Credential Dumping

🔍 Contexte Source : ThreatMon Threat Intelligence Team — Publication du 1er octobre 2026. Durant une activité de threat hunting de routine, ThreatMon a identifié un serveur de staging attaquant exposé publiquement sans authentification, utilisé dans le cadre d’une intrusion liée à l’environnement de Viva Aerobus (compagnie aérienne mexicaine), active entre le 25 et le 29 septembre 2026. 🖥️ Infrastructure exposée Le serveur de staging à l’adresse 151.243.232.123 hébergeait des outils post-exploitation, des fichiers collectés (loot) et supportait l’activité post-exploitation. L’absence totale de contrôle d’accès a permis à des hôtes externes non liés à l’attaque d’accéder au contenu dès les premières minutes d’activité. ...

🛡️ Contexte Publié le 27 septembre 2026 sur GitHub par un lycéen turc (@prox0959, Çınar), MemGuard est un outil défensif open-source sous licence MIT, conçu pour protéger le processus lsass.exe contre les techniques de credential dumping sur les systèmes Windows 10/11. ⚙️ Fonctionnement technique L’outil repose exclusivement sur des appels natifs Win32/NT kernel via ctypes, sans aucune dépendance tierce. Il implémente quatre mécanismes de détection : Énumération des handles NT : utilise NtQuerySystemInformation (classe 64 — SystemExtendedHandleInformation) pour auditer tous les handles ouverts sur lsass.exe à l’échelle du système Analyse des masques d’accès : décode le champ GrantedAccess 32 bits et alerte sur PROCESS_VM_READ (0x0010), PROCESS_ALL_ACCESS (0x1FFFFF), PROCESS_VM_WRITE (0x0020), etc. Lecture PEB en mémoire : inspecte la ligne de commande des processus via NtQueryInformationProcess + ReadProcessMemory pour détecter les invocations LOLBin (comsvcs.dll MiniDump, procdump -ma) Scan d’artefacts de dump : détecte les fichiers .dmp valides (en-tête MDMP) dans les répertoires de triage 🚨 Menaces couvertes Accès direct à la mémoire LSASS via Mimikatz, Dumpert, NanoDump LOLBins : rundll32.exe comsvcs.dll MiniDump et procdump.exe -ma lsass.exe Duplication de handles depuis des services privilégiés 🔧 Modes d’utilisation --scan : audit ponctuel --monitor --interval N : surveillance continue --suspend : gel actif du processus offensif via NtSuspendProcess --json : export de rapport forensique --lang tr : support bilingue anglais/turc 📌 Positionnement Cet article est la documentation technique d’un nouvel outil défensif open-source. Il vise à fournir une alternative gratuite aux solutions EDR commerciales (CrowdStrike Falcon, SentinelOne) pour la protection contre la technique MITRE ATT&CK T1003.001. ...

🔍 Contexte Source : BleepingComputer, publié le 5 août 2026. L’incident a été découvert par Huntress le 27 juillet 2026 après détection de vol de credentials sur un serveur hébergeant une base Oracle. 🎯 Vecteur d’accès initial Les attaquants ont exploité une vulnérabilité d’injection SQL dans un endpoint de moteur de recherche d’une application Java publique tournant sous Apache Tomcat. La fonctionnalité d’autocomplétion ne validait pas correctement les entrées utilisateur, permettant l’émission de commandes SQL directement vers la base Oracle. ...

Selon Trustwave SpiderLabs (SpiderLabs Blog), des vulnérabilités critiques affectent la machine de mise sous pli haut volume Quadient DS-700iQ, permettant une chaîne d’attaque complète depuis la sortie du mode kiosque jusqu’au compromis d’identifiants et un possible pivot vers les réseaux d’entreprise. Le rapport décrit une progression d’attaque qui débute par des failles de type race condition dans le client lourd IMOS provoquant des crashs et l’exposition du Windows sous-jacent, se poursuit par l’exploitation d’un accès physique non sécurisé au PC contrôleur (ports USB accessibles), et aboutit à l’exécution de code arbitraire, la désactivation des mécanismes de sécurité et l’extraction d’identifiants en clair. Le fournisseur n’a pas répondu aux démarches de divulgation responsable et l’attribution de CVE est en attente. ...