Posts

🔍 Contexte Rapport d’infrastructure intelligence publié le 30 octobre 2026 par ThreatMon (TTI-IN-004, TLP:WHITE), couvrant une analyse conduite du 24 au 30 octobre 2026. L’investigation porte sur un environnement C2 suspect utilisé pour des opérations de collecte de données ciblant plusieurs organisations au Mexique. 🏗️ Architecture C2 identifiée L’environnement C2 ne repose pas sur un framework centralisé unique, mais sur une collection d’utilitaires spécifiques à chaque étape : Serveur HTTP (c2_server.py) : écoute sur TCP/8080, reçoit des données via POST et les stocke dans des fichiers locaux (wls_secrets.tar.gz, SerializedSystemIni.dat, recon_output.txt) Exécution de commandes via XML : bridge.xml utilise ProcessBuilder Java pour télécharger et exécuter run_bridge.sh depuis 34.66.239.213 Tunnel SSH (run_bridge.sh / wls_bridge.py) : établissement d’un reverse port forwarding SSH sur TCP/1521 (Oracle DB) Scripts d’extraction Python : cinq scripts distincts adaptés à chaque cible Transfert cloud via rclone : destination configurée sous le nom leviathan-drive (Google Drive) 🎯 Cibles identifiées Organisation Secteur Méthode Résultats enregistrés Télécoms Provider A Télécommunications Extraction BDD Oracle ~82 478 lignes (SIM-related) Télécoms Provider B Télécommunications API facturation 306 enregistrements Assurance Provider Assurance API applicative 554 enregistrements Entité gouvernementale Gouvernement Reconnaissance + outillage Oracle 49 hôtes inventoriés Université mexicaine Éducation Extraction BDD Oracle Plusieurs tables, erreurs de connexion 📋 Séquence opérationnelle reconstruite Découverte : inventaire des cibles, énumération des services Exécution : payloads XML malveillants via Java ProcessBuilder Accès distant : tunnel SSH avec reverse port forwarding (TCP/1521) Collecte : extraction par lots depuis Oracle DB et APIs applicatives Transfert : compression JSONL.gz + upload via rclone copyto vers leviathan-drive Nettoyage : suppression des fichiers locaux après transfert réussi 🖥️ Infrastructure hôte Hostname : rclone-leviathan-worker, utilisateur local : jarold Journaux système : 20–29 octobre 2026, 4 sessions de boot Connexion NetBird active (WireGuard P2P) entre 34.66.239.213 et une adresse secondaire (non divulguée), latence 79,20 ms, 44,1 MiB reçus / 214,0 MiB envoyés Clé SSH ED25519 privée récupérée dans l’environnement ⚠️ Éléments non confirmés Vecteur d’accès initial non établi Tunnel SSH réussi non confirmé Exfiltration complète des datasets non vérifiée indépendamment Identité de l’opérateur non attribuée 📌 Type d’article Rapport d’infrastructure intelligence technique (analyse de menace), produit par ThreatMon pour documenter les composants C2 récupérés, les cibles identifiées et les IOCs associés, sans attribution à un acteur spécifique. ...

🌐 Contexte Publié le 29 octobre 2026 sur SecurityWeek par Eduard Kovacs, cet article repose sur deux rapports simultanés : l’un de Cisco Talos et l’autre de Lumen’s Black Lotus Labs, portant sur l’exploitation d’une vulnérabilité critique dans les équipements Cisco Catalyst SD-WAN. 🔓 Vulnérabilité exploitée CVE-2026-20127 : score CVSS de 10 (critique), divulguée en février 2026 Permet une exploitation à distance sans authentification Contourne l’authentification de peering des composants contrôleurs SD-WAN Confère des droits administrateur et permet de modifier la configuration du réseau SD-WAN Volt Typhoon exploitait cette faille dès fin 2025, bien avant sa divulgation publique, et a continué après 🦠 Malware : KeyDrift Cisco Talos a identifié un framework malveillant nommé KeyDrift, composé de deux modules : ...

🗓️ Contexte Source : BleepingComputer, publié le 29 octobre 2026. L’investigateur blockchain Iris a identifié et signalé une application iOS frauduleuse sur l’Apple App Store, usurpant l’identité de la plateforme de trading de meme coins Padre Terminal (renommée Terminal by pump.fun). 🎯 Nature de l’attaque L’application malveillante, référencée sous l’ID App Store 6802739263, se présentait comme un outil de trading de cryptomonnaies sur la blockchain Solana. Elle incitait les utilisateurs à importer leurs clés privées, qu’elle exfiltrait ensuite pour vider les wallets. L’interface de trading était probablement servie à distance (remotely), selon Iris. ...

🔍 Contexte Publié le 29 octobre 2026 par la Sophos Counter Threat Unit (CTU), cet article présente une analyse technique détaillée des opérations du groupe cybercriminel GOLD OGRE, opérateur du ransomware Aur0ra (aussi connu sous le nom Aurora ransomware). L’analyse s’appuie sur des investigations menées depuis mai 2026 et est complétée par des rapports tiers de Gambit Security et CloudSEK. 🧠 Utilisation de l’IA dans les opérations offensives GOLD OGRE a intégré des agents IA dans toutes les phases de ses attaques : ...

