Intrusion liée à Viva Aerobus : serveur de staging exposé révèle un toolkit post-exploitation MSSQL

Fri, 02 Oct 2026 00:00:00 +0200

🔍 Contexte

Source : ThreatMon Threat Intelligence Team — Publication du 1er octobre 2026. Durant une activité de threat hunting de routine, ThreatMon a identifié un serveur de staging attaquant exposé publiquement sans authentification, utilisé dans le cadre d’une intrusion liée à l’environnement de Viva Aerobus (compagnie aérienne mexicaine), active entre le 25 et le 29 septembre 2026.

🖥️ Infrastructure exposée

Le serveur de staging à l’adresse 151.243.232.123 hébergeait des outils post-exploitation, des fichiers collectés (loot) et supportait l’activité post-exploitation. L’absence totale de contrôle d’accès a permis à des hôtes externes non liés à l’attaque d’accéder au contenu dès les premières minutes d’activité.

Cred_dump.ps1 on CyberVeille

Intrusion liée à Viva Aerobus : serveur de staging exposé révèle un toolkit post-exploitation MSSQL

🔍 Contexte

🖥️ Infrastructure exposée