Credential Harvesting

🔍 Contexte Publié le 15 octobre 2026 par Unit 42 (Palo Alto Networks), ce rapport documente une campagne d’intrusion baptisée CL-UNK-1211, active d’octobre 2025 à avril 2026. L’affiliation de ce cluster à un État-nation ou à la cybercriminalité n’a pas encore été déterminée. 🎯 Cibles et objectifs Les attaquants ont ciblé des entités gouvernementales et des infrastructures affiliées à des États, avec pour objectifs : L’exfiltration de boîtes mail gouvernementales pour accéder à des comptes de réseaux sociaux (Facebook, Instagram, Twitter, TikTok, LinkedIn) Le dump complet de bases de données sensibles Le maintien d’un accès persistant à long terme 🤖 Utilisation de l’IA pour la génération de payloads Les scripts malveillants contenaient des annotations conversationnelles et des commentaires de raisonnement étape par étape, caractéristiques d’une génération par LLM ou d’un agent IA automatisé. Les indicateurs incluent : en-têtes de section dans les scripts, usage intensif de commandes encodées en Base64, et transitions fluides entre PHP, JavaScript, Bash et Python. ...

📰 Source : Malwarebytes Threat Intel, publié le 21 octobre 2026, par Stefan Dasic (Sr. Malware Research Engineer, ThreatLabs). 🎯 Contexte : Quelques semaines après l’annonce officielle du partenariat Amazon/YouTube Shopping Affiliate Program (27 août), une vague de sites frauduleux a été détectée, exploitant cet événement réel pour leurrer les créateurs YouTube avec une fausse offre publicitaire « invitation-only » d’Amazon Music. 🕵️ Mécanisme d’attaque : Le site principal amazonyt[.]com se présente comme le « Amazon Artists Music — Creator Portal » Il affiche les vraies statistiques de la chaîne YouTube de la victime en interrogeant l’API publique YouTube (20 clés API Google intégrées avec rotation automatique) Un calculateur de gains fonctionnel est proposé pour renforcer la crédibilité La victime est invitée à « vérifier » sa chaîne via un bouton « Continue with Google » factice Ce bouton charge un iframe transparent depuis un second domaine : youtubechannelverification[.]com L’adresse visible dans la barre du navigateur reste amazonyt[.]com, masquant le domaine de collecte Le formulaire de connexion collecte email, mot de passe et codes MFA, transmis au serveur des attaquants En cas de succès, la victime est redirigée vers une page « offre débloquée » pour retarder toute suspicion 🌍 Ciblage : Le site est disponible en 9 langues (anglais, espagnol, indonésien, portugais, russe, ourdou, arabe, hindi, thaï), indiquant un ciblage international de créateurs de contenu. ...

🔍 Contexte Analyse publiée le 13 octobre 2026 par Huntress, basée sur un incident investigué début octobre 2026 impliquant un domaine lookalike ciblant les utilisateurs du WatchGuard Mobile VPN with SSL. L’article s’inscrit dans la continuité de recherches publiées par WatchGuard Secplicity en janvier 2026 et Microsoft Threat Intelligence en mars 2026. 🎯 Mécanisme d’attaque La chaîne d’attaque repose sur du SEO poisoning : le domaine watchguard-vpn[.]net remonte dans les résultats Bing lors d’une recherche de téléchargement du client VPN. Le 7 octobre 2026, un administrateur d’un MSP a cliqué sur ce résultat 8 secondes après sa recherche. ...

🔍 Contexte Analyse publiée le 4 septembre 2026 par le KnowBe4 Threat Lab (analystes Prabhakaran Ravichandhiran et Jeewan Singh Jalal). Il s’agit d’une campagne de phishing active à grande échelle, ciblant des organisations dans les secteurs manufacturier, gouvernemental, financier et associatif à l’échelle mondiale. ⚙️ Mécanisme d’attaque La campagne repose sur une chaîne de redirections multi-sauts exploitant exclusivement des services Google légitimes avant d’atteindre l’infrastructure attaquante : meet.google.com/linkredirect (open redirect via paramètre dest=) www.google.com/url?q= (open redirect Google Search) adservice.google.com.ph/ddm/clk/ (DoubleClick Marketing Manager, ccTLD Philippines) cse.google.com/url (Custom Search Engine open redirect) images.google.com.bd / images.google.dj (variantes ccTLD Google Image Search) googletagmanager.com/debug/clearcookies?url= (endpoint debug GTM) analytics.google.com avec paramètre dl= (endpoint Analytics détourné) L’adresse email de la victime est encodée en base64 dans le fragment URL (#), invisible aux logs serveur et aux scanners d’URL. ...

