BloodHound

🔍 Contexte Publié le 9 septembre 2026 par GreyNoise, cet article de threat intelligence documente une campagne d’exploitation opportuniste à grande échelle contre PaperCut NG/MF, un logiciel de gestion d’impression Java auto-hébergé tournant par défaut avec des privilèges SYSTEM sur Windows. La campagne a été observée via le Global Observation Grid (GOG) de GreyNoise. 🎯 Acteur et outillage IA Un acteur malveillant russophone a utilisé l’adresse IP 45.142.193.132 (suivie depuis début juillet 2026) pour orchestrer la campagne. L’acteur a exploité des agents IA basés sur OpenAI Codex (comme harnais) et un modèle DeepSeek pour développer, tester et déployer des exploits contre deux nouvelles vulnérabilités : CVE-2026-81578 et CVE-2026-82078. La construction des listes de cibles a été réalisée via le service de scan internet Netlas.io avec une clé API identifiée. ...

🔍 Contexte Source : huntback Research, publiée le 31 octobre 2026. Deux serveurs VPS européens (IONOS Espagne et Hetzner Allemagne) ont exposé leurs répertoires de travail en HTTP plain sur des ports non standard, révélant 1 304 fichiers et 193 Mo de données opérationnelles d’un même opérateur. 🛠️ Outil utilisé : pentestcode pentestcode est un agent de pentest autonome open-source (MIT), fork d’OpenCode, installé via un one-liner curl. Il orchestre un agent principal et jusqu’à 8 sous-agents spécialisés (recon, scanner, exploiter, webapp, exploit-dev, critic, reporter, etc.) selon l’architecture HPTSA. Le modèle utilisé est deepseek/deepseek-flash dans 29 des 31 runs. En deux jours de logs conservés : 63 sessions, 2 866 appels modèle, 16 616 étapes évaluées. ...

🔍 Contexte Publié le 29 octobre 2026 par la Sophos Counter Threat Unit (CTU), cet article présente une analyse technique détaillée des opérations du groupe cybercriminel GOLD OGRE, opérateur du ransomware Aur0ra (aussi connu sous le nom Aurora ransomware). L’analyse s’appuie sur des investigations menées depuis mai 2026 et est complétée par des rapports tiers de Gambit Security et CloudSEK. 🧠 Utilisation de l’IA dans les opérations offensives GOLD OGRE a intégré des agents IA dans toutes les phases de ses attaques : ...

🔍 Contexte Publié sur GitHub (icedracon/adhammer), ADhammer est présenté comme un toolkit de sécurité Active Directory développé en Rust dans le cadre d’une recherche académique (ITMO). Il se positionne comme un outil combinant audit passif (classe PingCastle) et validation offensive (classe impacket/Rubeus), distribué sous forme de binaire statique unique fonctionnant sous Kali/Linux et Windows. 🛠️ Fonctionnalités principales ADhammer repose sur une pile protocolaire entièrement réécrite en Rust (DCE/RPC, NTLM, SMB2, Kerberos) sans dépendance à impacket. Il implémente : ...

🔍 Contexte Publié le 27 août 2026 par CloudSEK (en partenariat avec TRM Labs), cet article inaugure la série « Caught in 4K » dédiée à l’exposition des opérations ransomware. Un répertoire Linux mal configuré, accessible sans authentification sur le port 8888, a permis à CloudSEK d’accéder à l’intégralité du poste de travail d’un affilié du groupe Aurora ransomware. 🎯 Victimologie L’opérateur a compromis plus de vingt organisations dans neuf pays entre avril et juillet 2026, dont quatre ont été listées sur le site de fuite d’Aurora. Les secteurs touchés incluent : ...

🔍 Contexte Publié le 27 août 2026 par Gambit Security (source : gambit.security), cet article présente les résultats d’une investigation sur l’infrastructure exposée du groupe Aurora ransomware, actif depuis environ avril 2026 et opérant un site de fuite de données. 🦠 Variant Linux/ESXi Les chercheurs ont identifié un variant Linux du ransomware Aurora (SHA-256 : a4af136d159a8eb96b54924fa80355ca52874913301300f55af7d67ae97edcfe, 139 KB ELF) hébergé sur Cloudflare R2 et copié manuellement dans plusieurs hôtes internes. ...

🗓️ Contexte Analyse publiée le 3 août 2026 sur CyberThreat Report par Ferenc Frész, basée sur une annonce de vente de données apparue sur le forum DarkForums lors du premier week-end d’août 2026, sous le titre The Magyar Conquest. 🎯 Cible et acteur Le groupe ByteToBreach revendique la compromission de l’Államkincstár (Trésor public hongrois) et de l’MVH (Mezőgazdasági és Vidékfejlesztési Hivatal), deux entités majeures du secteur public hongrois. Les données volées sont proposées à la vente sur DarkForums. ...

📋 Contexte : ESET Research publie son rapport semestriel H1 2026 (décembre 2025 – mai 2026), couvrant les grandes tendances du paysage des menaces observées via sa télémétrie mondiale. 🤖 Menaces liées à l’IA ESET a analysé près de 900 000 skills d’IA issus de dépôts populaires entre mars et mai 2026 : 25 000 ont été jugés suspects et plus de 3 000 bloqués comme malveillants. Ces composants peuvent être abusés pour exfiltrer des données, télécharger des malwares, injecter du code ou modifier le comportement d’un agent IA dans le temps. Des skills malveillants intégraient des outils offensifs comme Impacket, Mimikatz et BloodHound. ...

📰 Source : LinuxFR — Article publié le 20 juin 2026 par Mehdi, édité par Benoît Sibaud. 🔍 Contexte général DarkMoon est un moteur de pentest automatisé open source publié sous licence GNU GPLv3. Le projet est récent : premier commit en novembre 2025, dépôt rendu public en mai 2026, avec environ 500 clonages et 1300 téléchargements d’images Docker au moment de la publication. ⚙️ Architecture et fonctionnement L’outil repose sur trois composants principaux : ...

🔍 Contexte Publié le 17 juin 2026 par CloudSEK, ce rapport documente l’Opération Escaneo, une campagne d’intrusion coordonnée et multi-étapes découverte lors d’une analyse de routine d’infrastructure malveillante. Un serveur de staging exposé hébergé sur 62.171.185.97 a permis de cartographier l’ensemble des capacités offensives du groupe. 🎯 Attribution et ciblage La campagne est attribuée avec une confiance moyenne au groupe MexicanMafia aka PanchoVilla, un acteur connu pour des attaques antérieures contre des institutions mexicaines (2024). Les secteurs ciblés incluent : ...