes d’attaques globaux En mars 2026, la moyenne hebdomadaire d’attaques par organisation s’établit à 1 995, soit une baisse de 4 % par rapport à février et de 5 % par rapport à mars 2025. Malgré cette modération, les niveaux restent historiquement élevés, portés par l’automatisation, l’expansion des surfaces d’attaque et l’adoption du cloud et de la GenAI. ...

📰 Contexte Source : Have I Been Pwned (haveibeenpwned.com), publié le 16 avril 2026. L’entreprise d’édition éducative McGraw Hill a confirmé avoir subi une violation de données à la suite d’une tentative d’extorsion. 🔍 Cause et vecteur L’incident est attribué à une mauvaise configuration Salesforce (misconfiguration). Selon la déclaration de l’entreprise, l’incident a exposé « un ensemble limité de données provenant d’une page web hébergée par Salesforce sur sa plateforme ». ...

📅 Source : The Record Media — 15 avril 2026 Contexte Le National Institute of Standards and Technology (NIST), gestionnaire de la National Vulnerability Database (NVD), annonce une refonte majeure de sa politique d’enrichissement des entrées CVE. Cette décision fait suite à une croissance exponentielle des soumissions de vulnérabilités, aggravée par la démocratisation des outils d’IA pour la revue de code. Chiffres clés Les soumissions du premier trimestre 2026 sont en hausse de +33% par rapport à la même période en 2025 ~42 000 CVE enrichis en 2025, soit 45% de plus que toute année précédente L’équipe NVD compte toujours 21 personnes malgré la croissance continue du volume Un arriéré de CVE non enrichis antérieurs au 1er mars 2026 sera classé en catégorie “Not Scheduled” Nouveaux critères d’enrichissement prioritaire À compter du 15 avril 2026, le NIST n’enrichira que : ...

🌐 Contexte Source : Europol (europol.europa.eu), publié le 16 avril 2026. L’Opération PowerOFF est une opération internationale en cours visant à démanteler l’infrastructure criminelle des services DDoS-for-hire (booter services). La semaine d’action coordonnée s’est tenue le 13 avril 2026, impliquant 21 pays. 🎯 Périmètre de l’opération L’opération a ciblé les utilisateurs et l’infrastructure des plateformes de DDoS-for-hire, qui permettent à des individus sans compétences techniques avancées de lancer des attaques par déni de service distribué via des tutoriels étape par étape. ...

🔍 Contexte Source : Zscaler ThreatLabz, publiée le 16 avril 2026. Cette analyse technique détaille le fonctionnement du ransomware Payouts King, attribué à d’anciens initial access brokers (IAB) de BlackBasta, actif discrètement depuis environ un an. 🎯 Vecteur d’accès initial Les attaquants combinent plusieurs techniques : Spam bombing massif ciblant les victimes Phishing et vishing via Microsoft Teams, en usurpant l’identité d’un membre du support IT Instruction à la victime d’initier Quick Assist pour déployer le malware et établir un point d’ancrage réseau 🛠️ Techniques d’obfuscation et d’évasion Construction et déchiffrement de chaînes sur la pile (stack-based strings) Résolution des fonctions Windows API par hash (FNV1 avec seed unique par valeur + algorithme CRC personnalisé) Arguments de ligne de commande obfusqués via CRC checksum custom Paramètre -i obligatoire pour déclencher le chiffrement (anti-sandbox) Utilisation de syscalls directs (Zw*) pour contourner les hooks AV/EDR Renommage des fichiers via SetFileInformationByHandle (FileRenameInfo) pour éviter la détection sur MoveFile/MoveFileEx 🔐 Chiffrement des fichiers Combinaison RSA 4096 bits + AES-256 en mode CTR (bibliothèque OpenSSL liée statiquement) Support code pour ChaCha20 présent mais non utilisé dans les échantillons analysés Extension ajoutée aux fichiers chiffrés : .ZWIAAW Fichier de sauvegarde temporaire : extension .esVnyj Note de rançon : readme_locker.txt (déposée uniquement si -note est spécifié) Chiffrement partiel (13 blocs, 50%) pour les fichiers > 10 Mo (optimisation performance) ⚙️ Persistance et élévation de privilèges Tâches planifiées créées via schtasks.exe sous \Mozilla\UpdateTask et \Mozilla\ElevateTask Exécution en tant que SYSTEM Suppression de la tâche d’élévation après exécution pour effacer les traces forensiques 🧹 Anti-forensique Suppression des shadow copies : vssadmin.exe delete shadows /all /quiet Vidage de la corbeille via SHEmptyRecycleBinW Effacement des journaux d’événements Windows via EvtClearLog Terminaison de 131 processus AV/EDR identifiés par checksum 📡 Infrastructure Contact via TOX Site de fuite de données accessible via Tor Vol massif de données avant déploiement du ransomware (double extorsion) 📄 Type d’article Analyse technique approfondie publiée par ThreatLabz (Zscaler), visant à documenter les capacités techniques de Payouts King et à fournir des éléments d’attribution et de détection. ...