📅 Source et contexte : Rapport publié le 18 août 2026 par Gambit Security (Eyal Sela et Nir Varon). L’article présente trois cas d’usage réel de l’IA dans des intrusions cybercriminelles, documentés à partir de données récupérées sur les infrastructures des attaquants. 🎯 Cas 1 – Affilié ransomware suspecté « The Gentlemen » utilisant Claude Code Fin juin 2026, un opérateur ransomware a utilisé Claude Sonnet 4.6 (via Claude Code) lors d’intrusions dans six organisations : une entreprise d’énergie en Australie, une société de services financiers à Maurice, une entreprise agroalimentaire en Afrique du Sud, un fabricant en Thaïlande, une société IT en Malaisie, et plusieurs entreprises aux États-Unis. ...

🔍 Contexte Publié le 6 août 2026 par le Google Threat Intelligence Group (GTIG) et Mandiant, cet article constitue une mise à jour d’un précédent rapport de mai 2026 sur le groupe UNC6671. Il documente la continuation et la diversification des opérations de ce groupe malgré l’annonce de la retraite de la marque BlackFile en mai 2026. 🎭 Acteur et marques associées UNC6671 opère désormais sous plusieurs marques d’extorsion disposant chacune d’un Data Leak Site (DLS) distinct : ...

🔍 Contexte Source : StepSecurity (blog officiel), publié le 4 août 2026. L’alerte est issue du StepSecurity OSS Security Feed qui a détecté une vague de publications malveillantes entre 09h30 et 11h30 UTC le 4 août 2026. L’investigation est déclarée active au moment de la publication. 🪱 Nature de la menace ChainDrop est un ver auto-propagant ciblant l’écosystème npm. Il publie des versions compromises de packages légitimes en utilisant des credentials/tokens de mainteneurs volés. La vitesse de propagation et la diversité des scopes de mainteneurs touchés confirment une automatisation de type worm. ...

🔍 Contexte Le 17 juillet 2026, l’équipe antifraude de D3Lab a détecté et analysé une campagne de phishing en langue italienne usurpant l’identité visuelle d’Interactive Brokers, plateforme internationale de courtage financier. Il s’agit, selon D3Lab, de la première campagne de phishing massif en italien ciblant les utilisateurs de cette plateforme. 📊 Ampleur et infrastructure La campagne présente une infrastructure distribuée et conçue pour résister aux mesures de détection : Plus de 6 000 emails malveillants détectés 16 domaines distincts intégrés dans les emails Au moins 2 domaines de destination supplémentaires via redirections Multiples adresses expéditeurs avec noms et sous-domaines variés Mécanismes de counter-detection implémentés Contrôles SPF non validés sur les messages analysés 📧 Vecteur d’attaque : emails multi-objets La campagne utilise 12 objets d’email différents exploitant des thématiques financières et réglementaires crédibles : ...

📰 Cet article de Malwarebytes, publié le 7 juillet 2026, s’appuie sur une investigation de BleepingComputer pour décrire une campagne de phishing à thème recrutement active depuis au moins cinq mois. 🎯 Cibles et leurres La campagne cible principalement les professionnels du marketing. Les victimes reçoivent de fausses invitations à des entretiens d’embauche ou des demandes de planification de la part de soi-disant recruteurs représentant des marques de premier plan : Netflix, Coca-Cola, Adidas, FIFA. Au moins 34 domaines imitant ces entreprises ont été identifiés. ...

📅 Source : PIXM Security, blog publié le 11 juillet 2026. Analyse basée sur des centaines de campagnes de phishing vérifiées observées sur les flottes d’entreprises protégées par PIXM en 2026. Contexte Les équipes de sécurité concentrent traditionnellement leurs défenses anti-phishing sur la messagerie d’entreprise (SEG, DMARC, sandboxes, bannières d’avertissement). PIXM documente un glissement structurel : les attaquants ont abandonné ce vecteur comme point d’entrée principal. Chiffre clé 60% des clics sur des pages de phishing vérifiées en 2026 proviennent de canaux extérieurs à la messagerie d’entreprise. Environ 40% des pages analysées portaient des empreintes de clic publicitaire directement dans leurs URLs (preuve directe, sans inférence). ...