Backdoor

🔍 Contexte Le 3 novembre 2026, OPSSHIELD a publié un avis de sécurité sur son site officiel (opsshield.com) concernant une compromission de son infrastructure de distribution de mises à jour (CDN). L’incident a débuté le 2 novembre 2026 à 02:06 UTC. 💥 Déroulement de l’attaque Un attaquant non identifié a utilisé des identifiants compromis pour accéder à l’infrastructure CDN d’OPSSHIELD. Il a ensuite distribué un script malveillant (cpguard-v58812-i91511.sh) via le canal officiel de mise à jour de cPGuard, affectant les versions 5.88.12 à 5.88.19. La détection est intervenue dans les 12 heures suivant la distribution des mises à jour compromises. ...

🎯 Contexte Source : BleepingComputer, publié le 4 novembre 2026. L’éditeur Level Infinite a confirmé une attaque de supply chain ciblant le launcher PC du jeu Goddess of Victory: NIKKE, un RPG sci-fi développé par la société sud-coréenne Shift Up, comptant plus de 45 millions de téléchargements depuis 2022. 🔍 Déroulement de l’attaque Selon l’analyse du chercheur indépendant MotherSphere (publiée sur GitHub), quatre fichiers JavaScript hébergés sur le CDN officiel de Level Infinite ont été modifiés le 27 septembre 2026. Ces fichiers contenaient du code malveillant obfusqué qui téléchargeait des charges utiles supplémentaires depuis des serveurs contrôlés par les attaquants : ...

🔍 Contexte Le 30 septembre 2026, Jamf Threat Labs publie une analyse technique détaillée de CloudSyncD, un backdoor macOS en deux étapes découvert lors d’une surveillance de routine sur VirusTotal. Le malware a été identifié pour la première fois le 15 septembre 2026 dans une version encore en développement, puis des builds configurés contre une infrastructure live ont été observés deux jours plus tard. 🎭 Vecteur d’infection et Stage 1 (dropper) CloudSyncD est distribué via une image disque (DMG) se faisant passer pour un installateur Zoom légitime. Le bundle est signé ad-hoc, ce qui déclenche le blocage Gatekeeper, mais l’image d’arrière-plan contient des instructions pour contourner cette protection manuellement. ...

🔍 Contexte Publié le 1er octobre 2026 sur le blog Sucuri, cet article présente une analyse technique approfondie d’une compromission WordPress persistante, baptisée famille SC (d’après les marqueurs SC_ dans le code injecté). L’analyse est issue de travaux de nettoyage de sites web réels. 🧩 Architecture de persistance circulaire Le malware SC se distingue par sa capacité à survivre à toute suppression partielle grâce à 8 composants redondants qui se régénèrent mutuellement : ...

🔍 Contexte Publié le 24 septembre 2026 par Sergey Puzan sur Securelist (Kaspersky), cet article présente une analyse technique approfondie d’une nouvelle variante du stealer macOS MacSync, détectée pour la première fois dans la nature en septembre 2026. 🧬 Origine et évolution du malware MacSync est une famille de crypto/info stealers relativement récente, d’abord annoncée sur le dark web en 2025 sous le nom Mac.c, puis renommée par ses créateurs. Les versions initiales étaient implémentées en AppleScript et ressemblaient à la famille AMOS. La nouvelle version marque une rupture significative : ...

🔍 Contexte : Le 5 septembre 2026, Sansec (sansec.io) publie une analyse d’urgence sur une campagne d’exploitation active baptisée StyleSmuggler, ciblant Magento Open Source et Adobe Commerce. L’investigation est en cours au moment de la publication. ⚠️ Vulnérabilité : StyleSmuggler est un zero-day non patché permettant une exécution de code à distance (RCE) sans authentification. Toutes les versions actuelles sont affectées, y compris 2.4.9 et 2.4.6-p15 avec les patches de juillet et août 2026 appliqués. Aucun CVE n’est encore assigné au moment de la publication. ...

🔍 Contexte Le 5 août 2026, la société VulnCheck a publié une analyse technique détaillant la découverte d’un implant persistant préinstallé en usine dans les routeurs du fabricant chinois Zbtlink. Le rapport a été repris par The Hacker News, The Register et Reuters. La Cloud Security Alliance a publié une note de recherche le 6 août 2026 synthétisant ces travaux. 🦠 Nature de la menace : ENDLESSDOORS ENDLESSDOORS (CVE-2026-66747, CVSS 4.0 : 9.3) est un implant compilé dans chaque image firmware examinée par VulnCheck, couvrant plus de 20 modèles distincts sur au moins deux ans de releases. Il s’agit d’un build modifié de rctl (remote control linux), un outil open-source publié sur GitHub en janvier 2015. ...

🔍 Contexte Publié le 27 août 2026 par Jacob Baines sur le blog VulnCheck, cet article de recherche fait suite à une précédente publication sur l’implant ENDLESSDOORS dans les routeurs ZBT (Shenzhen Zhibotong Electronics). Les chercheurs ont acquis un routeur Deep Orange 3G/4G/LTE (white-label du ZBT-WE826-T2) via Amazon pour tracer la supply chain ZBT. 🦠 Implants découverts Deux nouveaux implants ont été identifiés sur le firmware 2019 du routeur, tous deux écrits en Nim, communiquant en UDP, et lancés par un binaire commun inetdetect : ...

🔍 Contexte : Le 17 août 2026, Zscaler ThreatLabz publie une analyse technique d’une nouvelle famille de malware nommée C2Looper, identifiée en juillet 2026 et probablement liée à un acteur opérant des ransomwares. 🦠 Description du malware : C2Looper est développé en Rust et fonctionne comme un backdoor offrant des capacités d’exécution de commandes arbitraires, de reconnaissance, et de déploiement de charges utiles secondaires. Il chiffre ses chaînes de caractères via XOR avec une clé de 8 octets et résout dynamiquement les API Windows via LoadLibrary et GetProcAddress. ...

🔍 Contexte Publié le 14 août 2026 par le chercheur Milánek sur le blog de Gen Digital, cet article présente l’analyse technique complète d’un backdoor Windows personnalisé découvert sur un unique poste de travail d’entreprise lors d’une chasse aux persistances WMI inhabituelles. 🎯 Cible et contexte de découverte Un seul hôte : poste de travail Windows 7 SP1 64 bits, joint à un domaine L’implant était déjà en place avant l’installation du logiciel de protection Aucun second stage ni tâche capturée Prévalence VirusTotal : zéro occurrence sur plus de 5 ans Aucun acteur connu identifié ⚙️ Mécanisme de persistance WMI Une souscription WMI nommée "Realtek" surveille Win32_LocalTime pour l’heure 19h50 et exécute un binaire nommé RtkNGUI64.exe (nom légitime du panneau audio Realtek) via le chemin court Progra~1. La persistance survit aux redémarrages mais ne s’active qu’une fois par soir. ...