🔍 Contexte Publié le 16 avril 2026 par Sophos, cet article documente l’abus actif de QEMU (émulateur open-source) par des acteurs malveillants pour dissimuler leurs activités au sein d’environnements virtualisés, contournant ainsi les contrôles de sécurité des endpoints. 🎯 Campagne STAC4713 (depuis novembre 2025) Associée au groupe GOLD ENCOUNTER et au ransomware PayoutsKing, cette campagne utilise QEMU comme backdoor SSH inversé covert : Persistance : tâche planifiée nommée TPMProfiler lançant qemu-system-x86_64.exe sous le compte SYSTEM Déguisement : image disque masquée en vault.db puis en bisrv.dll (janvier 2026) Port forwarding vers les ports 32567, 22022 → port 22 (SSH) VM Alpine 3.22.0 contenant : AdaptixC2 (tinker2), wg-obfuscator, BusyBox, Chisel, Rclone Vol de credentials : copie de NTDS.dit, ruches SAM et SYSTEM via VSS et commande print sur SMB Accès initial : VPN SonicWall exposés sans MFA, puis exploitation de CVE-2025-26399 (SolarWinds Web Help Desk) Évolution en février 2026 : abandon de QEMU, accès via VPN Cisco SSL, ingénierie sociale via Microsoft Teams/QuickAssist, sideloading d’un payload Havoc C2 (vcruntime140_1.dll) via ADNotificationManager.exe, exfiltration via Rclone vers SFTP. ...

🔍 Contexte Publié le 16 avril 2026 sur GitHub par l’utilisateur Nightmare-Eclipse, le dépôt RedSun expose une vulnérabilité affectant Windows Defender (antivirus Microsoft). Le code source est disponible en C++ sous licence MIT. 🐛 Description de la vulnérabilité La vulnérabilité repose sur un comportement inattendu de Windows Defender lors de la détection d’un fichier malveillant portant un cloud tag : Lorsque Windows Defender identifie un fichier malveillant avec un cloud tag, au lieu de le supprimer, il réécrit le fichier à son emplacement d’origine. Le PoC abuse de ce comportement pour écraser des fichiers système arbitraires. L’exploitation permet d’obtenir des privilèges administrateurs (élévation de privilèges). 💻 Détails techniques Langage : C++ (100%) Fichier principal : RedSun.cpp Le dépôt contient une release initiale publiée la veille de l’article. 664 étoiles et 128 forks au moment de la publication, indiquant une forte visibilité communautaire. 📌 Type d’article Il s’agit d’une publication de PoC (Proof of Concept) accompagnée d’une description technique de la vulnérabilité. Le but principal est de divulguer publiquement un comportement anormal de Windows Defender exploitable pour une élévation de privilèges locale. ...