🔍 Contexte Source : Chainalysis (blog officiel), publié le 30 octobre 2026. Cet article présente l’analyse forensique en temps réel du plus grand vol de cryptomonnaies de l’histoire, survenu le 29 octobre 2026 sur la plateforme Binance. 💥 Déroulement de l’attaque À partir de 16h20 ET le 29 octobre 2026, des fonds ont commencé à quitter les hot wallets de Binance sur plusieurs blockchains simultanément. Le montant total des transferts non autorisés s’élève à environ 6,4 milliards de dollars USD. ...

🏥 Contexte Source : SecurityWeek (Associated Press), publié le 26 octobre 2026. L’University of New Mexico Health System (UNM Health System), principal réseau hospitalier du Nouveau-Mexique, a été frappé par un incident cybersécurité le lundi 27 octobre 2026, perturbant gravement ses opérations. 💥 Impact opérationnel L’incident a entraîné les conséquences suivantes : Détournement des ambulances vers d’autres hôpitaux Fermeture temporaire du service des urgences de l’hôpital principal d’Albuquerque Annulation des rendez-vous dans plus de 30 cliniques Le Nouveau-Mexique s’est retrouvé sans centre de traumatologie de niveau 1 opérationnel (le seul de l’État) Annulation des cours au UNM Health Sciences Center, le plus grand centre médical académique de l’État Le réseau réalise environ 900 000 visites ambulatoires et 100 000 passages aux urgences par an 📢 Messages sur les postes de travail Plusieurs employés de l’UNM Health System ont rapporté avoir vu des messages affichés sur leurs ordinateurs revendiquant le vol de données d’étudiants, d’employés et de patients. Ce vecteur de notification — diffusion de messages sur les postes — est décrit comme inhabituel par la professeure Josephine Wolff (Tufts University). ...

🔍 Contexte Publié le 31 octobre 2026 par BI.ZONE, cet article présente une réévaluation majeure du cluster de menace Insolent Hyena, précédemment classifié comme hacktiviste, désormais reclassifié en Insolent Werewolf (orientation cyber-espionnage) suite à de nouvelles découvertes lors d’une surveillance continue. 🎯 Reclassification du groupe La reclassification repose sur plusieurs indicateurs : Absence d’intention destructrice : aucun ransomware ni wiper observé Arsenal orienté espionnage : RATs (CapDoor, NightWire, NightStrike), frameworks post-exploitation (AdaptixC2, Havoc, Cobalt Strike) Accès initial ciblé : spearphishing de type ClickFix, achat d’accès à d’autres clusters d’espionnage, déploiement de NetSupport Manager Ciblage stratégique : secteur gouvernemental, organisations industrielles et instituts de recherche liés au complexe militaro-industriel Absence de revendications publiques 🦠 NightStrike — Nouveau RAT découvert NightStrike est un RAT écrit en C++, vraisemblablement développé par l’auteur de NightWire. Ses capacités incluent : ...

📅 Source : Eye Security Labs — Article publié le 29 octobre 2026 par Martin Warmer. Contexte Cet article analyse le comportement réel des mécanismes de révocation d’accès dans Microsoft 365 (Exchange Online / Entra) suite à une compromission par phishing, en testant l’impact pratique de trois actions défensives : révocation de session, réinitialisation du mot de passe, et désactivation du compte. Mécanisme d’authentification M365 L’accès à Exchange Online repose sur deux tokens émis par Entra : ...

🔍 Contexte Publié le 28 octobre 2026 par CloudSEK (Bhavik Malhotra), cet article présente une analyse technique approfondie de MR ROBOT, une opération Malware-as-a-Service (MaaS) Android inédite ciblant les clients de banques indiennes. L’investigation a débuté à partir d’un APK malveillant se faisant passer pour une mise à jour Aadhaar d’une banque publique. 🏗️ Modèle opérationnel MR ROBOT fonctionne comme une plateforme crimeware en libre-service : Un opérateur maître loue l’accès à des affiliés via un modèle d’abonnement (App ID par affilié avec expiration) Un bot Telegram « APK Shield » permet de générer des APK personnalisés et des liens de distribution style Play Store Un panneau de contrôle web (v7.0) hébergé sur Cloudflare Pages offre gestion des victimes, interception SMS, transfert d’appels, et construction d’APK à la demande Une hiérarchie affilié/sous-admin avec limites de connexion et permissions différenciées 🦠 Capacités techniques Le dropper (famille com.apkshield.installer.*) déchiffre un payload AES-128-CBC+GZIP pour installer un trojan bancaire capable de : ...

🇳🇴 Contexte Le 27 octobre 2026, le NSM (Nasjonal sikkerhetsmyndighet), l’autorité norvégienne de sécurité nationale, a publié pour la première fois son évaluation nationale du cyberrisque de manière ouverte et non classifiée. Le niveau a été porté à ÉLEVÉ (HØYT), soit le quatrième niveau sur une échelle de cinq allant de TRÈS BAS à EXTRÊMEMENT ÉLEVÉ. Le niveau MODÉRÉ est considéré comme l’état normal. 📊 Situation opérationnelle Le directeur du NSM, Arne Christian Haugstøyl, indique qu’au cours des six derniers mois, le nombre de cyberopérations réussies contre des organisations norvégiennes a triplé, avec plusieurs incidents ayant des conséquences graves et un potentiel de dommages persistant pour la sécurité nationale. ...